Let's Encrypt verkort standaardlooptijd certificaten naar 64 dagen

Dit meldt Let's Encrypt in een blogpost. Let's Encrypt is een non-profit certificaatautoriteit die gratis TLS-certificaten uitgeeft, waarmee websites hun verkeer kunnen beveiligen via https. De organisatie is in 2014 opgericht en sinds 2015 actief. Achter het project zit de Internet Security Research Group (ISRG), met steun van sponsors uit de technologiesector. Certificaten worden volledig geautomatiseerd uitgegeven en verlengd via het ACME-protocol, waarbij software op de server van de websitebeheerder aantoont dat het domein onder diens controle staat. Doordat dit gratis en grotendeels zonder handwerk gaat, heeft Let's Encrypt er sterk aan bijgedragen dat het merendeel van het webverkeer inmiddels versleuteld is. Het gaat om certificaten met een relatief korte looptijd, wat past bij de nadruk op automatisering.

In sommige gevallen aanpassingen nodig

Let's Encrypt zet de nieuwe looptijd op 14 oktober 2026 al door in de testomgeving, de zogeheten staging-omgeving. De organisatie raadt aan om daar te testen voordat de wijziging in productie ingaat. Wie het verlengen van certificaten heeft geautomatiseerd en een ACME-client gebruikt die ACME Renewal Info (ARI) ondersteunt, hoeft in principe niets te doen. Met ARI geeft Let's Encrypt aan de client door wanneer verlengd moet worden. Of een client ARI ondersteunt, staat in de documentatie van die client.

Is in de verlenging een vast aantal dagen voor het verlopen ingesteld, dan moet dat worden aangepast. Let's Encrypt adviseert te verlengen op ongeveer tweederde van de looptijd. Daarmee ligt de basis voor de standaardlooptijd van 45 dagen die in 2028 volgt. Wie niet weet of er vaste waarden in gebruik zijn, kan in cronjobs, wrapperscripts en runbooks zoeken naar gangbare getallen zoals 83, 80 of 60.

Kortere hergebruiktermijn voor validatie

Let's Encrypt verkort ook de periode waarin een eerdere domeinvalidatie opnieuw kan worden gebruikt, van 30 dagen naar 10 dagen. In 2028 gaat die termijn naar zeven uur. De organisatie voert dit door om te voldoen aan een verkorting van de maximale hergebruiktermijn die in 2029 ingaat. Bovendien vervalt zo de noodzaak van 'CAA rechecking': het opnieuw uitvoeren van een deel van de validatie wanneer de gegevens ouder zijn dan zeven uur. Alleen wie zijn ACME-client bewust op hergebruik van validaties heeft ingericht, hoeft mogelijk iets te wijzigen.

De wijziging heeft geen invloed op de rate limits, de ACME-endpoints of de uitgifteketens. Let's Encrypt noemt het ook een kans om processen als het herladen en uitrollen van certificaten te automatiseren en om meldingen in te stellen voor mislukte verlengingen.

Volgens Let's Encrypt verkleinen kortere looptijden het risico op gelekte sleutels en onjuiste uitgifte. De organisatie, die geen winstoogmerk heeft, rekent het tot haar missie om de beveiliging van het web te verbeteren. Ze verwacht dat de overgang soepel verloopt. Bij problemen kunnen gebruikers terecht op het communityforum en in de documentatie.