64 天证书意味着什么

Let’s Encrypt 宣布，从 2027 年 2 月 10 日起，默认签发的证书有效期将从 90 天缩短到 64 天。已有证书不会因此被撤销，但之后的新签发和续期会采用更短周期。

缩短有效期能够减少私钥泄露后的风险窗口，但也让不可靠的续期脚本更容易造成事故。

哪些系统风险最高

• 依赖管理员手工点击续期的网站。
• 把续期时间固定成“到期前 30 天”的旧脚本。
• 证书更新后没有自动 reload Web 服务器。
• 多节点只更新了一台机器。
• 防火墙或 DNS API 令牌已经过期。

推荐检查步骤

确认 ACME 客户端持续运行

检查 systemd timer、cron 或 1Panel 计划任务最近的执行记录，不能只看任务是否存在。

使用 ARI

如果 ACME 客户端支持 ACME Renewal Information，应让客户端根据 CA 建议安排续期。否则应按证书生命周期比例续期，官方建议约在有效期的三分之二处，而不是写死某个天数。

在 staging 环境演练

测试签发、挑战验证、证书部署和服务 reload 的完整链路，并确认失败会触发告警。

监控实际到期时间

从外部定期读取线上证书，而不是只检查服务器文件。负载均衡、CDN 或旧节点可能仍在提供过期证书。

IP 地址证书与六天证书

Let’s Encrypt 还提供可选的六天短周期证书和 IPv4/IPv6 地址证书。它们要求续期完全自动化，适合临时基础设施或没有域名的受控场景，不适合依赖人工操作的服务器。

原始资料：Let’s Encrypt 官方公告