SSL证书有效期经历了怎样的缩减过程？

SSL证书的有效期并非一直这么短。回顾历史，SSL证书有效期经历了多次大幅缩减：

——2015年之前：最长有效期5年

——2015年4月：缩短至3年

——2018年3月：缩短至2年

——2020年9月：缩短至1年（398天）

——2026年3月15日：缩短至200天（约6.5个月）

——2027年3月15日：将缩短至100天（约3.3个月）

——2029年3月15日：将缩短至47天

这一系列缩减的核心推动力来自CA/B论化（证书颁发机构和浏览器论化）的SC-081系列提案，由苹果和谷歌等浏览器厂商主导。2025年4月通过的SC-081v3提案最终确定了47天的目标。

为什么要缩短SSL证书有效期？

限制私钥泄露的窗口期。  私钥是SSL证书的核心机密，一旦遭攻击者窃取，即可解密历史通信数据或伪造证书发动中间人攻击。证书有效期越长，私钥暴露的时间窗口就越大，潜在危害范围越广。

推动证书自动化管理。  传统人工续期方式效率低下，赛门铁克报告显示约30%的证书过期事故因管理疏忽导致，CyberArk数据表明72%的企业过去一年遭遇过证书相关中断。缩短有效期倒逼企业告别手工管理，转向自动化。

淘汰老旧算法与协议。  缩短有效期可迫使网站定期更新证书，从而应用最新的加密算法和TLS协议版本，从整体上提升互联网安全水位。

有效期缩短对企业意味着什么？

续期频率大幅增加。  以一家拥有50个域名的企业为例：在1年期时代，每年只需续期50次；到200天时代，每年需续期约91次；到100天时代，每年约182次；到47天时代，每年高达约389次。如果继续依赖人工操作，运维成本将急剧攀升。

证书遥漏风险升高。  中大型企业的证书通常分散在多个部门、多个云平台和多个服务器上，传统依赖Excel表格或人工提醒的方式极易遥漏边缘业务系统的证书，导致网站拦截、API失效等事故。

合规压力持续加大。  等保、密评等合规要求对证书管理提出了标准化、可追溯的要求，手动管理难以提供完整的审计日志，在合规检查时举证困难。

企业有哪些续期方案可选？

面对有效期持续缩短的趋势，企业主要有以下三种续期方案：

方案一：ACME协议自动续期

ACME（Automatic Certificate Management Environment）是由Let's Encrypt发起的证书自动化管理协议，目前已被大多数CA机构和Web服务器支持。

适用场景：证书数量在10-100张之间、有基本运维能力的中小企业。通过Certbot、acme.sh等开源工具配合cron定时任务，可实现证书的自动申请、验证和部署。Nginx和Apache都有成熟的ACME集成方案。

优势：免费开源、社区活跃、标准化程度高。局限：需要一定的技术能力进行初始配置，对多云和复杂环境支持有限。

方案二：证书管理平台（CLM）

证书生命周期管理平台（Certificate Lifecycle Management，CLM）是专为中大型企业设计的集中化证书管理系统，支持自动发现、自动续签、自动部署、实时监控和提前预警。

适用场景：证书数量100张以上、多云混合环境、有严格合规要求的中大型企业。CLM平台可覆盖从证书申请、审核、颁发、部署、监控到续期的全生命周期自动化管理。

优势：全链路自动化、多CA支持、多环境适配、合规审计。局限：需要采购和部署成本，适合有预算的企业。

方案三：CA订阅服务（CaaS）

CaaS（Certificate-as-a-Service，证书即服务）是近年兴起的订阅制证书管理模式。企业按1-6年周期订阅证书服务，CA机构在服务期内自动完成签发、续期与部署。

适用场景：希望将证书管理完全外包的企业，尤其是对国密合规有要求的公共管理部门和金融行业。部分国内CA机构已推出支持SM2国密与RSA国际双算法同时自动续期的订阅服务。

优势：零运维、双算法支持、平滑过渡。局限：长期成本可能较高，对CA机构有较强依赖。

不同规模企业该怎么选？

个人站长和小小企业（1-10个域名） ：推荐使用ACME协议配合acme.sh或Certbot，设置每月自动续期任务即可。如果技术能力有限，可以选择提供自动续期服务的国内证书机构，由服务商在后台完成续期操作。

中型企业（10-100个域名） ：建议根据IT团队能力选择。如果DevOps能力较强，ACME+CI/CD集成是性价比最高的方案。如果运维人力紧张，可以考虑CA机构提供的控制台一键续期功能，配合到期提醒服务。

大型企业和集团（100+域名） ：CLM平台或CaaS订阅服务是必选项。手动管理在47天时代将完全不可行，必须建立系统化的证书管理能力。在选择平台时，需重点考察：是否支持多云和容器环墂、是否支持国密SM2算法、是否具备完整的审计日志功能。

提前准备，不要等到最后一刻

无论选择哪种方案，企业都应尽早行动。2026年3月起新签发的证书已经只有200天有效期，如果你还在用一年期证书，下一次续期时就会直接面对这个变化。建议企业从现在开始评估自身的证书管理现状，盘点所有域名和证书资产，选择合适的自动化方案并完成部署测试。JoySSL等国内专业证书机构支持SM2国密与RSA国际双算法同时自动续期，并提供自动监测证书状态的服务，对于需要兼顾合规与兼容的企业来说，可以作为过渡期的务实选择。

SSL证书有效期缩短已是不可逆转的行业趋势。企业需要做的不是抱怨变化，而是尽快建立与新时代匹配的证书管理能力，将证书安全从“手动驾驶”升级为“自动驾驶”。

SSL证书有效期缩短已是定局，早日建立自动化管理能力才是正解。