Sectigo 網誌
自動化倒數已展開：距離SSL/TLS 證書200天有效期生效不足一年
由2026年3月15日起，SSL/TLS 證書的有效期將由398天縮短至200天，日後更計劃進一步縮短至47天。這項調整旨在提升數碼安全水平，為後量子密碼應用做好準備。人手證書管理模式將無法配合規模需求，因此自動化部署成為必備能力。各類機構必須立即行動，盤點現有證書資產、落實證書生命週期自動化管理方案，確保在不斷演變的威脅環境下具備足夠的安全韌性。
在急速演變的數碼安全領域，證書有效期即將迎來另一次歷史性下調。這個進程的首個關鍵節點為2026年3月15日——屆時SSL/TLS 證書的最長允許有效期將由398天縮短至200天。這是業界邁向47天證書有效期的首個正式步驟，該目標要求各相關持份者立即着手準備並部署自動化方案。
倒數已經展開
即將於2026年3月15日生效的200天證書有效期規則，其迫切性不容忽視。目前距離該規則生效已不足一年，這意味着各類機構只有很短的窗口期來評估現有證書資產、排查自動化能力缺口，並在這項重大規則強制落實前完成方案部署。待到最後一刻才行動，可能會為數碼基礎設施帶來嚴重漏洞。如果您仍然採用人手方式管理證書，您的進度已經落後。200天有效期的落實近在眼前，您現時搭建的管理體系，將決定業務是能夠平穩連續運行，還是會遇上代價高昂的服務中斷、以及損害用戶信任的故障。
由2026年3月15日起，依賴人手證書管理的企業將開始感受到壓力。截至該日期，所有公開可信SSL/TLS 證書都必須遵守200天的有效期限制。這個有效期幾乎只有現時企業所習慣時長的一半，而這還只是開始。
後續的有效期縮短節點亦已確定，這項調整由Apple提出，經CA/Browser Forum投票通過生效:
- 2027年3月15日：有效期縮短至100天
- 2029年3月15日：最終目標47天有效期
這個分階段推進的方案已獲得Chrome、Mozilla與Sectigo的投票支持，旨在提升數碼信任水平、改善安全狀況，同時為後量子密碼的應用穩固基礎。
這項調整為何重要
長期有效的證書向來是隱藏的安全漏洞。在人手管理證書的體系下，398天的周期內可能出現不少變數：企業停止營運、員工離職、域名所有權變更、網絡威脅迭代升級。一張被入侵但仍維持啟用狀態超過一年的證書，就是一顆隨時會引爆的計時炸彈。
更短的有效期能夠：
- 降低漏洞長期存在的風險
- 推動更頻繁地校驗安全實務
- 促進自動化能力落地與密碼敏捷性建設
這項轉變不僅是政策調整，更是一次範式轉移。當證書每47天就需要更換時，人工管理模式根本無法實現大規模適配。
自動化：唯一可行的策略
在47天的更新周期下，機構每年需要為每個端點完成至少7-8次證書的簽發、驗證與部署工作。若欠缺自動化能力，這項工作將難以管理。
人工流程會增加以下風險：
- 證書過期與服務停機
- 業務中斷
- 瀏覽器警告削弱客戶信任
- 合規違規與財務處罰
相對而言，自動化可實現：
- 及時、無誤的證書更新
- 證書生命週期的集中可視化管控
- 降低營運負擔
- 與CI/CD、DevOps及ITSM工具整合
- 面向未來的密碼敏捷性
為何自動化等同於後量子就緒能力
自動化證書生命週期管理（CLM）最具前瞻性的優勢之一是密碼敏捷性：即當抗量子算法成為必要選項時，可快速完成向這類算法的遷移。
Apple和CA/Browser Forum已明確表示：縮短證書有效期的措施不僅是為了應對當前威脅，更是為了建立面向未來的安全韌性。自動化通過以下方式實現這種敏捷性：
- 簡化密鑰輪換與算法替換流程
- 消除對老舊密碼協議的依賴
- 確保新規範在整個基礎設施中快速部署
現時採用自動化的機構，將能夠無縫適配後量子時代的未來需求。
2026年3月15日前的準備方法
1. 發現所有證書
使用諸如Sectigo Certificate Manager (SCM)或crt.sh之類的工具，查找您環境內的每一張證書。
2. 盤點所有依賴證書的系統
明確證書的使用位置：負載均衡器、VPN、容器、微服務。
3. 梳理可落實自動化的場景
充分運用ACME 客戶端 以及其他協議（SCEP、EST）實現證書簽發與續期的自動化。
4. 制訂推廣計劃
明確角色分工、時間節點與資源配置。優先從高優先級系統開始落實。
5. 落實自動化方案
採用 Sectigo Certificate Manager 這類託管解決方案，透過統一的單面板儀表板實現證書全生命週期各環節的自動化管理。
結語
證書有效期縮短至47天的變革即將到來，2026年3月15日就是提醒您做好準備的訊號。過往的最佳實踐如今已成為必需：自動化是唯一可行的推進路徑.
借助合適的工具、策略與意識，您的機構不僅能平穩度過這次變革，更能在重視敏捷性、韌性與數碼信任的未來中獲得發展優勢。
