Sectigo 博客
公钥基础设施（PKI）领域的三重挑战风暴：如何一石三鸟（剧透：这块石头是自动化）
公钥基础设施（PKI）领域的三大挑战正在集中显现：证书有效期缩短至47天、后量子密码迁移准备，以及双向TLS的逐步弃用。好消息是，自动化证书生命周期管理（CLM）这一个解决方案即可应对全部问题。了解自动化如何通过统一协调的策略，整合证书发现、续期与敏捷响应能力。
我们都知道“一石二鸟”这个说法，指的是付出一次努力就能完成两项任务。在快节奏的IT领域，能找到一石二鸟的方案已经是理想状态。
正如近期一期《Root Causes Podcast》中所讨论的，在IT领域，更具体地说是在公钥基础设施（PKI）领域，多项重大变革正在快速推进。这些变革给各类组织带来的不是两个，而是三项同时出现的重大难题，甚至可以说是危机。
好消息是，应对所有这些难题的方法是同一块“石头”。它不只是简单的证书管理，而是要实现跨组织统一的证书生命周期管理（CLM），其核心驱动力是真正的自动化。
以下是公钥基础设施（PKI）领域的三大挑战，也就是即将同时冲击企业的“三只鸟”，以及单个协调统一的项目如何应对所有这些问题。
第一只鸟：证书有效期迈向47天的趋势
整个行业正在快速推进更短的证书有效期。这一向47天证书有效期演进的趋势，正迫使各类组织在2029年3月的截止期限前，采用每月一次的证书续期节奏。这意味着续期工作量将变为原来的12倍，由此引发的服务中断和停机风险也将上升至原来的12倍。
对于依赖手动电子表格、内部工单系统和临时流程开展证书管理的组织而言，这一变更不是带来不便，而是会导致原有管理模式彻底失效。蒂姆·卡伦（Tim Callan）在《根源问题（Root Causes）》播客的本期节目中表示：“旧方法的可行性将不断下降，最终会彻底失灵。”如果你的团队连每年完成一次证书续期都十分吃力，试想每47天就要完成一次续期会是什么状况。
生存的第一步：你必须准确掌握生产环境中所有证书的存量、部署位置以及对应的负责人，这一切始于资产发现（Discovery）。
第二个风险点：后量子密码（PQC）就绪的安全合规要求
目前，针对未来量子攻击的系统安全防护竞赛已经展开。对于安全架构师而言，PQC迁移准备是一项规模庞大的工作，但其初始阶段的工作，与应对47天证书有效期新规的准备工作完全一致。
准备迎接后量子密码的第一步是什么？是资产盘点。
你必须定位所有加密资产，明确其使用场景，并确定其迁移优先级。虽然PQC影响的不止TLS服务器证书，但这类证书占据了初期工作量的“绝大比例”。这一要求意味着，PQC准备工作与缩短证书有效期带来的运维挑战存在大量重叠。
第三个风险点：双向TLS（mTLS）停用截止期
这是最新出现、也可能是最容易被忽视的风险点。行业已经明确宣布，将停止支持用于双向TLS的客户端身份认证证书。
该要求的截止日期是硬性的：2026年6月15日。
大型企业甚至可能不清楚当前自身在哪些场景下将服务器证书用于客户端身份认证。这一要求迫使企业必须立即对整个IT环境开展一次大规模排查，识别并替换这类证书。
而这需要完成的基础工作和此前完全相同：你现在能否准确统计出持有的TLS服务器证书与客户端身份认证证书各自的数量？对大多数企业而言，答案是“不能”。
核心破局方案：通过自动化打通分散的孤立工作
一直以来，这类问题通常都是在孤立的部门体系内分别处理的：安全架构师向CISO汇报PQC威胁，而运维经理向CIO汇报47天有效期新规的应对工作。这类工作的重复度极高，可能造成资源浪费、目标冲突，以及出现多套工具选型互不兼容的问题。
能够同时解决上述三类问题的“一石三鸟”方案，是由自动化能力支撑的统一证书生命周期管理（CLM）。
证书生命周期管理（CLM）可提供覆盖整个组织的核心可视化能力，无论证书的类型、颁发厂商或部署位置如何，都能提供统一的集中视图。将这三项合规要求整合为一个统一协调的项目推进，组织可以实现以下目标：
- 构建统一资产清单: 消除重复的资产发现工作。
- 实现自动化续期: 部署无需人工干预即可完成47天有效期证书月度续期的系统。
- 实现运维敏捷性: 无论是应对PQC迁移、mTLS证书停用，还是证书吊销事件，都能快速完成资产识别、迁移与替换。
提升工作统筹层级
要让这种统一方案落地见效，必须提升该项工作的管理层级。如果把这项工作交给“一线执行人员”（如Linux管理员或IT主管）处理，会导致无法形成全局视角，最终难以推进落地。
多个截止日期集中到来，这不仅是运营层面的问题，更是风险层面的问题。该事项需要CTO、CEO或产品负责人的关注——这类角色有权限同时管理安全团队和运营团队。
如果您的企业尚未启动统一协调的项目来实现证书的全面可见性与自动化管理，现在就应当着手行动。这些截止日期是明确的，且正集中到来；若不采取措施，运营风险和安全风险将呈指数级上升。
结语
Sectigo可为您提供帮助。我们在行业内的目标是向公众科普并告知这些重大行业变动。作为具备良好声誉的证书颁发机构（CA）及证书生命周期管理（CLM）提供商，我们制作各类资源，协助您应对这些影响深远的行业变化。
我们的47天工具包是协助您在组织内部启动相关讨论的第一步，帮助您在2026年3月第一个截止日期到来前，提前仅200天就布局自动化管理工作。如需了解更多信息？现在即可联系我们，我们很乐意为您提供合适的指引。