Sectigo 博客

NIST 正在推动全球向后量子密码学过渡，设定了在2030年弃用RSA-2048和ECC-256算法、2035年全面禁用这两类算法的时间节点。本次调整是为了应对量子计算对现有加密体系的潜在破解风险，凸显出部署抗量子解决方案以抵御“先收集、后解密”类攻击的必要性。各组织必须立即行动，开展系统审计并采用后量子密码算法，保障长期数据安全。缩短证书生命周期、采用云原生方案等协同举措，对公有和私有系统的有效适配至关重要。

SSL/TLS证书有效期向47天缩短的转变正在重塑网络安全标准，凸显了通过ACME协议实现自动化的必要性。ACME通过自动化证书签发、续期和部署等流程简化证书生命周期管理（CLM），减轻运维负担，避免因证书过期导致的业务中断。对企业和厂商而言，忽视ACME可能引发安全风险、声誉损失和效率低下问题，因此自动化是有效应对更短证书有效期的关键。

苹果提出在2028年前将SSL/TLS证书有效期缩短至47天的提案，核心目标是提升安全性与自动化水平。更短的证书周期可降低漏洞风险，推动自动化证书管理普及，促使企业采用ACME协议等高效工具。尽管该提案尚未强制执行，企业仍需通过基础设施升级、续费流程自动化、团队培训等方式提前准备。提前适配可将风险降至最低，确保在行业标准演进过程中满足合规与安全要求。

谷歌与苹果正在推动公共 SSL/TLS 证书生命周期的一项关键变革，提议将当前最长1年的有效期缩短至仅47天。这一调整由 Sectigo 支持并参与推动，旨在通过更频繁的更新提升安全性，但也会给依赖此类证书的企业、开发者和 IT 团队带来挑战。对于各类组织而言，了解从提案发布到47天证书有效期正式执行的完整路线图，是实现有效适配的关键。

选择证书生命周期管理（CLM）服务商时，需要评估企业自身的特定需求、证书规模、合规要求与可扩展性。合适的 CLM 方案应具备顺畅的集成能力、成熟的自动化能力和易用的交互界面，以提升管理效率与安全性。

SSL 证书通过三个主要验证级别保护在线数据：域名验证（DV）、组织验证（OV）和扩展验证（EV）。DV 提供基础加密，非常适合非公开站点；OV 面向小型企业完成组织身份核验；EV 提供最高信任级别，对电商与金融类站点至关重要。选择合适的 SSL 证书需结合您的安全需求、数据敏感程度与预算决定。

数字证书生命周期正经历重大变革，行业正推动缩短SSL/TLS证书的有效期。目前证书有效期约为398天，但谷歌、苹果等企业正倡导大幅缩短证书有效期，其中苹果提议到2029年将证书有效期缩短至仅47天。这一调整旨在通过限制密钥泄露后可被利用的时间窗口来提升安全性，但也给习惯了较长续期周期的IT团队带来了挑战。各类组织必须采用自动化证书管理解决方案，才能有效应对随之增长的管理负担，为这一过渡做好准备。

*本博客文章更新于2025年4月14日，更新依据为2025年4月11日确认新证书有效期的投票结果。

2024年10月9日，在CA/Browser Forum秋季面对面会议的第二天，Apple在GitHub上公布了一份供讨论的投票草案，提议逐步缩短公共SSL/TLS证书的最长有效期。2025年4月11日，由Sectigo联合发起的Apple提案投票获得全票通过。

这一分阶段实施方案将在未来四年内逐步缩短证书有效期，到2029年最终降至47天；方案同时包含逐步缩短域名控制权验证（DCV）复用周期的要求，最终需每10天重新完成一次验证。

改用47天有效期证书、后量子密码学（PQC）和密码敏捷性是三项相互关联的网络安全强化策略。缩短证书有效期可提升密码敏捷性与PQC就绪度，确保未来平滑迁移至抗量子加密体系。这些趋势体现了构建韧性强、适配性高的数字安全基础设施的主动思路。