Sectigo 博客
缩短 SSL/TLS 证书有效期的 7 个理由
缩短 SSL/TLS 证书有效期可降低私钥泄露、错误签发、吊销延迟等风险，从而提升数字安全水平。该做法可使证书所有权与域名控制权保持一致，推动密码敏捷性落地，同时弥补现有吊销机制的缺陷。较短的有效期还能促进自动化部署、简化续期流程，帮助系统适配未来不断演变的网络安全挑战。尽管续期频率提升会带来一定挑战，但采用自动化解决方案可降低相关风险，确保证书管理顺畅运行。
所有证书均设有设计上的到期时间。强制按固定周期续期证书，可增强任意公钥基础设施（PKI）部署的安全性。尤其是公开信任的 SSL/TLS 证书，近年来其有效期已历经多次缩短，且预计在可预见的未来还会进一步缩减。若处理不当，最长有效期的缩短会导致运维工作量增加，提升业务中断或安全漏洞的风险。尽管如此，缩短证书有效期的各项依据仍具备充分的说服力。
尽管证书到期存在相关风险，证书有效期仍然至关重要，这类机制可帮助应对不断演变的网络安全漏洞。通过要求机构续期并部署带有最新安全增强特性的证书，可压缩攻击者利用潜在弱点的时间窗口。
行业对更短证书有效期的日益重视，体现了全行业强化网络安全防御、主动应对新兴威胁的共同方向。近期的相关提案印证了这一点：Google 提出将证书有效期缩短至90 天，Apple更是计划将其压缩至仅47 天。推动这一变革的并非只有上述科技巨头——Sectigo 的专家团队也对这一转变持积极态度，认可其在提升安全性、优化运营效率、推动密码敏捷性落地方面的潜在价值。
针对这一迫切需求，““缩短证书有效期””，Sectigo的Jason Soroko解释道：“一想到我们现在的证书有效期居然这么长就觉得离谱。问题根本不是证书有效期太短，反而是在当前阶段，它的长度仍然长得离谱。” 不过，当前最长398天的证书有效期不会一直维持这一长度，因此企业必须为必然到来的趋势做好准备：更短的证书有效期与更频繁的续期操作。
下文我们将梳理缩短证书有效期的七点优势：
- 降低私钥泄露带来的风险
- 解决错发证书与证书撤销相关问题
- 保障证书所有权与域名控制权的对应一致
- 提升密码敏捷性
- 弥补现有撤销机制（如OCSP）的局限性
- 缓解证书颁发机构（CA）未按要求执行撤销带来的问题
- 推动自动化落地
私钥泄露
SSL证书包含公钥与私钥，其中公钥用于加密数据、保障通信安全；私钥可解密对应信息，必须严格保密。一旦私钥落入不法分子手中，中间人攻击数据泄露将难以避免。
私钥泄露是极高危风险，因此各证书颁发机构（CA）均建议，一旦私钥暴露需立即撤销对应证书。过去证书有效期常设置为5年甚至10年，证书暴露在被利用风险中的窗口过长。如今的行业实践优先采用更短的有效期，以最大程度降低这类风险。Sectigo的Tim Callan解释说，在最糟糕的场景下，“我们需要尽可能缩短私钥泄露后的风险暴露时长。” 而进一步缩短证书有效期，就能压缩被泄露私钥可被利用的时间窗口，是实现这一目标的最佳方式。
要求各证书颁发机构（CA）在发现证书私钥泄露后的24小时内完成对应证书的撤销，以此强调私钥安全的重要性，也进一步凸显了该问题的严峻性。CA/浏览器论坛
错发证书与撤销问题
证书错发存在多种形式，比如证书包含错误信息、格式不符合规范，或是存在其他影响安全性的缺陷。正如Tim Callan解释的，这类问题会导致证书的“安全性或兼容性低于预期水平”，为整个证书生态埋下潜在安全隐患。
理想状态下，错发的证书会被快速发现并处置，但实际情况并非总能如此。当这类问题未被及时察觉时，较短的证书有效期能提供额外的安全保障，确保错发的证书可以更快被轮换替换。
证书所有权与域名控制权的对应一致
域名控制验证（DCV）是数字证书签发流程中的关键环节，用于验证申请SSL/TLS证书的机构确实拥有证书对应域名的控制权。然而，正如Tim Callan 强调指出 所指出的，当前的DCV流程存在明显缺陷：部分场景下，证书在签发后可长期保持有效，期间无需重新验证域名所有权，可能导致安全隐患无法得到及时处置。
例如，根据现行规范，DCV 复用周期最长可达 398 天——与证书最长有效期一致。理论上，一个域名可能超过两年都不会重新进行 DCV 验证。证书所有权与域名控制权的这种错配会带来安全风险，缩短证书有效期有助于缩小未经核查的域名与有效证书保持关联的时间窗口，从而缓解这类风险。正如 Callan 所指出的，即便是现在的一年期证书，有效期也可能显得过长，这凸显出持续推进证书有效期收紧工作的必要性。
密码敏捷性
密码敏捷性在当下快速变化的数字环境中愈发重要：新技术、密码算法和安全挑战层出不穷，要求相关方持续调整适配。随着后量子密码时代日益临近，密码算法被淘汰的可能性不断提升，这种敏捷性将变得更为关键。到那时，IT 专业人员将无法再指望在整个职业生涯中始终沿用同一套密码策略。
缩短证书有效期可加快更强加密算法的落地应用，确保体系符合不断演进的安全标准，从而推动密码敏捷性建设。例如，SHA-1被淘汰时，证书有效期最长可达三年，这大幅延缓了向更安全密码方法迁移的进程。在后量子时代，算法的有效生命周期存在不确定性，更短的证书有效期有助于降低先进安全方案的落地延迟。
相比之下，较长的证书有效期存在诸多问题，简单来说，它会催生懈怠心理。并非所有企业都会主动采用更完善的密码标准或安全实践，往往要等到证书即将到期，必须通过续期更换安全性更强的证书时，才会采取相关行动。
现有吊销机制（OCSP）并不完善
在线证书状态协议（OCSP）用于查询 SSL/TLS 证书的吊销状态，其设计初衷是提供一种更可靠的方式，来检测和处置已泄露的证书。遗憾的是，OCSP 远非完美。事实上，Tim Callan 将这一机制比作“一遇车祸就断裂的安全带”。他还补充称，OCSP “从根本上是可被攻破的”，因为它很容易成为单点故障。如果 OCSP 服务器过载或因其他原因不可用，客户端往往会忽略证书状态直接接受证书。此外，正如《Root Causes》播客第272期.
中所述，OCSP 还存在隐私问题，会被用于浏览器用户追踪。随着证书有效期缩短，上述问题的紧迫性会有所降低：更短的有效期提供了一种可靠的权宜方案，通过整体降低对吊销机制的依赖，有效缓解上述问题带来的影响。
证书颁发机构未妥善执行吊销操作
除证书签发外，证书吊销是现代证书颁发机构（CA）最核心的职责之一，但这项工作往往处理失当。部分 CA 未能及时吊销已泄露的证书，有时是因为不愿给证书订阅方造成不便。这一问题在行业内反复出现，引发了多方信任挑战，也凸显了探索更优解决方案的必要性。
缩短证书有效期是一种切实可行的解决方案，可降低对存在缺陷的吊销机制的依赖。正如Tim Callan所指出的，若证书的最长有效期仅为47天，即便吊销流程延迟或完全失效，也能从本质上限制被泄露证书的有效活动时长。
推动自动化应用
对于依赖过时人工证书续期流程的企业而言，缩短证书有效期最初可能看似是阻碍，但它同时也是推动企业采用自动化解决方案的强大动力。自动化可加快证书续期速度，还能提升流程可靠性——部署自动化解决方案后，无需人工跟踪到期日期，也不必担心遗漏续期。
尽管具备上述优势，仍有许多企业迟迟未采用自动化解决方案。
这种抵触情绪可能源于对变革的简单（但存在隐患的）抗拒：企业可能认为当前人工方式尚能满足证书管理需求，因此不愿做出改变。但随着证书有效期缩短，这种安于现状的状态将难以为继。更短的有效期将形成一个临界点，让企业意识到自动化已不再是可选方案，从而推动这类解决方案的广泛应用。
Apple和Chrome推动缩短证书有效期的核心动机之一，就是促成这种向自动化的转型。
挑战与注意事项
缩短证书有效期或许确有必要，但对于仍依赖人工流程的企业而言，这也可能带来重大挑战。管理负担上升在所难免，而续期频率提升会大幅增加人为失误风险，进而可能导致证书故障和业务中断。
自动化可帮助解决这些问题，但企业必须采取主动应对策略；这一转型需要一定时间，在证书有效期缩短之前完成转型，远比缩短之后再调整要顺畅得多。
拥抱更短的证书有效期，提升安全水平
证书有效期缩短已是必然趋势——企业无需对此感到畏惧，反而应将其视为提升网络安全与合规能力的契机。自动化解决方案可大幅降低转型难度，同时帮助企业实现对证书的全面可见性与管控。
是否已准备好完成转型？请选择Sectigo Certificate Manager (SCM)提供高效的证书生命周期管理（CLM）服务。Sectigo Certificate Manager（SCM）作为专为相关场景打造的云原生平台，可提供全流程可见性，优化证书发现、颁发、部署、吊销、续期等核心CLM流程。请提前为证书有效期缩短做好准备，充分发挥自动化的价值。