Sectigo 網誌
理解風險級別：由2026年3月15日起SSL/TLS證書有效期將縮短至6個月
公開SSL/TLS證書有效期將縮短至200天（續期證書有效期為199天），該規定自2026年3月15日起實施，是推動證書有效期大幅縮短的首個關鍵節點。這項變動將大幅提升證書更新頻率，暴露人手處理證書管理模式的局限。隨着業界逐步落實證書有效期縮短至100天、最終縮短至47天的目標，未實現證書管理自動化的機構將面臨服務中斷、合規不達標、營運成本上升的風險。即刻採用自動化的證書生命週期管理（CLM）方案，對維持證書資產可見性、管理能力可擴展性以及數碼信任韌性至關重要。
數碼證書的有效期正在縮短，這已不再是遠期風險。首次重大變更將於2026年3月15日落實，屆時公開SSL/TLS證書的有效期將縮短至僅200天，較此前398天的有效期大幅下降。該限制適用於強制執行時間表內新簽發的證書。
這項變更將加快證書更新週期，進一步提升人手處理證書管理的複雜度。隨着證書有效期縮短，新规生效後證書更新工作量基本翻倍，未部署自動化解決方案的機構將難以跟上更新節奏。若不調整證書管理方式，遺漏更新、證書過期的風險將上升，繼而可能導致合規不達標、客戶信任受損。
隨着業界推進2027年實現100天有效期的下一階段目標，以及後續最終將最長有效期縮短至47天，上述挑戰會進一步加劇。在證書有效期持續縮短的趨勢下，當下採取行動可紓緩證書管理壓力。應對不斷上升的風險最迫切、最有效的舉措是什麼？採用自動化的證書生命週期管理（CLM）。
變更內容與背景原因
2025年4月，證書頒發機構瀏覽器論壇（CA/Browser Forum）通過了SC-081v3號提案。該提案制定了縮短公開SSL證書有效期的詳細時間表。這項分階段縮短證書有效期的措施，源自蘋果提出的動議，獲得了包括Google/Chrome、Mozilla、Sectigo在內的主流瀏覽器廠商和證書頒發機構（CA）的支持。
這一變更反映出業界已愈發認識到，過長的證書有效期會帶來更高的安全風險。有效期越長，漏洞暴露窗口就越久，風險敞口也就越大。而即將到來的向後量子密碼學的遷移，將要求數碼證書環境具備更強的密碼敏捷性，這進一步放大了上述風險。更短的有效期將倒逼機構從人工證書管理模式轉向自動化解決方案，實現快速的密鑰輪換和算法更新。
即將落地的SSL證書有效期調整時間線
證書有效期從398天調整為47天的續期周期不會一次性落地，而是將分階段推進，讓各組織可以隨着各階段逐步縮短有效期的要求平穩適配。
Ballot SC-081v3 規定的執行日期如下：
- 2026年3月15日 - 最長有效期200天：這是首次重大調整，將證書有效期減半，此後證書需每199天續期一次。我們建議您將其視為6個月有效期的證書，從實操角度出發，可在第180天啟動續期，預留故障恢復時間。到這一階段，未部署自動化流程的企業將開始感受到運維壓力。不過該階段仍屬於過渡期，可為企業留出充足時間，在下一次重大調整落地前提升證書可見性、優化工作流。
- 2027年3月15日 - 最長有效期100天：隨着證書有效期再次減半，人工證書管理模式將難以為繼。未響應第一階段有效期縮減要求的企業，在此階段大概率會面臨續期積壓、服務質量下降的問題。此時企業仍有時間向自動化證書管理模式、精簡續期流程轉型，但如果延後部署自動化，容錯空間將被極度壓縮，讓這一轉型在運維層面顯得十分緊迫，甚至會出現倉促上線的情況。
- 2029年3月15日 - 最長有效期47天：關鍵截止日期為2029年，屆時最長47天有效期的證書規則將正式生效。理想狀態下，企業已經平穩適配200天、100天有效期的要求，做好了充分準備。在證書頒發機構（CA）和集中式自動化證書管理工具的支撐下，準備充分的組織可實現無縫過渡。而仍依賴人工流程的企業將面臨持續的運維壓力、難以避免的人為失誤，以及迫在眉睫的安全威脅。
每進入一個新階段，證書續期頻率都會提升，這壓縮了續期延遲的容錯空間，在本次規則落地的後續階段中，人工管理模式的有效性會持續下降。
證書有效期縮短會如何提升風險？
更短的證書有效期本身不會帶來風險，風險來自於準備不足的系統和人工流程。
隨着證書有效期縮短，依賴人工證書管理、碎片化工作流或老舊公鑰基礎設施（PKI）流程的企業將面臨更高風險。此前可預測的續期節奏會逐步收緊，這些變化會帶來更大的運維壓力，還可能進一步暴露現有安全或合規層面的薄弱點，相關風險包括：
- 續期總量：由於端點、機器身份規模的持續擴張，以及零信任架構的普及，證書總量本就處於上升趨勢，更短的有效期會提升證書續期頻率，進一步加劇這一挑戰。
- 運維壓力：人工證書管理流程無法適配更短的證書續期周期。本次有效期逐步縮減的每一個新階段，都會在本就繁重的運維負擔上繼續加碼，進一步提升IT開銷。
- 業務影響：當IT團隊人力被嚴重透支時，證書監控會變得雜亂無章，續期也會開始出現遺漏，進而引發服務中斷，不僅會造成服務中斷，還會導致合規失敗：長此以往將損害客戶信任。
運維與成本影響
人工管理證書成本高、耗時長。除日常工作量外，還會提升人為錯誤導致服務中斷的概率，增加緊急修復需求，進而引發計劃外工作、事件響應及服務恢復等一系列額外投入。
縮短的不只是證書有效期。域名控制驗證（DCV）的複用周期也在壓縮，最終將縮短至10天，這可能成為高頻發證場景下的隱性瓶頸。
針對總擁有成本（TCO）的分析始終表明，自動化證書生命週期管理（CLM）在採購、運維、人力等維度均可實現顯著成本節約。節約規模會隨證書量增長、有效期縮短等因素同步擴大。
隨着SSL/TLS證書有效期縮短，CLM自動化的投資回報率將持續提升，從一種戰略優勢轉變為營運層面的必要舉措。更短的有效期會放大現有流程的低效問題：在398天甚至200天有效期下尚可維持的操作模式，到100天有效期時會面對顯著挑戰，等到47天有效期時將徹底難以為繼.
企業在3月15日前需要完成哪些準備？
現在為證書有效期縮短路徑上的首次重大變更做準備還為時不晚。採取幾項主動措施即可提升就緒度，同時為後續面向100天有效期里程碑的調整打好基礎。
- 首先要優先開展證書發現工作。即盤點所有數碼證書，確認其歸屬、使用場景和到期時間。雖然本次有效期縮短規則僅適用於公開信任的SSL/TLS證書，但實現全量數碼證書的可視性，可更清晰地明確證書歸屬、強化治理能力，更早識別續期風險。
- 可視性還覆蓋當前的證書生命週期全流程。請梳理現有流程，定位仍依賴人工操作的環節及優化方向，着手評估自動化落地機會，例如探索如何通過自動化證書管理環境（ACME）.
- 等協議簡化發證與續期流程。明確各角色職責與責任邊界，對齊安全、IT與DevOps團隊的權責劃分。權責歸屬不清可能影響策略執行效果，或破壞與CI/CD流水線的集成。
完成上述關鍵步驟後，企業即可在證書有效期縮短前，順利完成自動化解決方案的集成。
關於CLM自動化，相關數據呈現了哪些結論？
Forrester Consulting受Sectigo委託開展了一項Total Economic Impact™（TEI）研究，結果顯示，使用Sectigo Certificate Manager（SCM）平台實現證書生命週期管理自動化的機構可獲得243%的投資回報率。
該研究證明，CLM自動化在證書全生態範圍內可帶來可量化價值，包括顯著降低營運風險與停機時長。例如，三年間可節省證書配置人力成本130萬美元，節省續期相關成本共計96.5萬美元。研究還發現安全風險與停機風險出現顯著下降，儘管這部分價值未做財務量化。
200天是多數機構的調整窗口期
即將到來的200天有效期調整可視為一次早期預警，也可被定義為一個絕佳機遇. 這段過渡期為各機構提供了機會，可在證書有效期縮短至100天、47天階段帶來的更大壓力到來之前，驗證自動化策略、優化工作流程並彌補差距。
首個關鍵里程碑——證書有效期200天的階段，將對現有工作流程形成考驗，同時也會切實證明做出適配調整的必要性。即刻着手準備的團隊依託可適配緊湊續期週期的流程，將能相對從容地應對後續的有效期縮減。而若遲遲不行動，後續每個階段的壓力都會不斷加大。每一次有效期縮短都會加重運維負擔，提升服務中斷的發生概率。
借助SCM適配更快的證書到期週期
這一轉變將證書管理從周期性續發事件，轉化為持續不間斷的常態化營運工作。現在就着手應對這一變化，有助於提前防範不斷累積的風險。隨着證書有效期不斷壓縮，續發頻率持續上升，人為容錯空間將被壓縮到極低水平。未來手動流程將難以為繼，可採用自動化解決方案簡化這一轉型過程，為步入量子時代時更便捷地完成調整打好基礎。
各機構可借助 順利完成這一過渡Sectigo Certificate Manager (SCM). SCM可實現從資產發現、證書簽發，到續期、監控和吊銷的完整數碼證書生命週期自動化，提供集中化可見性與統一管理平台，支持大規模高效管理數碼證書。 預約示範，探索自動化證書生命週期管理（CLM）的優勢。