Let’s Encrypt ha confermato che dal 10 febbraio 2027 i certificati TLS emessi o rinnovati avranno una validità predefinita di 64 giorni, contro i 90 attuali. La modifica non riguarderà chi ha scelto le opzioni più brevi, da 45 o sei giorni. L’organizzazione ha inoltre precisato che il passaggio non comporterà la revoca dei certificati ancora validi.
Per quelli già emessi continuerà quindi a valere la scadenza originaria. Let’s Encrypt prevede che l’ultimo certificato da 90 giorni termini la propria validità l’11 maggio 2027: il nuovo limite entrerà nelle installazioni attraverso le successive emissioni, senza accorciare retroattivamente la durata dei certificati in uso. Gli amministratori dovranno concentrarsi soprattutto sul comportamento dei sistemi di rinnovo.
Il percorso proseguirà nel 2028, quando la durata predefinita scenderà ancora, fino a 45 giorni. I 64 giorni rappresentano dunque una fase intermedia: chi deve rivedere script e pianificazioni farebbe bene a evitare un’altra configurazione legata rigidamente alla durata attuale, perché il successivo taglio richiederà nuovamente rinnovi più frequenti.
La motivazione di sicurezza riguarda la finestra durante la quale un certificato compromesso o emesso erroneamente può continuare a essere utilizzato. Accorciare la validità limita questa esposizione temporale. Sul piano operativo, però, aumenta la frequenza con cui l’infrastruttura deve completare correttamente il rinnovo: il beneficio richiede quindi procedure affidabili, soprattutto dove sopravvivono interventi manuali o automatismi costruiti intorno ai 90 giorni.
Rinnovi automatici e verifica del dominio, cosa controllare
Nel proprio annuncio ufficiale, Let’s Encrypt indica ACME Renewal Info (ARI) come il meccanismo che consente di comunicare al client quando rinnovare. Secondo l’organizzazione, chi ha già automatizzato i rinnovi e utilizza un client compatibile dovrebbe essere pronto al passaggio. La verifica da fare riguarda quindi il supporto effettivo di ARI nella documentazione del software impiegato.
Chi usa intervalli fissi dovrà invece controllare cron, script e procedure operative. L’indicazione è di rinnovare quando è trascorso circa due terzi del periodo di validità, adattando il momento del rinnovo al certificato corrente. Un intervallo rigido di 60 giorni, per esempio, non sarà compatibile con certificati che scadono dopo 45: correggere adesso questa logica prepara anche al passaggio del 2028.
Cambierà anche la durata del riutilizzo dell’autorizzazione del dominio, che passerà da 30 a 10 giorni e poi a sette ore nel 2028. Si tratta del periodo durante il quale una verifica già completata del controllo sul dominio può servire per emettere altri certificati. È un parametro distinto dalla loro validità e interessa particolarmente le implementazioni che fanno affidamento sul riutilizzo delle verifiche.
Per prepararsi, Let’s Encrypt raccomanda di provare i rinnovi nell’ambiente di staging prima del cambiamento in produzione. Invita inoltre ad automatizzare distribuzione e ricaricamento dei certificati e ad attivare avvisi quando un rinnovo fallisce. Il controllo deve quindi coprire anche i passaggi successivi all’emissione, affinché il certificato aggiornato arrivi effettivamente ai servizi che devono utilizzarlo.