Let’s Encryptは2027年2月10日以降に発行・更新するTLS証明書の有効期間を、現在の90日から64日に短縮します。更新を自動化し、ACME Renewal Information（ARI）に対応したクライアントを使う環境では、Let’s Encryptが推奨する更新時期を利用できます。固定日数で更新する設定や手作業で管理している環境では、期限切れを避けるための準備が必要です。
2027年2月10日から新しい証明書が64日有効に
Let’s Encryptは、2027年2月10日以降に発行または更新する証明書を、標準で64日有効にします。それ以前に発行された有効な証明書は、この変更に伴って失効しません。
切り替え前の2026年10月14日には、テスト環境で64日証明書の発行が始まります。Let’s Encryptは、本番環境への適用前にテスト環境で更新処理を試すよう勧めています。切り替えまでに約4カ月の準備期間があります。
Let’s Encryptは2028年に標準の有効期間を45日にする計画も示しています。
固定日数の更新設定とARI
ACMEは、証明書の発行や更新を自動化するプロトコルです。ARIはACMEの拡張機能で、認証局が証明書ごとに推奨する更新期間をクライアントへ伝えます。Let’s Encryptは、ARI対応クライアントで自動更新している場合、今回の変更に向けた特別な設定変更は不要としています。
証明書の有効期限から一定の日数を引いた時点で更新する設定では、有効期間の短縮に合わせて更新時期を調整する必要があります。Let’s Encryptは、有効期間のおよそ3分の2が経過した時点での更新を勧め、cronジョブやスクリプト、手順書にある「83」「80」「60」などの固定値を確認するよう案内しています。
ARIに対応していないクライアントを使う場合は、更新スクリプトなどを見直し、証明書の期限前に更新できるようにします。更新処理に加え、更新失敗や期限切れを知らせる通知の設定も、Let’s Encryptが挙げる準備項目です。
更新タイミングを認証局が案内する仕組み
ARIでは、クライアントが証明書に対応する情報を認証局へ送り、推奨更新期間を取得します。その期間には開始時刻と終了時刻が含まれ、クライアントは範囲内で更新を試みます。
クライアントが有効期限だけを見て更新時期を決める方式とは異なり、ARIでは認証局が更新時期の目安を伝えます。RFC 9773は、更新要求が同じ時期に集中する負荷を分散したり、失効が必要な証明書の更新を早めたりする用途を説明しています。
Let’s Encryptは、ARI対応クライアントで更新時期を取得できることを、今回の有効期間短縮への備えとして挙げています。ARIを利用していない環境では、従来の固定スケジュールや手順が64日の有効期間に合っているかを点検する必要があります。
認証情報の再利用期間も短縮
Let’s Encryptは証明書の有効期間に加え、ドメインの認証情報を新しい証明書の発行に再利用できる期間も短縮します。現在の30日から10日に変更し、2028年には7時間にする計画です。
認証情報の再利用期間とは、ドメインの管理権限を確認した結果を、同じドメインを含む新しい発行手続きで使える期間です。Let’s Encryptは、短縮の背景として、認証情報の再利用期間に関する要件の変更と、CAAの再確認を不要にすることを挙げています。
Let’s Encryptによると、CAAの再確認は、認証情報が7時間より古い場合に検証の一部を繰り返す処理です。再利用期間を7時間にすると認証情報はその時間を超えて使われなくなるため、この再確認は不要になります。通常は追加の変更が不要ですが、認証クライアントが再利用期間内の認証情報に依存する設定なら、更新前に動作を確認する必要があります。
