Sectigo 博客
企业如何应对47天证书生命周期：影响解读与最新进展
苹果提出在2028年前将SSL/TLS证书有效期缩短至47天的提案，核心目标是提升安全性与自动化水平。更短的证书周期可降低漏洞风险，推动自动化证书管理普及，促使企业采用ACME协议等高效工具。尽管该提案尚未强制执行，企业仍需通过基础设施升级、续费流程自动化、团队培训等方式提前准备。提前适配可将风险降至最低，确保在行业标准演进过程中满足合规与安全要求。
企业必须适配新的安全要求，以保障业务运营与客户安全。近期一项重要变更是苹果在CA/Browser Forum（CA/B论坛）提出的提案，计划将SSL/TLS证书的最长有效期从398天缩短至仅47天。该提案由Sectigo发起支持，规划了在2028年3月前逐步将公开SSL/TLS证书最长有效期下调至47天的实施方案，同时还提出缩短域名控制权验证（DCV）的复用周期，最终也将在2028年3月前将该周期限制在10天。
本次更新是在苹果2024年10月提出的前序提案基础上调整而来——此前的方案计划在2027年前逐步将证书有效期缩短至45天。尽管缩短证书生命周期的要求尚未成为强制规定，但调整为47天的提案释放出明确的行业转向信号，企业需提前做好准备。下文将解读该提案对行业的意义、将带来的影响，以及企业如何提前应对。
什么是47天证书提案？
从历史沿革来看，2012年之前SSL/TLS证书的有效期最长可达10年，之后逐步缩短至3年、2年，最终在2020年进一步下调至1年（398天）。本次提案提出的47天有效期将是一次重大调整，其目的是通过加快对新兴威胁的响应速度、限制证书被劫持后带来的潜在风险，强化在线安全水平。证书有效期的持续缩短，体现了行业在数字信任与韧性建设思路上的重大转变。
推动这一变革的核心动因是提升安全性。更短的证书生命周期缩短了攻击者利用潜在漏洞的时间窗口：如果证书有效期过长，更易在未被察觉的情况下被劫持，进而引发严重风险。若证书有效期缩短至47天，企业需要更频繁地更新并重新验证证书，从而压缩攻击者利用被劫持证书的时间范围。
推动该提案的另一个关键因素，是需要推动证书管理的自动化普及。随着证书有效期不断缩短，对企业而言，自动化证书管理已经从可提升效率的可选方案变为必备实践。当证书有效期仅为47天时，企业必须实现证书续费流程的自动化——过去适用于长周期证书的人工续费方式将不再可行。因此，对自动化的强调是苹果本次提案的核心组成部分。
这对行业意味着什么？
拟议的47天证书有效期将给行业带来多方面影响，对于仍依赖手动或半自动化证书续期流程的企业而言，行政负担增加的问题尤为突出。随着续期操作愈发频繁，企业需要采用更高效的系统和流程来避免服务中断。这一变化要求企业重新评估现有实践，若不对自身系统进行相应调整，多数机构可能面临更繁重的行政工作压力。
此外，这一变更将推动行业向更高程度的自动化和零接触部署方向发展。强大的自动化解决方案已成为高效管理证书部署、监控、续期和更新等任务、无需人工介入的核心必备能力。企业将逐步采用更先进的证书生命周期管理（CLM）工具，例如ACME（Automatic Certificate Management Environment，自动证书管理环境）协议，以简化上述流程。这一趋势也可能促使证书颁发机构（CA）调整自身服务内容，推出支持自动续期、便于集成到CI/CD（Continuous Integration/Continuous Deployment，持续集成/持续部署）流水线的全新API能力及相关服务。
CA/B论坛的相关进展与苹果的提案
苹果的提案在负责监督证书标准的行业监管机构CA/B论坛内部引发了广泛讨论。苹果与谷歌等其他主流浏览器厂商一直倡导缩短证书有效期，以此提升互联网安全水平。以下是核心进展汇总：
- 苹果推动缩短证书有效期：苹果是缩短证书有效期最积极的倡导者之一。本次提出的47天有效期被视为在之前将有效期缩短至398天之后的合理演进。苹果方面认为，更短的证书有效期将推动企业养成更好的安全习惯，倒逼行业实现实践现代化，尤其是在自动化应用层面。
- 行业意见存在分歧：尽管行业内部分主体认同苹果的提案，但也有观点认为，如此短的有效期会给尚未实现证书管理全自动化的企业造成负担。Sectigo坚决支持缩短证书有效期，甚至为该提案的投票提供了赞助。
- 实施日期尚未确定：尽管该提案已获得一定支持，但目前尚未被采纳为强制要求。这为企业留出了准备时间，但证书有效期缩短的趋势已经十分明确。如果新规则正式落地执行，提前启动适配工作的企业将具备更有利的应对条件。
企业的应对准备方式
鉴于47天证书有效期很可能成为行业标准，企业必须从现在开始着手准备。各机构可参考以下步骤制定就绪方案：
- 投入部署自动化工具：如果企业尚未使用自动化CLM解决方案，应当及时采购支持ACME或同类协议的工具。这类工具可在无需人工介入的情况下，完成证书签发、监控、续期和吊销的全生命周期管理。自动化可降低证书过期风险，保障业务持续在线与安全。
- 评估现有证书基础设施：梳理当前证书基础设施现状，识别需要现代化改造的环节。企业应当开展全面审计，明确自身持有的证书数量、部署位置，以及是否具备支持自动续期的能力。
- 部署集中式管理系统：集中式证书管理系统可让IT团队在统一位置管控所有证书，实现更出色的可见性与控制力。该方案可简化证书续期流程，避免遗漏任何证书。
- 开展团队教育培训：证书生命周期调整为47天后，IT团队需要掌握新的技能。企业应投入培训项目，确保员工充分了解所需的自动化工具与实践方法，以便高效管理更短生命周期的证书。
未来展望
将证书生命周期设为47天的提案，体现了行业对提升安全性与自动化水平的推动方向。尽管该项调整尚未成为强制要求，企业仍应从现在开始做好准备。通过部署自动化工具、实现证书集中管理、开展团队培训，组织机构可以提前做好应对准备，最大限度降低证书生命周期缩短带来的相关风险。这种主动应对的方式不仅能确保符合新兴标准要求，还能在数字化程度不断提升的环境下，强化业务运营的安全性与可靠性。