全球最受歡迎的免費憑證服務 Let’s Encrypt 於 10 月 7 日宣布，自 2027 年 2 月 10 日起，預設的 TLS 憑證效期將由目前的 90 天縮短為 64 天，後續還會進一步縮短。這項漸進式調整，主要是為了縮短金鑰外洩或憑證誤簽後的風險暴露時間。
公開 TLS 憑證效期近年持續縮短。Let’s Encrypt 指出，效期愈短，憑證出問題時的影響範圍愈小，整體生態系安全性也隨之提升；預計 2028 年預設效期還會進一步降至 45 天。
Let’s Encrypt 將自 10 月 14 日起，先在 staging 環境簽發 64 天憑證，供管理者提前測試既有的續期與部署流程。
對於已經完成自動續期的網站來說，這項調整的影響相對有限。Let’s Encrypt 表示，若憑證續期已自動化，且使用的 ACME 用戶端支援 ACME Renewal Information（ARI），通常不需額外調整，因為 ARI 可由 Let’s Encrypt 告知用戶端適當的續期時間。
不過，若現有續期機制是以固定天數設定，就需要重新檢視。Let’s Encrypt 建議改為在憑證生命週期約三分之二時續期，並檢查排程與腳本中是否有 83、80、60 天等固定數值，以免效期縮短後未能及時更新。
除了縮短憑證效期，Let’s Encrypt 也將縮短網域驗證授權的重複使用期限，由目前的 30 天降為 10 天，2028 年再進一步縮短至 7 小時。這意味著管理者未來需要更頻繁地重新驗證網域所有權。
Let’s Encrypt 建議，網站與系統管理人員應趁這波調整，重新檢視整體憑證管理流程，例如將憑證部署、服務重新載入等作業自動化，並建立續期失敗的監控與警示機制。
對台灣眾多使用 Let’s Encrypt 的網站來說，現在正是盤點的時機。許多續期腳本是幾年前寫好的，若寫死 80 天或 60 天的條件，效期縮至 64 天後，憑證很可能在續期前就過期，導致網站憑證錯誤。
憑證管理自動化早已是業界共識，這次調整只是加速趨勢。還在手動更新憑證的組織應盡早導入自動化，以免效期愈縮愈短時手忙腳亂。
值得關注的時間點是 10 月 14 日的 staging 測試，以及 2027 年 2 月 10 日的正式切換。管理者若在測試階段先發現問題，就有充足時間在正式上線前調整完畢。
