Sectigo 網誌
為未來做好準備：蘋果提出的47天證書有效期提案
數碼證書證書生命週期正經歷重大變革，業界正推動縮短SSL/TLS證書的有效期。目前證書有效期約為398天，但谷歌、蘋果等企業正倡議大幅縮短證書有效期，當中蘋果提議到2029年將證書有效期縮短至僅47天。這項調整旨在透過限制密鑰泄露後可被利用的時間窗口來提升安全性，但同時亦為習慣了較長續期週期的IT團隊帶來挑戰。各類機構必須採用自動化證書管理解決方案，才能有效應對隨之增加的管理負擔，為這次過渡做好準備。
本文根據蘋果最新公告於2025年3月10日更新。
數碼證書生命週期提供了一套結構化流程，支援安全套接層（SSL）/傳輸層安全（TLS）通訊場景下數碼證書的使用。證書會經過驗證、簽發、部署流程，最終完成續期（或吊銷）。不過這套生命週期看似穩定，實則一直處於動態變化之中。多年來它經歷了多次重大調整——當中就包括持續推進的證書總有效期縮短工作。
儘管目前證書有效期普遍為398天，但越來越多跡象顯示這個現狀不會維持太久。業界圍繞谷歌公開表示將轉向90天證書的計劃已有大量討論，而蘋果希望更進一步，推行更短的證書有效期。蘋果的目標：到2029年將證書有效期縮短至僅47天。
在證書頒發機構瀏覽器論壇（CA/B Forum）的一次會議上，蘋果提交了一份投票草案，提議逐步縮短SSL/TLS證書有效期，直至將其縮短至47天。該提案獲Sectigo支持，當中明確了具體的證書有效期時長、提前續期窗口規則，同時亦限制了域名控制驗證（DCV）結果的可重用週期。我們會在下文中拆解該提案內容，梳理關鍵時間節點，以及協助企業為數碼生態的這一新常態做好準備的後續行動方向。
推動47天有效期落實的關鍵時間節點
蘋果提出的調整方案向47天SSL有效期的過渡或會在數年內逐步推進，過程中設有多個里程碑節點。我們會在後文詳細說明各個重要時間點，但目前首先需要重點關注的是2029年中後期，這是47天證書有效期有望正式落實的時間。
請注意：目前有關內容仍處於提案階段，必須經投票通過後，47天有效期規則才會正式實施。但這份提案體現了業界向更短證書有效期發展的明確趨勢。即使蘋果最終沒有落實這份47天有效期的提案，受限制的證書有效期亦很大機會以某種形式成為現實。
當前SSL證書有效期
數碼證書續期前可用超過一年，當前SSL證書有效期 的有效期通常相對較長，為398天。儘管如此，不少企業仍難以跟進證書續期工作，因此面臨嚴重的服務中斷風險。不過，現時398天的有效期仍能提供一定緩衝，若谷歌提出的90天有效期方案或蘋果提出的47天有效期方案落實，這一緩衝將不復存在。
證書有效期縮短時間線
除了表示會縮短證書有效期外，蘋果亦發布了清晰的路線圖，說明該調整的推進方式。蘋果不會直接將證書有效期縮短至47天，而是會採取漸進式推進策略，以更平穩、緩慢的節奏逐步壓縮有效期。
在介紹當中的關鍵里程碑前，需要說明：公鑰基礎設施（PKI）中的一項基礎流程可能會對蘋果縮短證書有效期的計劃產生重大影響，即域名控制驗證（DCV）。該流程指證書頒發機構（CA）對證書申請者的域名所有權進行驗證，是SSL/TLS流程的關鍵組成部分；未完成DCV則無法簽發或部署證書。而DCV重用機制允許在特定條件下跳過重新驗證流程。
考慮到這一點，針對可能到來的47天證書有效期做準備的企業，需要留意以下關鍵日期：
2025年9月15日。若蘋果的提案落實，證書總有效期將縮短至200天，但提前續期的窗口期僅為20天，屆時DCV重用週期將為200天。
2026年9月16日。在200天有效期政策執行一年後，蘋果將推進下一階段調整，將證書有效期縮短至100天，提前續期窗口期為10天。同時，DCV重用週期也將同步縮短至100天。
2029年9月中下旬可能會為蘋果的47天證書有效期計劃帶來一項關鍵調整，將域名控制驗證（DCV）重用週期縮短至僅10天。
證書有效期對照表
蘋果47天有效期提案的影響
蘋果的提案反映了網絡安全領域的一大趨勢：更短的證書有效期被視為應對各類安全風險的關鍵措施。若密鑰泄露，較短的有效期可以限制惡意攻擊者利用該泄露密鑰的時間窗口。但遺憾的是，如果企業需要疲於應對高頻的證書續期工作，就很難充分發揮這些安全優勢。若47天有效期提案正式落實，企業將需要升級至自動化證書管理策略。
安全優勢
證書有效期每多一天、一周或一個月，被手段日益精進的威脅攻擊者攻破的風險就會隨之升高。在最壞的情況下，較短的有效期能夠壓縮攻擊者濫用已泄露證書的可用時間。較短的有效期還能推動企業強化合規能力與響應敏捷性。
給IT團隊帶來的運營負擔
儘管縮短證書有效期有諸多益處，但對於本就繁忙的IT專業人員而言，這也會帶來顯著問題。許多人因數碼證書數量龐大而不堪重負，若仍在使用耗時的手動流程，情況則更為嚴峻。如果缺乏簡化、自動化的流程，證書續期需求的增加將會讓本就
顧慮與挑戰
隨著證書有效期持續縮短，各類挑戰的出現是可以預見的。雖然縮短證書有效期能夠提升安全性，機構最終會從中獲益，但首先需要克服以下幾重障礙：
遺留系統與非自動化環境
即便是在有效期為397天的更長週期下，業界也強烈推薦採用自動化方案，但此前部分機構僅依靠手動續期策略也能勉強維持。這種方式無疑會給IT部門造成負擔，還可能大幅提升人力成本、增加人為錯誤風險，但在證書有效期較長的情況下，至少具備一定可行性。不過這一情況即將徹底改變，各機構在採用自動化的同時，需要快速適配新的系統。
另一項顧慮在於：遺留系統通常不兼容自動化證書管理環境（ACME）。這類系統不僅更容易出現證書過期問題，還往往存在擴展性不足的缺陷。
小型企業及資源受限機構面臨的壓力
上述挑戰或會影響各行各業、不同規模的機構，當中對於IT部門本身已承受較大壓力的小型企業來說，這類問題造成的影響尤其嚴重。假如證書管理流程沒有內置自動化功能，小型機構將面對服務中斷風險，隨之而來的各類安全問題亦可能是其難以應對的。
為47天證書有效期做好準備：自動化的作用
就目前所見，證書有效期縮短已是必然趨勢，只不過是時間問題。未有做好相應準備的機構，在短有效期政策正式落實時，極有可能陷入大量故障問題。視乎機構現時採用的策略，準備工作或會涉及轉型至自動化證書管理模式。
基礎設施準備工作
在升級證書管理解決方案之前，可能需要先完成部分準備工作。首先，請確認現有系統是否支援ACME及其他自動化工具。請預先充分規劃基礎設施升級工作，因為這類升級的落實執行往往耗時較長。
當前可採取的步驟
儘管上文提及的關鍵節點看似尚遠，但切換至自動化解決方案需要一定時間。現在就應着手規劃並落實相關策略，從而平穩應對證書有效期縮短這個必然趨勢。除評估及升級基礎設施外，請執行以下步驟，提升對證書有效期縮短的應對準備程度：
即時行動項目
在不斷變化的數碼環境中，自動化證書管理已是明確的必要選項，其核心目標是減少人手操作，配合自動化工作流程。假如現有流程尚未引入自動化，現在就應開始評估證書生命週期管理（CLM）解決方案，理清其如何融入企業整體安全體系；若已部署自動化功能，仍需採取額外措施：審核現有系統，確保其能夠滿足證書有效期縮短帶來的更高營運要求。
長期規劃
在採取即時措施配合更短的證書有效期同時，亦需重視策略規劃。這類規劃將決定企業在當前變革階段以至長遠未來的證書管理模式。完善的規劃可提升擴展性與靈活性，同時提高自動化證書管理的投資回報。
即時聯同Sectigo，為更短的證書有效期做好準備
無論這次證書有效期縮短的趨勢是由Google還是Apple率先推動，其落實已成必然。現在就應做好準備，避免這次必然的生命週期縮短變動演變成管理難題。Sectigo可提供專業有力的指導，協助企業平順完成過渡。
Sectigo Certificate Manager (SCM) 可實現從簽發、發現到部署、續期的全SSL證書生命週期自動化，輕鬆應對海量SSL/TLS證書管理場景。借助SCM的集中式儀表板，您可以實時檢視所有證書的狀態，消除人手工作負擔，最大限度降低證書意外過期的風險。