Ab dem 10. Februar 2027 sind Zertifikate von Let's Encrypt standardmäßig 64 Tage gültig statt 90. Die offene Zertifizierungsstelle beschreibt den Schritt als Zwischenstation auf dem Weg zu 45-Tage-Laufzeiten, die für 2028 geplant sind, wie die SecurityWeek-Berichterstattung meldet. Wer seine Erneuerungen nach einem festen Zeitplan laufen lässt, hat einige Monate Zeit, sich anzupassen.
Die Standardlaufzeit von 64 Tagen ersetzt nicht die kürzeren Profile mit 45 oder sechs Tagen für Nutzer, die diese wählen.
Zeitplan für die Umstellung
Jedes Zertifikat, das am oder nach dem 10. Februar 2027 neu ausgestellt oder erneuert wird, erhält die Laufzeit von 64 Tagen. Bereits mit 90 Tagen ausgestellte Zertifikate laufen bis zu ihrem Ablauf weiter. Das letzte davon soll am 11. Mai 2027 ablaufen.
Das Ziel von 45 Tagen stammt aus einem Zeitplan, den Let's Encrypt in einem Blogbeitrag vom Dezember 2025 veröffentlicht hat, wie SecurityWeek berichtet. Die Phase mit 64 Tagen liegt zwischen dem heutigen Standard und diesem Ziel.
Das Sicherheitsargument
Let's Encrypt begründet die kürzere Laufzeit damit, dass sie mit den Baseline Requirements des CA/Browser Forum vereinbar sei. Als Vorteile nennt die Stelle eine effizientere Sperrung und ein engeres Zeitfenster, in dem ein kompromittiertes Zertifikat missbraucht werden kann.
SecurityWeek gibt außerdem die Aussage der CA wieder, dass jede öffentlich vertrauenswürdige CA vergleichbare Änderungen vornehmen wird.
Erneuerungen vorbereiten
Let's Encrypt stellt seine Staging-Umgebung am 14. Oktober 2026 auf Zertifikate mit 64 Tagen Laufzeit um, wie die offizielle Ankündigung erklärt. Tests dort werden vor der Umstellung im Produktivbetrieb empfohlen.
Wie viel Aufwand dafür anfällt, hängt davon ab, wie die Erneuerungen ausgelöst werden:
- Clients, die ACME Renewal Info (ARI) unterstützen: Let's Encrypt sagt, dass automatisierte Erneuerungen keine Anpassungen erfordern sollten, weil ARI der CA erlaubt, dem Client mitzuteilen, wann er erneuern soll. Die Empfehlung lautet, in der Dokumentation des ACME-Clients nachzusehen, ob ARI implementiert ist.
- Erneuerungen nach festen Zeitplänen: erneuern, wenn ungefähr zwei Drittel der Zertifikatslaufzeit verstrichen sind, statt ein festes Intervall für 90-Tage-Zertifikate beizubehalten.
Die CA empfiehlt außerdem, die Bereitstellung und das Neuladen von Zertifikaten zu automatisieren und bei fehlgeschlagenen Erneuerungen zu alarmieren. Die Ausstellung allein ersetzt nicht die Bereitstellung des erneuerten Zertifikats im verwendenden Dienst.
Wiederverwendung von Autorisierungen wird weiter verkürzt
Eine zweite Änderung betrifft, wie lange eine abgeschlossene Domänenvalidierung wiederverwendet werden darf. Let's Encrypt zufolge sinkt der Zeitraum der Wiederverwendung von Autorisierungen auf zehn Tage „im nächsten Jahr“ und auf sieben Stunden im Jahr 2028.
Die CA nennt zwei Gründe. Sie will eine für 2029 vorgesehene Verkürzung der maximalen Wiederverwendungszeiträume für Validierungen einhalten. Außerdem will sie das „CAA-Rechecking“ beenden, bei dem ein Teil der Validierung erneut durchgeführt werden muss, wenn die Validierungsdaten älter als sieben Stunden sind.
Let's Encrypt erklärt, dass ACME-Endpunkte, Ausstellungsketten und Ratenlimits von der Änderung nicht betroffen sind.
