有效期200天的證書已開始到期，貴機構是否已準備就緒？

這個時間點為何重要

2026年3月15日當周簽發的證書，將於2026年10月初完結200天的有效期，續期頻率是原有398天標準下的2倍。這代表安全與IT團隊過往按年度規劃的續期工作量，現時變為每年兩次，而且今年秋季就會迎來首次落地。

這不再是需要提前規劃的未來風險，而是當下就要處理的現實問題。

簡要回顧：規則變更的背景

2025年4月，CA/Browser Forum通過了 SC-081v3 提案。該提案最初由 Apple 發起，獲得包括 Google/Chrome、Mozilla 以及 Sectigo 在內的主流瀏覽器廠商和證書頒發機構（CA）支持，針對公開可信 SSL/TLS 證書有效期縮短、域名控制驗證（DCV）重用周期調整制定了分階段實施計劃：

背後的邏輯很簡單：數碼證書有效期越長，一旦證書或其底層密鑰外洩，暴露窗口就越長；兩次驗證檢查的間隔越久，域名所有權資訊就越容易失效。更短的證書有效期，加上後量子密碼學推動的更快密鑰輪換，共同構成了向加密敏捷性演進的大趨勢。

這就是政策層面的規定。如今，IT 和安全團隊面對的是這一政策落地後的實際營運問題。

續期周期縮短後會出現哪些變化

數碼證書有效期減半後，證書的續期頻率會翻倍，所有圍繞續期構建的流程壓力也會成倍增加：

• 續期工作量會直接翻倍： 相比此前 398 天的有效期規則，企業管理的每張證書現在需要以兩倍的頻率處理。如果仍採用手動流程，原本按年續期的團隊現在大約每六個月就要續期一次，單次續期的工作量沒有任何減少。
• 資產發現缺口會更快暴露： 在 13 個月有效期規則下可「設定後即遺忘」的證書，現在不到七個月就需要再次處理。所有首次部署時未被準確盤點的證書，都會比預期更早需要再次續期。
• DCV 復用窗口也會收緊： 域名控制權驗證（DCV）的復用周期會隨證書有效期同步縮短。沒有可重複 DCV 工作流的團隊，會在每一次續期時都感受到流程阻礙，而非僅在部分續期場景中遇到問題。
• 容錯空間會縮小： 隨著續期操作更加頻繁，漏做續期會成為持續性風險。對於仍依賴電子試算表和日曆提醒的企業來說，證書過期導致的業務中斷只是時間問題，而非是否會發生的問題。

這些問題並非特定行業或特定規模的企業獨有。所有擁有公網證書資產的機構（也就是說，幾乎所有機構）現在都在同時經歷這一周期壓縮，這也是相關影響在今年秋季集中顯現、而非逐步顯現的部分原因。

原地踏步的代價

在證書有效期縮短之前，手動證書管理的成本就已經很高。而Forrester 總體經濟影響™（TEI）研究 受 Sectigo 委託開展的研究顯示，使用 Sectigo Certificate Manager（SCM）實現證書生命週期管理（CLM）自動化的機構可獲得 243% 的投資回報率，當中包括三年內減少 130 萬美元的證書配置人力成本、96.5 萬美元的續期開支，還可額外避免 240 萬美元的證書過期中斷相關損失。

上述數據是基於此前較慢的續期節奏計算得出的。在 200 天有效期規則下，自動化可抵消的人力成本和風險的發生頻率會翻倍。手動流程在每個續期周期產生的每一元成本，現在都會以兩倍的頻率產生；之前花在追蹤即將過期證書上的每一小時，現在也需要投入兩倍的時間。自動化的投資回報邏輯在 200 天有效期規則下依然成立，並且隨著有效期進一步縮短，其價值會更加凸顯。

機構未做好準備的跡象

首個 200 天續期周期往往會暴露出以下共性問題：

• 證書資產清單不完整、過時，或分散在不同團隊和工具中。
• 續期、DCV 及證書相關事件回應沒有明確的負責人。
• 續期跟蹤依賴試算表、工單或個人日曆，而非集中化系統。
• 至少對於用量最高的證書類型，不存在自動簽發或續期路徑（例如透過ACME的路徑）。

如果您對以上任何一種情況有共鳴，本次續期周期就是信號——請在2027年3月下一階段（100天有效期）到來前採取行動。

本季度需要開展的工作

1. 立即核對您的證書清單：確認3月15日前後簽發、即將到期的證書，並為每一張證書確定負責人。開展這項工作的同時，請對您機構內的所有證書進行盤點。
2. 在下一輪續期到來前，盡可能實現自動化：即便是僅對用量最高或風險最高的證書實現部分自動化，也能降低下一次有效期縮短帶來的營運負擔。
3. 在安全、IT與DevOps團隊間明確證書的所有權歸屬：當前續期節奏已經非常快，責任歸屬不明確會造成實際的流程延誤。
4. 搭建（或壓力測試）您的DCV工作流：隨着證書複用周期不斷縮短，可複用的驗證流程與續期本身同等重要。您可以考慮採用Sectigo等CLM服務商提供的持久性DCV服務，一次配置即可完成域名驗證，無需後續重複操作。
5. 立即設置監控與告警閾值，不要等到險些發生故障後再調整：由於證書續期周期已從每年一次變為每六個月一次，原本按照398天周期校準的告警窗口已經過時。
6. 將本次周期作為100天有效期階段的預演：本次續期過程中出現的任何故障或耗時過長的環節，恰恰就是2027年3月前必須修復的問題——屆時同等的續期工作量會再次被壓縮。

CLM自動化可解決的問題

首個200天續期周期中暴露的問題很少源於證書本身，更多來自圍繞證書的手動流程。自動化證書生命週期管理（CLM）可直接解決每一項此類問題：

• 發現能力：持續更新的證書清單將替代一次性審計，避免證書在續期周期間脫離管控視野。
• 簽發與續期：Automated Certificate Management Environment（ACME）等協議可讓證書在臨近到期時自動續期，無需人手手動跟蹤日期。
• DCV：集中化、可複用的域名驗證工作流可適配不斷縮短的複用周期，不會在每次續期時成為瓶頸。持久性DCV可簡化大規模場景下的域名驗證工作。
• 監控與告警：集中化的可視化能力可在證書臨期、尚未造成緊急問題時就發出標記，而非等到服務已經出現降級後才告警。
• 治理能力：清晰的審計軌跡與所有權記錄可消除責任模糊問題，避免在需要處理問題時拖慢回應速度。

以上能力無法消除底層的政策調整。數碼證書有效期仍會按計劃縮短，並且在縮短至47天後很可能會繼續縮短。CLM自動化的作用是消除手動應對該調整所需的人力成本與風險。

下一階段：100天有效期

200天有效期被定位為調整窗口，對於現在就採取行動的機構而言，它仍可發揮調整窗口的作用。但下一次有效期縮短已經排定日程：最長100天有效期的規則將於2027年3月15日生效，屆時當前的續期週期將再次減半。首個200天週期暴露的所有問題，到100天有效期階段只會更難處理，到2029年最終執行最長47天有效期規則時，手動管理模式將完全不可持續。

依託這套流程實現真正自動化的企業，將平穩適應下一輪數碼證書更新週期；而依賴人工處理臨時補丁的企業，不出一年就會遭遇更嚴峻的瓶頸。

借助SCM提前布局證書更新節奏

從現在到2029年，數碼證書更新頻率會持續升高。依賴人工、靠日曆提醒的傳統數碼證書管理模式本就無法適配這種節奏，當前的更新週期已在實時印證這一點。

Sectigo Certificate Manager (SCM) 可實現數碼證書發現、簽發、更新和監控的全流程自動化，讓有效期縮短僅成為一項配置調整工作，而非緊急救火事件。 預約演示 了解SCM如何應對當前已經到來的數碼證書更新高峰。