News
Let's Encrypt verkürzt Zertifikate auf 64 Tage
Von 90 auf 64 Tage
Let’s Encrypt dreht weiter an der Laufzeit-Schraube: Ab dem 10. Februar 2027 sind kostenlose TLS-Zertifikate nur noch 64 statt 90 Tage gültig. Ab dem 14. Oktober 2026 können Admins die kürzeren Zertifikate bereits freiwillig testen. Und es ist nicht das Ende: Für 2028 sind 45 Tage als Standard geplant.
Warum das Ganze?
Die Logik bleibt dieselbe wie beim Start 2016, als Let’s Encrypt mit 90 Tagen die damals üblichen Ein- bis Dreijahres-Zertifikate aufmischte: Je kürzer ein Zertifikat lebt, desto weniger Schaden richtet es an, wenn es kompromittiert oder fehlerhaft ausgestellt wurde. Gleichzeitig zwingt es zu konsequenter Automatisierung.
Der Schlüssel dafür ist ARI (ACME Renewal Information): Dabei sagt die CA dem Client selbst, wann er erneuern soll. Viele Setups hängen aber noch an fest verdrahteten Intervallen wie „60 Tage vor Ablauf“ – und genau die brechen bei 64 Tagen Laufzeit.
Was Admins jetzt tun sollten
- Cronjobs und Skripte nach hartkodierten Werten wie 83, 80 oder 60 durchsuchen
- Prüfen, ob der ACME-Client ARI unterstützt – sonst updaten
- Erneuerung bei etwa zwei Dritteln der Laufzeit einplanen
- Benachrichtigungen für Ablauf und fehlgeschlagene Renewals einrichten
- Mit dem Opt-in ab Oktober das eigene Setup testen
Wer schon certbot, Caddy oder Traefik in aktuellen Versionen nutzt, dürfte kaum etwas merken – handgestrickte Lösungen sollten aber jetzt geprüft werden.