200天有效期的证书已开始到期，贵组织是否已做好准备？

这一节点为何重要

2026年3月15日当周签发的证书，将在2026年10月初走完200天的有效期，续期频率是原有398天标准下的2倍。这意味着安全与IT团队原本按年度规划的续期工作量，如今变为每年两次，且今年秋季就将迎来首次落地。

这不再是需要提前规划的未来风险，而是当下就要处置的现实问题。

简要回顾：规则变更的背景

2025年4月，CA/Browser Forum通过了 SC-081v3 提案。该提案最初由 Apple 发起，获得了包括 Google/Chrome、Mozilla 以及 Sectigo 在内的主流浏览器厂商和证书颁发机构（CA）支持，针对公开可信 SSL/TLS 证书有效期缩短、域名控制验证（DCV）复用周期调整制定了分阶段实施计划：

背后的逻辑很简单：证书有效期越长，一旦证书或其底层密钥泄露，暴露窗口就越长；两次验证检查的间隔越久，域名所有权信息就越容易失效。更短的证书有效期，加上后量子密码学推动的更快密钥轮换，共同构成了向加密敏捷性演进的大趋势。

这就是政策层面的规定。如今，IT 和安全团队面临的是这一政策落地后的实际运营问题。

续期周期缩短后会发生哪些变化

证书有效期减半后，证书的续期频率会翻倍，所有围绕续期构建的流程压力也会成倍增加：

• 续期工作量会直接翻倍： 相比此前 398 天的有效期规则，企业管理的每一张证书现在需要以两倍的频率进行处理。如果仍采用手动流程，原本按年续期的团队现在大约每六个月就要续期一次，单次续期的工作量没有任何减少。
• 资产发现缺口会更快暴露： 在 13 个月有效期规则下可“设置后即遗忘”的证书，现在不到七个月就需要再次处理。所有首次部署时未被准确清点的证书，都会比预期更早需要再次续期。
• DCV 复用窗口也会收紧： 域名控制权验证（DCV）的复用周期会随证书有效期同步缩短。没有可重复 DCV 工作流的团队，会在每一次续期时都感受到流程阻碍，而非仅在部分续期场景中遇到问题。
• 容错空间会缩小： 随着续期操作更加频繁，漏做续期会成为持续性风险。对于仍依赖电子表格和日历提醒的企业来说，证书过期导致的业务中断只是时间问题，而非是否会发生的问题。

这些问题并非特定行业或特定规模的企业独有。所有拥有公网证书资产的组织（也就是说，几乎所有组织）现在都在同时经历这一周期压缩，这也是相关影响在今年秋季集中显现、而非逐步显现的部分原因。

原地踏步的代价

在证书有效期缩短之前，手动证书管理的成本就已经很高。而Forrester 总体经济影响™（TEI）研究 受 Sectigo 委托开展的研究显示，使用 Sectigo Certificate Manager（SCM）实现证书生命周期管理（CLM）自动化的组织可获得 243% 的投资回报率，其中包括三年内减少 130 万美元的证书配置人力成本、96.5 万美元的续期开支，还可额外避免 240 万美元的证书过期中断相关损失。

上述数据是基于此前较慢的续期节奏计算得出的。在 200 天有效期规则下，自动化可抵消的人力成本和风险的发生频率会翻倍。手动流程在每个续期周期产生的每一元成本，现在都会以两倍的频率产生；之前花在追踪即将过期证书上的每一小时，现在也需要投入两倍的时间。自动化的投资回报逻辑在 200 天有效期规则下依然成立，并且随着有效期进一步缩短，其价值会更加凸显。

组织未做好准备的迹象

首个 200 天续期周期往往会暴露出以下共性问题：

• 证书资产清单不完整、过时，或分散在不同团队和工具中。
• 续期、DCV 及证书相关事件响应没有明确的负责人。
• 续期跟踪依赖电子表格、工单或个人日历，而非集中化系统。
• 至少对于用量最高的证书类型，不存在自动签发或续期路径（例如通过ACME的路径）。

如果您对以上任何一种情况有共鸣，本次续期周期就是信号——请在2027年3月下一阶段（100天有效期）到来前采取行动。

本季度需要开展的工作

1. 立即核对您的证书清单：确认3月15日前后签发、即将到期的证书，并为每一张证书确定负责人。开展这项工作的同时，请对您组织内的所有证书进行盘点。
2. 在下一轮续期到来前，尽可能实现自动化：即便是仅对用量最高或风险最高的证书实现部分自动化，也能降低下一次有效期缩短带来的运维负担。
3. 在安全、IT与DevOps团队间明确证书的所有权归属：当前续期节奏已经非常快，责任归属不明确会造成实际的流程延误。
4. 搭建（或压力测试）您的DCV工作流：随着证书复用周期不断缩短，可复用的验证流程与续期本身同等重要。您可以考虑采用Sectigo等CLM服务商提供的持久性DCV服务，一次配置即可完成域名验证，无需后续重复操作。
5. 立即设置监控与告警阈值，不要等到险些发生故障后再调整：由于证书续期周期已从每年一次变为每六个月一次，原本按照398天周期校准的告警窗口已经过时。
6. 将本次周期作为100天有效期阶段的预演：本次续期过程中出现的任何故障或耗时过长的环节，恰恰就是2027年3月前必须修复的问题——届时同等的续期工作量会再次被压缩。

CLM自动化可解决的问题

首个200天续期周期中暴露的问题很少源于证书本身，更多来自围绕证书的手动流程。自动化证书生命周期管理（CLM）可直接解决每一项此类问题：

• 发现能力：持续更新的证书清单将替代一次性审计，避免证书在续期周期间脱离管控视野。
• 签发与续期：Automated Certificate Management Environment（ACME）等协议可让证书在临近到期时自动续期，无需人工手动跟踪日期。
• DCV：集中化、可复用的域名验证工作流可适配不断缩短的复用周期，不会在每次续期时成为瓶颈。持久性DCV可简化大规模场景下的域名验证工作。
• 监控与告警：集中化的可视化能力可在证书临期、尚未造成紧急问题时就发出标记，而非等到服务已经出现降级后才告警。
• 治理能力：清晰的审计轨迹与所有权记录可消除责任模糊问题，避免在需要处理问题时拖慢响应速度。

以上能力无法消除底层的政策调整。证书有效期仍会按计划缩短，并且在缩短至47天后很可能会继续缩短。CLM自动化的作用是消除手动应对该调整所需的人力成本与风险。

下一阶段：100天有效期

200天有效期被定位为调整窗口，对于现在就采取行动的组织而言，它仍可发挥调整窗口的作用。但下一次有效期缩短已经排定日程：最长100天有效期的规则将于2027年3月15日生效，届时当前的续期周期将再次减半。首个200天周期暴露的所有问题，到100天有效期阶段只会更难处理，到2029年最终执行最长47天有效期规则时，手动管理模式将完全不可持续。

依托这套流程实现真正自动化的企业，将平稳适应下一轮证书更新周期；而依赖人工处理临时补丁的企业，不出一年就会遭遇更严峻的瓶颈。

借助SCM提前布局证书更新节奏

从现在到2029年，证书更新频率会持续升高。依赖人工、靠日历提醒的传统证书管理模式本就无法适配这种节奏，当前的更新周期已在实时印证这一点。

Sectigo Certificate Manager (SCM) 可实现证书发现、签发、更新和监控的全流程自动化，让有效期缩短仅成为一项配置调整工作，而非紧急救火事件。 预约演示 了解SCM如何应对当前已经到来的证书更新高峰。