SSL 证书有效期要缩到 47 天：建站的人现在该检查什么

如果你的网站用的是 Let's Encrypt 这类免费证书，过去一张证书 90 天、面板自动续签，基本不用管。从 2026 年开始，整个行业的证书有效期都在一步步缩短，到 2029 年最长只剩 47 天。大部分人什么都不用改，但有几个坑值得提前检查。

时间表：每年砍一刀

2025 年 4 月，浏览器厂商和证书机构组成的 CA/Browser Forum 通过了 SC-081 提案，规定公开信任的 TLS 证书最长有效期分三步缩短：

已经签发的证书不会被缩短，到了新日期后，下一次续签才按新规则走。买过一年期付费证书的人，今年已经感觉到了：现在最多只能买到 200 天左右的证书。

Let's Encrypt 在 2025 年 12 月宣布了自己的节奏：

也就是说，2028 年以后基本每次续签都要重新验证一次域名。

宝塔、aaPanel、Caddy、certbot 默认的定时续签，本来就是到期前一段时间自动续，大部分人什么都不用改。真正会出事的是这几种情况：

手动续签的：以前一年弄一次还能忍，以后一个多月一次，迟早忘。能自动化就自动化。
写死了续签间隔的脚本：比如每 60 天跑一次。45 天证书根本撑不到 60 天。Let's Encrypt 的建议是在有效期过了约三分之二时续签，或者让客户端支持 ARI（续签信息接口），由服务器告诉你什么时候该续。
HTTP 验证被挡住的：80 端口关了、强制跳转写错、被 CDN 或防火墙拦了，验证就会失败。以前失败了还有几十天缓冲，以后缓冲很短。
证书要手动复制到别处的：比如同一张证书还要上传到 CDN、负载均衡、邮件服务器。这些地方最容易被遗忘。
DNS 有问题的：开了 DNSSEC 但配置不对、CAA 记录没允许你的证书机构，都会让签发直接失败。

看一眼续签日志：面板里找到证书页面，确认最近一次是自动续签成功的，而不是你手动点的。
加一个到期监控：用免费的证书监控服务，或者自己写个定时任务，用 openssl s_client -connect 域名:443 读出到期时间，剩不到 15 天就提醒。
用 DNS 验证的，把 API 配好：通配符证书只能用 DNS 验证，确保面板里填了 DNS 服务商的 API，让它能自动改 TXT 记录。Let's Encrypt 正在推一种新的 DNS-PERSIST-01 验证方式，TXT 记录设一次就不用每次改，预计 2026 年上线，到时候会更省心。

证书私钥一旦泄露，攻击者能冒充你的网站直到证书过期。吊销机制在现实中经常不灵，所以最可靠的办法就是让证书本身活得短一点。代价是续签变得频繁，于是整个行业都在逼大家做自动化。

一句话总结：自动续签的继续睡觉，手动续签的赶紧改，然后给证书加个到期提醒，比什么都管用。

参考：CA/Browser Forum Baseline Requirements（SC-081v3）、Let's Encrypt 官方博客《Decreasing Certificate Lifetimes to 45 Days》（2025 年 12 月 2 日）。

本文由 Lingshi 发布，转载请注明出处。