Sectigo 網誌
企業應對47天證書生命週期的方案：影響解讀與最新進展
蘋果提出在2028年前將SSL/TLS證書有效期縮短至47天的提案，核心目標是提升安全性與自動化水平。更短的證書周期可降低漏洞風險，推動自動化證書管理普及，促使企業採用ACME協議等高效工具。儘管該提案尚未強制執行，企業仍需透過基礎設施升級、續期流程自動化、團隊培訓等方式提前準備。提前適配可將風險減至最低，確保在行業標準演進過程中滿足合規與安全要求。
企業必須適配新的安全要求，以保障業務營運與客戶安全。近期一項重要變更是蘋果在CA/Browser Forum（CA/B論壇）提出的提案，計劃將SSL/TLS證書的最長有效期從398天縮短至僅47天。該提案由Sectigo發起支持，規劃了在2028年3月前逐步將公開SSL/TLS證書最長有效期下調至47天的實施方案，同時還提出縮短域名控制權驗證（DCV）的重用周期，最終也將在2028年3月前將該周期限制在10天。
本次更新是在蘋果2024年10月提出的前序提案基礎上調整而來——此前的方案計劃在2027年前逐步將證書有效期縮短至45天。儘管縮短證書生命週期的要求尚未成為強制規定，但調整為47天的提案釋放出明確的行業轉向信號，企業需提前做好準備。下文將解讀該提案對行業的意義、將帶來的影響，以及企業如何提前應對。
甚麼是47天證書提案？
從歷史沿革來看，2012年之前SSL/TLS證書的有效期最長可達10年，之後逐步縮短至3年、2年，最終在2020年進一步下調至1年（398天）。本次提案提出的47天有效期將是一次重大調整，其目的是透過加快對新興威脅的回應速度、限制證書被劫持後帶來的潛在風險，強化在線安全水平。證書有效期的持續縮短，體現了行業在數碼信任與韌性建設思路上的重大轉變。
推動這一變革的核心動因是提升安全性。更短的證書生命週期縮短了攻擊者利用潛在漏洞的時間窗口：如果證書有效期過長，更易在未被察覺的情況下被劫持，進而引發嚴重風險。若證書有效期縮短至47天，企業需要更頻繁地更新並重新驗證證書，從而壓縮攻擊者利用被劫持證書的時間範圍。
推動該提案的另一個關鍵因素，是需要推動證書管理的自動化普及。隨着證書有效期不斷縮短，對企業而言，自動化證書管理已經從可提升效率的可選方案變為必備實踐。當證書有效期僅為47天時，企業必須實現證書續期流程的自動化——過去適用於長周期證書的人工續期方式將不再可行。因此，對自動化的強調是蘋果本次提案的核心組成部分。
這對行業意味着甚麼？
擬議的47天證書有效期將給行業帶來多方面影響，對於仍依賴手動或半自動化證書續期流程的企業而言，行政負擔增加的問題尤為突出。隨着續期操作愈發頻繁，企業需要採用更高效的系統和流程來避免服務中斷。這一變化要求企業重新評估現有實踐，若不對自身系統進行相應調整，多數機構可能面對更繁重的行政工作壓力。
此外，這一變更將推動行業向更高程度的自動化和零接觸部署方向發展。強大的自動化解決方案已成為高效管理證書部署、監控、續期和更新等任務、無需人工介入的核心必備能力。企業將逐步採用更先進的證書生命週期管理（CLM）工具，例如ACME（Automatic Certificate Management Environment，自動證書管理環境）協議，以簡化上述流程。這一趨勢也可能促使證書頒發機構（CA）調整自身服務內容，推出支持自動續期、便於集成到CI/CD（Continuous Integration/Continuous Deployment，持續集成/持續部署）流水線的全新API能力及相關服務。
CA/B論壇的相關進展與蘋果的提案
蘋果的提案在負責監督證書標準的行業監管機構CA/B論壇內部引發了廣泛討論。蘋果與谷歌等其他主流瀏覽器廠商一直倡導縮短證書有效期，以此提升互聯網安全水平。以下是核心進展匯總：
- 蘋果推動縮短證書有效期：蘋果是縮短證書有效期最積極的倡導者之一。本次提出的47天有效期被視為在之前將有效期縮短至398天之後的合理演進。蘋果方面認為，更短的證書有效期將推動企業養成更好的安全習慣，倒逼行業實現實踐現代化，尤其是在自動化應用層面。
- 業內意見存在分歧：儘管業內部分機構認同蘋果的提案，但亦有意見認為，過短的有效期會為尚未實現證書管理全自動化的企業帶來負擔。Sectigo堅決支持縮短證書有效期，更為該提案的投票提供了贊助。
- 實施日期尚未確定：儘管該提案已獲得一定支持，但目前尚未被採納為強制要求。這為企業預留了準備時間，不過證書有效期縮短的趨勢已經十分明確。若新規則正式落實執行，提前開展適配工作的企業將具備更有利的應對條件。
企業的應對準備方式
鑒於47天證書有效期很大機會成為行業標準，企業必須從現在開始着手準備。各機構可參考以下步驟制定就緒方案：
- 投入部署自動化工具：若企業尚未使用自動化CLM解決方案，應及時選購支援ACME或同類協議的工具。這類工具可在無需人手介入的情況下，完成證書簽發、監控、續期和吊銷的全生命週期管理。自動化可降低證書過期風險，保障業務持續在線與安全。
- 評估現有證書基礎設施：梳理現有證書基礎設施現狀，識別需要現代化改造的環節。企業應開展全面審計，明確自身持有的證書數量、部署位置，以及是否具備支援自動續期的能力。
- 部署集中式管理系統：集中式證書管理系統可讓IT團隊在統一位置管控所有證書，實現更出色的可見性與控制力。該方案可簡化證書續期流程，避免遺漏任何證書。
- 開展團隊教育培訓：證書生命週期調整為47天後，IT團隊需要掌握新的技能。企業應投入培訓項目，確保員工充分了解所需的自動化工具與實踐方法，以便高效管理更短生命週期的證書。
未來展望
將證書生命週期設為47天的提案，體現了行業推動提升安全性與自動化水平的方向。儘管有關調整尚未成為強制要求，企業仍應從現在開始做好準備。透過部署自動化工具、實現證書集中管理、開展團隊培訓，機構可以提前做好應對準備，最大限度降低證書生命週期縮短帶來的相關風險。這種主動應對的方式不僅能確保符合新興標準要求，還能在數碼化程度不斷提升的環境下，強化業務營運的安全性與可靠性。