Sectigo 博客
数字安全的未来：47天证书生命周期时代正在到来
CA/B 论坛批准将证书最长有效期设为47天，标志着数字安全领域的一次关键转变。尽管这会带来运营层面的挑战，但它能显著增强线上信任、推动自动化部署，同时降低威胁暴露面。这一变化将促使各组织在未来四年内实现证书管理现代化、提升响应敏捷性，并树立安全优先的理念。
CA/B 论坛通过投票批准将证书最长有效期设为47天，是近年来数字安全行业最具影响力的变革之一。该决策将对证书管理、安全实践，以及各组织构建互联网信任体系的长期发展路径产生深远影响。尽管这一变化会带来新的运营挑战，但它也是强化线上安全的关键一步，能够确保在威胁持续存在的环境下，数字身份始终保持可信与韧性。
CA/B 论坛关于证书有效期的规则演变
促成这一决策的过程十分漫长，期间经历了大量讨论、多方利益博弈，以及在安全性与落地可行性之间的持续权衡。CA/Browser Forum（CA/浏览器论坛）是由证书颁发机构（CA），以及使用数字证书的浏览器、操作系统和其他软件提供商组成的联盟，该组织长期以来一直在探讨 SSL/TLS 证书的最优有效期。历史上，证书最长有效期一直在逐步缩短：最初从最长3年调整为2年，之后又从2年调整为1年。每一次缩短都遭遇了阻力，尤其是担心管理负担增加的组织对此持反对态度。但随着时间推移，缩短有效期带来的安全收益始终大于运营层面的挑战，这使得这类调整不仅必要，而且必然会发生。
包括苹果、谷歌、Mozilla 在内的浏览器厂商均强烈支持缩短证书有效期，理由是面对新兴安全威胁必须具备响应敏捷性。Sectigo 是唯一发起该投票提案的证书颁发机构。最终投票中无反对票，表明全行业已明确形成安全优先于便利性的转向。
缩短证书有效期为何能提升安全性
缩短证书有效期的倡议近年来获得了越来越多的支持，尤其是安全研究人员和行业领袖反复强调长有效期证书存在的风险。当证书长期保持有效时，攻击者就有更充足的时间窗口利用被泄露的密钥、过时的加密算法，以及那些本可通过续期周期修复的漏洞。 更短的证书有效期会迫使组织更频繁地更新加密密钥，降低潜在威胁的暴露时长，确保安全基础设施保持最新状态。
研究还表明，SSL证书所有权与域名控制确实存在脱节的普遍倾向，不法分子可利用这种脱节实施潜在攻击。缩短SSL证书的最长有效期可以缩小这一攻击窗口。
行业反响与自动化推进
投票通过后，真正的落地工作才刚刚开始。尚未采用自动化方案的机构需要加快部署证书生命周期管理（CLM）工具。在以往的有效期限制下还可勉强维持的人工续期流程，在47天的周期下将完全无法持续。未能及时适配的机构将面临服务中断、合规失效以及安全态势减弱的风险。从多方面来看，这一变化都是推动行业现代化的催化剂——促使整个行业向自动化、更完善的密钥管理以及更精简的安全流程方向发展。
47天证书政策对未来的影响
对于数字安全行业而言，这一决议是一个重要转折点。它凸显了一个现实：在网络威胁快速演变的时代，静态安全措施已不足以应对风险。敏捷性和主动风险管理必须成为现代安全策略的核心。证书颁发机构（CA）、安全团队和IT管理员都需要重新审视自身的工作方式，确保其基础设施能够应对更高频次的证书续期需求，同时保持运营效率。
除技术层面的影响外，这一转变也反映出全行业正普遍向安全优先的思维模式转变。过去支持更长证书有效期的理由通常是出于便利性，但便利性已不能再作为安全决策的首要驱动因素。采用更短的证书有效期，是对当前安全风险极高这一现实的正视。互联网信任建立在底层基础设施的完整性与安全性之上，本次投票的通过进一步巩固了这一基础。
前进的道路并非没有阻碍。各机构需要在自动化、人员培训和流程优化方面投入大量资源。证书颁发机构（CA）需要在过渡阶段为客户提供支持，提供适应这一新规所需的工具和资源。此外，和此前历次缩短证书有效期的调整一样，未来几年业内也将持续讨论如何细化和完善这类政策。
批准47天的证书生命周期，不仅仅是一次技术层面的变更，更是数字安全发展进程中一个具有标志性意义的节点。它明确传递了全行业致力于降低风险、提升敏捷性、构建更具韧性的互联网的决心。尽管挑战依然存在，但这一决议带来的长期收益将远大于初期实施的阻碍，也进一步印证了在连接程度日益提升的世界中，安全必须始终放在首位的原则。