A partire dal 10 febbraio 2027, i certificati di Let's Encrypt avranno una validità predefinita di 64 giorni, anziché 90. La autorità di certificazione descrive il cambiamento come un passo verso una durata di 45 giorni, prevista per il 2028, secondo la copertura di SecurityWeek. Chi rinnova i certificati secondo un calendario fisso ha alcuni mesi per adeguarsi.
La durata predefinita di 64 giorni non sostituisce i profili più brevi di 45 o sei giorni per chi li sceglie.
Cronologia del passaggio
Ogni certificato emesso o rinnovato a partire dal 10 febbraio 2027 avrà il periodo di 64 giorni. I certificati già emessi con 90 giorni resteranno validi fino alla scadenza, e l'ultimo di questi dovrebbe scadere l'11 maggio 2027.
L'obiettivo dei 45 giorni deriva da una tabella di marcia che Let's Encrypt ha pubblicato in un post sul blog nel dicembre 2025, come riferisce SecurityWeek. La fase dei 64 giorni si colloca tra l'attuale durata predefinita e quell'obiettivo.
Perché cambia la durata
Let's Encrypt presenta la durata più breve come coerente con i Baseline Requirements del CA/Browser Forum. I benefici attesi sono una revoca più efficiente e una finestra più ristretta in cui un certificato compromesso può essere abusato.
SecurityWeek riporta anche la dichiarazione della CA secondo cui ogni CA pubblicamente attendibile apporterà modifiche analoghe.
Preparare i rinnovi
Let's Encrypt passerà ai certificati di 64 giorni nello staging il 14 ottobre 2026, come precisa l'annuncio ufficiale. Raccomanda di eseguire i test in quell'ambiente prima del cambiamento in produzione.
Quanto lavoro comporti dipende da come vengono attivati i rinnovi:
- Client che supportano ACME Renewal Info (ARI): secondo Let's Encrypt, i rinnovi automatici non dovrebbero richiedere modifiche, perché ARI permette alla CA di indicare al client quando rinnovare. Il consiglio è di verificare nella documentazione del client ACME se ARI è implementato.
- Rinnovi con scadenze fisse: rinnovare quando sono trascorsi circa due terzi della durata del certificato, anziché mantenere un intervallo rigido pensato per certificati di 90 giorni.
La CA raccomanda anche di automatizzare distribuzione e ricaricamento dei certificati e di impostare avvisi per rinnovi falliti. La sola emissione non sostituisce la distribuzione del certificato rinnovato al servizio che lo utilizza.
Riutilizzo delle autorizzazioni, un'ulteriore riduzione
Una seconda modifica riguarda il tempo per cui una convalida di dominio completata può essere riutilizzata. Let's Encrypt afferma che il periodo di riutilizzo delle autorizzazioni scenderà a 10 giorni «l'anno prossimo» e a sette ore nel 2028.
La CA motiva la scelta con due ragioni. Vuole conformarsi a una riduzione dei periodi massimi di riutilizzo della convalida prevista per il 2029. Vuole inoltre eliminare il «CAA rechecking», che la costringe a ripetere parte della convalida quando i dati di convalida hanno più di sette ore.
Let's Encrypt dichiara che endpoint ACME, catene di emissione e limiti di frequenza non sono interessati dalla modifica.
