证书有效期从一年多砍到半年
CA/B论坛（也就是管证书的行业组织）去年投票通过，今年三月起新签的证书最长从398天缩到200天（但是各家实际签发的证书是199天，留一天余量）；还有就是明年（2027年）三月再砍到100天；后年（2028年）直接47天。域名验证的重用期也跟着缩，后年缩到只有10天。也不用太担心3月之前签的那张一年证不受影响，用到自然到期为止，可以多备几张了。但是28年只有47天，是从哪个角度考虑的呢？那不就是半个月就得折腾一回？这哪是发证，这是发月考，哈哈~~~
为啥要砍
可能很多人以为CA缩期限是想多卖证书赚钱。实际原因是安全，证书私钥一旦泄露，旧规则下那张398天的证还能再 valid 大半年，黑客照样用；加上OCSP/CRL这种"吊销机制"各浏览器执行得参差不齐，靠它拦不可靠。缩短有效期，等于把"可能出事的老凭证"更快淘汰出局，没等破解私钥呢，就得更换下一轮SSL证书了。港真的哈，一开始我以为又是割韭菜，查完才发现人家是怕私钥泄露你不知道。这波算它良心。
以前一年续一次，设个日历提醒就行，后来半年一续，忘一次就是红字警告。另外今年九月末，第一批半年证就开始过期了，那是新规后的第一次真实压力测试，好多没自动化的人会在这波翻车，切记要提前续签啊，不然就是安全风险提示，全红一片啊！2029年47天，手动续基本不可能，到时候不是勤不勤的问题啊，根本照顾不过来啊。我那博客之前就过期过一回，红字挂了小半天，后台私信问我是不是被黑了。那种社死，一次够记一辈子的。
把续期这事儿交给机器
人工续签不能够就转移AI吧，毕竟现在的AI已经成熟了，续签个证书还是小菜一碟的，也可以考虑（Let's Encrypt）配合 Certbot 这类工具，走 ACME 协议自动续期，配好一次再也不用管，有效期缩短跟你没关系。谷歌等大厂推的 CaaS 订阅模式也是这思路，买多年订阅，系统自动给你连续签发。最要的国密 SM2 证书暂时不受影响。往后拼的不是你记性多好，是你自动化配没配。我那李洋个人博客换成了自动续期，设完那刻感觉像卸了块心病，哈哈哈，以后证书的事，让机器操心去吧。
证书有效期缩短，不是来折腾你的，是逼你把"人肉续期"这档子事交给机器，真正的安全，从来不是你记得有多勤，而是你根本不用记得。
评论