Привет, Хабр! Меня зовут Александр Демидов, я директор по облачной инфраструктуре Битрикс24.
Срок действия SSL/TLS-сертификатов продолжает сокращаться. Когда-то сертификаты можно было выпускать на несколько лет, затем максимальный срок уменьшили до одного года. Теперь индустрия готовится к следующему этапу: к 2029 году сертификаты будут действовать не более 47 дней. Разбираемся, почему так происходит, и что с этим делать владельцам сайтов.
Когда изменятся сроки?
В 2025 году организация CA/Browser Forum, объединяющая удостоверяющие центры и разработчиков браузеров, утвердила график постепенного сокращения сроков действия публичных SSL/TLS-сертификатов.
Дата |
Максимальный срок |
До 15 марта 2026 |
398 дней |
С 15 марта 2026 |
200 дней |
С 15 марта 2027 |
100 дней |
С 15 марта 2029 |
47 дней |
Первый этап уже вступил в силу. С марта 2026 года новые сертификаты выпускаются максимум на 200 дней.
При этом ранее выданные сертификаты продолжат работать до окончания своего срока действия. Новые ограничения не делают их недействительными досрочно.
Зачем сокращают сроки?
Главная причина — повышение безопасности HTTPS.
Во-первых, уменьшаются риски при компрометации сертификата. Если злоумышленник получит закрытый ключ, короткий срок действия ограничит период, в течение которого сертификат может представлять угрозу. Это особенно важно, поскольку механизмы отзыва сертификатов не всегда работают идеально.
Во-вторых, чаще проверяется контроль над доменом. За несколько месяцев или лет домен может сменить владельца. Регулярные проверки помогают удостовериться, что сертификат получает тот, кто действительно управляет доменом.
В-третьих, проще внедрять новые стандарты безопасности. Короткие сертификаты позволяют быстрее выводить из использования устаревшие алгоритмы и переходить на новые требования.
Что изменится для владельцев сайтов?
Главное изменение — сертификаты придется обновлять значительно чаще.
Если раньше достаточно было одного продления в год, то при сроке действия 47 дней обновление потребуется примерно раз в месяц, с учетом необходимого запаса времени.
Для владельцев обычных сайтов на современных хостингах это, скорее всего, пройдет незаметно. Многие провайдеры уже автоматически выпускают и продлевают сертификаты.
А вот компаниям, которые управляют сертификатами вручную, придется пересмотреть свои процессы.
Автоматизация продления становится практически обязательной.
Для этого существует протокол ACME, который позволяет автоматически подтверждать контроль над доменом, получать новые сертификаты и устанавливать их на сервер. Его поддерживают Let's Encrypt и многие другие удостоверяющие центры.
Какие могут возникнуть проблемы?
Основные сложности связаны не столько с самими сертификатами, сколько с инфраструктурой.
- Устаревшие системы. Некоторые серверы, сетевые устройства и корпоративные приложения не поддерживают автоматическое обновление сертификатов.
- Ошибки автоматизации. Если продление не сработает из-за проблем с DNS, настройками или доступностью удостоверяющего центра, сайт может остаться с просроченным сертификатом.
- Дополнительная нагрузка. Частые обновления означают больше запросов, проверок и операций по установке сертификатов.
- Есть и еще один важный нюанс: к марту 2029 года срок повторного использования результатов проверки контроля над доменом сократится до 10 дней. Это означает, что удостоверяющим центрам придется значительно чаще проводить такие проверки.
Поэтому недостаточно просто настроить автоматическое получение сертификатов. Важно также контролировать их успешную установку и следить за сроками действия.
А что с Let's Encrypt?
Let's Encrypt уже давно выпускает сертификаты на 90 дней, поэтому его пользователи в большинстве случаев привыкли к автоматическому обновлению.
Но сроки здесь тоже будут сокращаться:
- С февраля 2027 года — до 64 дней.
- С февраля 2028 года — до 45 дней.
Таким образом, Let's Encrypt планирует перейти на короткие сертификаты раньше общеотраслевого дедлайна 2029 года.
Станут ли сертификаты дороже?
Не обязательно. Срок действия отдельного сертификата и срок оплаченной услуги — разные вещи.
Удостоверяющие центры смогут по-прежнему продавать годовые подписки, в рамках которых сертификаты будут автоматически перевыпускаться несколько раз. Однако для компаний с большим количеством серверов дополнительные расходы на автоматизацию, мониторинг и модернизацию инфраструктуры вполне возможны.
Что в итоге?
К 2029 году максимальный срок действия публичных SSL/TLS-сертификатов сократится до 47 дней. Это часть долгосрочной стратегии повышения безопасности интернета.
Для обычных пользователей ничего не изменится. Для владельцев сайтов главная задача — убедиться, что продление сертификатов происходит автоматически и без ошибок.
Эпоха ручного продления SSL-сертификатов заканчивается. Чем раньше автоматизировать этот процесс, тем меньше проблем возникнет при переходе на новые правила.
Комментарии (40)
arkultic
03.11.2026 08:37А что с обновлением корневых и промежуточных сертов?
arkultic
03.11.2026 08:37Если их сроки так же будут сокращены, то кто будет их обновлять на старых android-устройствах, которые теряют поддержку спустя пару лет после релиза?
Maxim_Q
03.11.2026 08:37У меня старый планшет Andoid и там были просроченые сертификаты, я взял сертификаты с нового телефон и перенес их на старый планшет и все заработало. Разумеется для этого нужно иметь root доступ.
Busla
03.11.2026 08:37С промежуточными давно всё решено: их не распространяют с ОС, браузерами, Java и прочим. У ряда ЦС промежуточные уже короткоживущие.
qyix7z
03.11.2026 08:37398 дней
200 дней
100 дней
47 дней
64 дней
45 днейКто выдумывает эти цифры и почему они такие? Почему 47, а не 48 или 46 дней?
Почему было 398, а не 400?
rpsv
03.11.2026 08:37А вот если бы когда-то давно выпускали серты на 512 дней, могли бы пойти по двоечкам: 256, 128, 64, 32 :)
funca
03.11.2026 08:37398 = 366 + 31 + 1. Рассчет на то, что сертификат будет проплачен на год. Високосный год, месяц grace period для перевыпуска очередного сертификата, плюс день запаса на рассинхрон часовых поясов. 47 - урезали до месяца, плюс половинка grace period.
vanxant
03.11.2026 08:37Там был довольно жаркий спор в комитете между регистраторами (которые хотят денег и предлагали вообще 15 дней) и гуглом (которому деньги за рекламу начисляются по факту перехода мамонта по ссылке, а при протухшем серте переход не засчитывается. Админ ушёл в отпуск и ага). В итоге вышли на 47, потому что потому.
100_rabotnikov
03.11.2026 08:37С обычными сайтами проблем особо не будет, certbot настроил и забыл. А вот со всякими старыми панелями управления и сетевым оборудованием, где сертификат до сих пор руками загружается, будет весело. Особенно если там даже ACME нет. Получается ради безопасности придется городить дополнительную автоматизацию, которая сама может сломаться в самый неподходящий момент
Maxim_Q
03.11.2026 08:37Если на сервере есть открытый 80 порт то все сертификаты для этого IP можно продлять без проблем. У меня на VPS висят несколько сайтов и для них отдельный скрипт обновляет сертификаты https://gitlab.com/sinclair2/bacme и это вообще не зависит от того какая панель управления на сервере. Если 80 порт закрыт придется костылять.
irbis36
03.11.2026 08:37Если регистратор поддерживается Лего, то и 80 не нужен , можно настроить проверку через DNS. https://go-acme.github.io/lego/
FlashHaos
03.11.2026 08:37А зачем вам публичный сертификат на панели управления? Логично же подписанный организацией.
vanxant
03.11.2026 08:37Ага, а потом мамкин хацкер Вася поднимет фейковую страницу входа в панель и сопрёт ваш пароль вместе с 2фа, и вы в принципе не сможете это отследить. Но продолжайте юзать самоподпис.
FlashHaos
03.11.2026 08:37Не очень понимаю каким образом Василий получит корневой сертификат моего УЦ.
slonpts
03.11.2026 08:37Сломается что-то, пока вы в отпуске или на даче и придется с телефона срочно чинить или ноута соседа, а он про ваш УЦ не знает.
Или новый коллега будет это делать со своего компа.
В целом у своего сертификата есть плюсы, но и минусы тоже.
JustFun2772
03.11.2026 08:37ДАЕШЬ ОДНОРАЗОВЫЕ ШИФРОБЛОКНОТЫ!
ИМХО вся безопасность от нововведений разбивается об SSL фишинговых доменов и сайтов. На заре становления https коварная зеленая галочка безопасности вводила толпы пользователей в заблуждение, что условный ozoon.ru является легитимным озоном и "оплата" картой безопасна.
Случаев эксплуатации краденых сертов значительно меньше, чем банальных "атак" через фишинг.
CitizenOfDreams
03.11.2026 08:37--- вы находитесь здесь ---
Сертификаты сроком действия в 1984 миллисекунды выпускаются для каждого TCP-пакета.
gwathedhel
03.11.2026 08:37Особенно прекрасно, когда ты покупаешь wildcard сертификат, а потом собираешь из него разные варианты pem der p12. Где-то fullchain, где-то нет. А потом раскидываешь не только по сайтам, но и по куче других систем, где автоматизации нет изначально. Фаерволлы, почтовые системы, sql, wifi контроллеры, air-gap решения.
И никто не подумал о чем то, кроме обычных сайтов, где прикрутить certbot дело 5 минут.
Отрасли нужно что-то с этим делать(( я лично пока не знаю как с этим буду работать
allter
03.11.2026 08:37Вообще, с т.з. ИБ wildcard сертификаты как раз и плохи тем, что вы описали. Лучше все же по одному ключу на место использования.
А что делать - обратиться к разрабам/девопсам соответствующих систем (у вас же они поддерживаются? )?
gwathedhel
03.11.2026 08:37*встал перед зеркалом*
Уважаемый девопс! Просит тебя весь ит отдел, обратись ты пожалуйста к майрософту и циско. Пусть они вспомнят про Россиюшку 2026 года, да пусть перепишут софт на контроллерах, да на фаерволлах. А то негоже без автоматизации в сертификатах нам сидеть. Жили мы, не тужили, да вон треклятые акме нападать стали и бесовщину свою нам нести.
vdudouyt
03.11.2026 08:37Я вот только одного не пойму - если конфигурировать автоматическое обновление сертификатов через ACME и так и так придется, то как GlobalSign с Comodo собираются конкурировать с бесплатными LE и ZeroSSL, и как вообще так получилось что они такое допустили?
nimda2k
03.11.2026 08:37Давайте ещё смену сертов корневых и промежуточных УЦ раз в год, а то слишком хорошо устроились.
Да и опять же, для безопасности, за которую они, якобы, ратуют, хорошо. Мало, что ли, компрометаций было?
progchip666
03.11.2026 08:37Не так давно любые новые ограничения и гадости объяснялись заботой о детях.
Теперь заботой о безопасности.
Вместо того, чтобы обеспечивать безопасность они издеваются над клиентами.
Они конструируют человека в футляре, но в истории человечества сделка "Свобода в обмен на безопасность" никогда ни к чему хорошему по итогу не приводила.
Newbilius
03.11.2026 08:37Всегда объяснялось заботой о безопасности. Дети - частный случай, "ради безопасности детей")
digrobot
03.11.2026 08:37Почему они решают за всех? Нельзя было владельцам сайтов дать право выбирать, с каким сроком им нужен сертификат?
NutsUnderline
03.11.2026 08:37а это проблемма? у меня сертификат дают только на 30 дней, все автоматом
balamutang
03.11.2026 08:37Пока дают проблемы нет. Но внезапно может оказаться что не дадут. Это коммерческие организации, они вам ничего не обязаны давать
Litemanager_soft
чем дальше ,тем короче
NAI
лучше чтобы каждый день был новый серт, тогда точно станет безопаснее
или под каждого пользователя выделять свой...
а еще лучше под каждую сессию... или вообще долбануть ZeroTrust (на том же mTLS) сразу на весь интернет, хочешь доступ к habr.com? обменяйся сертификатами
по почтечерез спецсвязьbecefi
С их точки зрения, было бы идеально, чтобы при соединении с сайтом, браузер паралельно обращался к регистратору за разрешением можно ли соединяться с этим сертификатом.
На самом деле - усиление контроля сайтов. Дядя решает будет ли ваш сайт работать. Желательно в реальном времени.
Kenshouten
Нет, идеально будет, когда каждый запрос будет ассоциирован с конкретным паспортом гражданина. /S