根据 CA/Browser Forum 通过的 SC-081v3 提案，全球公网可信 SSL/TLS 证书的最长有效期将分阶段缩短。本文说明政策时间表、对站点的影响，以及我们的应对建议。
一、背景：证书有效期为什么要缩短
2025 年 4 月 11 日，CA/Browser Forum（CA/B 论坛）正式通过 SC-081v3 提案，对全球公网可信 SSL/TLS 证书的最长有效期作出分阶段缩短安排。该提案由苹果提出，Apple、Google、Microsoft、Mozilla 四大浏览器厂商全部投赞成票，25 家证书机构赞成、0 反对、5 弃权。
缩短有效期的目的，是降低证书私钥泄露、错误签发带来的风险窗口，并在一定程度上以「快速过期」替代并不够可靠的吊销机制（CRL/OCSP）。
二、时间表：三阶段缩短
| 证书签发时间 | 最长有效期 | 域名验证（DCV）信息复用期 |
|---|---|---|
| 2026 年 3 月 15 日之前 | 398 天 | 398 天 |
| 2026 年 3 月 15 日起 | 200 天 | 200 天 |
| 2027 年 3 月 15 日起 | 100 天 | 100 天 |
| 2029 年 3 月 15 日起 | 47 天 | 10 天 |
目前（2026 年 10 月）处于 200 天阶段；下一个节点是 2027 年 3 月 15 日降至 100 天，2029 年 3 月 15 日降至 47 天。
三、几个需要注意的细节
- CA 实际签发通常比上限少 1 天。由于有效期精确到秒，超过上限 1 秒即构成误签发并触发强制吊销，因此 DigiCert 自 2026 年 2 月 24 日起按 199 天签发，Sectigo 自 2026 年 3 月 12 日起同样按 199 天。这也是「199 天 + 199 天」说法的来源。
- 域名验证复用期同步缩短。2029 年 3 月 15 日起，CA 对域名验证结果的复用期将降至 10 天，意味着几乎每次续期都需要重新验证，人工操作基本不可行。
- OV/EV 组织信息复用期由 825 天缩短至 398 天（2026 年 3 月 15 日起）。
- 不受影响的范围：国密算法（SM2）证书、私有/内网证书、免费测试证书（仍为 3 个月），暂不适用本次调整。
四、对站点的影响
- 续期频率大幅上升：从一年 1 次，逐步变为一年多次；47 天阶段下，一张证书每年需续期约 8 次。
- 人工管理难以为继：Excel 台账、日历提醒的方式，在短周期下极易遗漏，一旦过期，浏览器会标记站点「不安全」，甚至导致业务中断。
- 自动化成为必选项：证书的发现、续期、部署、监控需要形成闭环，尤其是多域名、多服务器、多环境的站点。
五、我们的建议与安排
- 尽早盘点证书资产：梳理名下所有公网证书的域名、到期时间、部署位置与负责人，避免「影子证书」遗漏。
- 启用到期监控与自动续期：优先采用 ACME 协议自动续期（如 DNS-01 验证），并打通自动部署。
- 在 2027 年 3 月前完成自动化改造：100 天阶段到来前完成，能为 2029 年的 47 天阶段留出充足余量。
- 花里云 SSL 证书服务：我们提供证书选型、签发、部署、到期提醒与自动续期支持，帮助客户平稳过渡到短周期证书时代。有需要的客户可联系我们获取针对性方案。
六、结语
证书有效期的缩短是行业既定方向，时间表已经明确。建议各站点尽早准备，把「一年一续」的习惯升级为「自动续期 + 持续监控」。如有疑问，欢迎随时与我们联系。
花里云
2026 年 10 月