新闻解读：TLS 证书有效期将分阶段缩短到 47 天，运维要怎么准备

CA/浏览器论坛（CA/B Forum）在 2025 年通过了 SC-081 号决议，公开信任的 TLS 服务器证书最长有效期将分阶段缩短：
1. 2026 年 3 月 15 日起：最长 200 天；
2. 2027 年 3 月 15 日起：最长 100 天；
3. 2029 年 3 月 15 日起：最长 47 天。
同时，域名控制验证（DCV）结果可复用的时间也会同步缩短，到 2029 年降至 10 天。也就是说，到 2029 年，基本上每个月都要续期一次，而且几乎每次续期都要重新验证域名。

一、对运维的直接影响
1. 手工续期彻底不可行：哪怕只有几十张证书，按 47 天周期计算每周都有证书要续。
2. “续期成功但没生效”会更频繁：证书写进磁盘但服务没 reload、负载均衡/CDN 上的证书没同步。
3. 内网、设备、老系统（IIS 老版本、硬件负载均衡、网络设备管理口）往往是自动化的死角。

二、建议的准备步骤
1. 建证书清单：从 CT 日志（如 crt.sh 查询自家域名）、负载均衡/CDN 配置、内网扫描三个来源汇总，标出“已自动化 / 未自动化”。
2. 统一 ACME：公网证书优先用 ACME 协议（certbot、acme.sh、lego、Caddy/Traefik 内置、云厂商托管证书）。需要 DNS-01 验证的场景，给 ACME 客户端单独配置只能修改 _acme-challenge 记录的最小权限 API 凭据。
3. 部署钩子：续期后自动 reload 服务或调用负载均衡/CDN 的 API 上传，并在钩子里校验新证书确实被加载。
4. 外部监控：从外部直接连接 443 读取线上证书的 notAfter，剩余天数低于有效期的 1/3 就告警，不要只依赖续期脚本的退出码。
5. 不能自动化的设备：评估改为由前置代理终止 TLS，或者使用私有 CA（内部证书不受公开 CA 规则约束，但同样建议自动化）。

三、一个检查命令
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -enddate -issuer

你们现在有多少证书还是手工续期？卡点在哪里？欢迎交流。

补充几个落地准备动作：第一，先做证书资产盘点，把所有公网和内网证书的域名、签发 CA、部署位置（服务器、负载均衡、CDN、网络设备管理口）和到期时间汇总成表，很多事故出在“不知道这里还有一张证书”。第二，优先把能用 ACME 的入口全部接入自动续期，并让续期后的 reload 和多节点分发也自动化，再用外部探测（直接连 443 读取实际下发证书的到期时间）做监控，而不是只看磁盘上的文件。第三，对不支持 ACME 的设备，评估是否放到统一的反向代理或负载均衡后面集中终结 TLS。第四，域名验证方式尽量选 DNS-01 并用 API 授权，DCV 复用期缩短后人工验证会成为瓶颈。时间节点以 CA/B Forum 正式文本为准。