Sectigo 網誌
縮短 SSL/TLS 證書有效期的7個理由
縮短 SSL/TLS 證書有效期可降低密鑰泄露、錯誤簽發、吊銷延遲等風險，從而提升數碼安全水平。這種做法可使證書所有權與域名控制權保持匹配，推動加密敏捷性落地，同時彌補現有吊銷機制的不足。較短的有效期還能促進自動化部署，簡化續期流程，幫助系統適配不斷演變的網絡安全挑戰，具備長期防護價值。雖然續期頻率提升會帶來一定挑戰，但採用自動化解決方案可降低相關風險，確保證書管理順暢。
所有證書均設有預先設計的過期時間。要求按固定周期續期證書，可增強所有公鑰基礎設施（PKI）部署的安全性。尤其值得注意的是，公眾信任的 SSL/TLS 證書近年來已經歷多次有效期縮短調整，預計未來還會進一步縮短。如果處理不當，最長有效期的縮短可能導致工作量增加，以及業務中斷或安全泄露的風險。儘管如此，縮短證書生命週期的理由仍然十分充分。
儘管證書過期存在相關風險，證書有效期仍然至關重要，因為這類機制可幫助應對不斷演變的網絡安全漏洞。通過要求企業續期並部署具備最新安全增強特性的證書，這類機制可縮短攻擊者利用潛在弱點的時間窗口。
業界對縮短證書生命週期的日益重視，體現了全行業提升網絡安全水平、提前防禦新興威脅的共識。這一點在已通過的公眾信任 SSL/TLS 證書生命週期分階段縮短方案中體現得十分明確：目前證書最長有效期已降至200天，計劃於2027年3月縮短至100天，2029年3月進一步縮短至47天。
在談及縮短證書有效期的迫切必要性時，Sectigo 的 Jason Soroko 表示：“現在想來，我們當前的證書有效期實在是長得離譜。問題不在於這些證書的有效期有多短，而在於時至今日它們的有效期仍然長得驚人。” 不過，當前200天的最長有效期不會一直維持，因此企業必須為必然到來的趨勢做好準備：極短的有效期與高頻次的續期。
下文我們將分析縮短證書有效期的七點益處：
- 降低密鑰洩露帶來的風險
- 解決錯發證書與證書吊銷相關問題
- 確保證書所有權與域名控制權保持一致
- 提升密碼敏捷性
- 解決現有吊銷方式（如OCSP）的局限性
- 紓緩證書頒發機構（CA）未執行吊銷操作帶來的問題
- 推動自動化部署
密鑰洩露
SSL證書包含公鑰和密鑰，其中公鑰用於加密數據、保障通信安全，密鑰可解密上述信息，且必須嚴格保密。一旦密鑰落入不法分子手中，中間人攻擊數據泄露將難以避免。
密鑰洩露是極高危風險，因此各證書頒發機構（CA）均建議，一旦密鑰暴露，需立即吊銷對應證書。過去，證書的有效期常為5年甚至10年，導致證書長時間暴露在被利用的風險中。如今的行業最佳實踐優先採用更短的有效期，以盡可能降低這類風險。Sectigo的Tim Callan解釋道，在最壞的情況下，"我們要盡可能縮短密鑰洩露後的可利用時長。而實現這一目標的最佳方式就是進一步縮短證書有效期，從而壓縮被洩露密鑰可被利用的時間窗口。
CA/瀏覽器論壇要求證書頒發機構（CA）在發現密鑰洩露後的24小時內吊銷對應證書，進一步凸顯了這一問題的嚴重性。
錯發證書與證書吊銷
證書錯發存在多種形式，例如證書包含錯誤信息、結構不合規或存在其他會削弱安全性的缺陷。正如Tim Callan所說，這類問題會導致證書"安全性或兼容性低於預期，進而在整個生態中埋下潛在安全隱患。
理想情況下，錯發的證書會被快速發現並處理，但現實並非總能如此。當這類問題未被及時察覺時，較短的有效期可提供額外的安全保障，確保錯發的證書能更快被輪換替換。
證書所有權與域名控制權的一致性
作為數碼證書頒發流程的關鍵環節，域名控制權驗證（DCV）用於確認申請SSL/TLS證書的機構確實擁有證書對應域名的所有權。然而，Tim Callan指出現行DCV流程存在明顯漏洞。在某些場景下，證書可在很長一段時間內保持有效，期間無需重新驗證域名所有權，可能導致安全隱患得不到及時處置。
例如，根據現行規則，DCV結果的復用周期最長可達200天——這一數值和當前證書最長有效期一致。證書所有權與域名控制權的這種錯配會帶來風險，而縮短證書有效期可壓縮未核驗域名與有效證書綁定的時間窗口，從而紓緩這類風險。正如Callan所言，即便是當前一年期的證書，有效期也顯得過長，這凸顯出行業仍需持續推進證書有效期收緊工作。
密碼敏捷性
加密敏捷性在當今快速變化的數碼環境中愈發重要，新技術、密碼算法和安全挑戰層出不窮，要求相關系統持續适配調整。隨着後量子密碼時代的處理方式。如今，IT從業者無法再指望在整個職業生涯中沿用同一套加密策略。
更短的證書生命週期能夠加快更強算法的落地速度，從而提升加密敏捷性，同時確保機構符合持續演進的安全標準要求。舉例來說，SHA-1的淘汰工作發生在證書有效期最長可達3年的階段，這大幅拖慢了遷移至更安全加密方法的進度。在後量子時代，算法的有效生命周期存在不確定性，更短的證書有效期能夠協助減少採用先進安全方案的延遲。
相對而言，更長的證書有效期會帶來問題，簡單來說，它會助長惰性。並非所有企業都會主動採用更完善的加密標準或安全實務，直到證書即將到期，才不得不透過續期更換安全性更強的證書。
現有證書吊銷機制（OCSP）並不完善
在線證書狀態協議（OCSP）用於查詢SSL/TLS證書的吊銷狀態，理論上能為偵測和處置已外洩證書提供更可靠的方法。遺憾的是，OCSP遠非完美。Tim Callan甚至將該機制比喻為「一撞車就失效的安全帶。」。他還指出OCSP「本質上存在可被攻破的缺陷，」，因為它很容易形成單點故障。如果OCSP伺服器負載過高或出現其他無法使用的情況，客戶端往往會忽略證書狀態直接接受證書。此外，正如Root Causes播客第272期.
中所解釋，OCSP存在私隱問題，會導致瀏覽器追蹤用戶行為。隨着證書有效期縮短，這些問題的緊迫性會有所降低：更短的有效期本身就是可靠的兜底方案，能夠從整體上降低對吊銷機制的依賴，從而有效紓緩上述問題。
證書頒發機構（CA）的吊銷執行不到位
除證書簽發外，證書吊銷是現代證書頒發機構（CA）最核心的職責之一，但這項工作往往處理失當。部分CA未能及時吊銷已外洩的證書，有時是因為不願為證書訂戶造成不便。這個問題在業界反覆出現，引發了信任層面的挑戰，也凸顯了更優化解決方案的必要性。
更短的證書生命週期是務實的解決方案，能夠降低對存在缺陷的吊銷流程的依賴。正如Tim Callan所言，如果一張證書的最長有效期僅為47天，那麼即使吊銷流程延遲甚至完全失效，外洩證書可被濫用的時間也從根本上受到了限制。
推動自動化落地
對於依賴過時的手動證書續期流程的機構而言，更短的證書有效期乍看之下會造成阻礙，但它同時也是推動機構採用自動化方案的強大驅動力。自動化不僅能加快證書續期效率，還能提升流程可靠性——部署自動化方案後，無需手動追蹤到期時間，也不必擔心遺漏續期。
儘管自動化具備上述優勢，仍有許多機構遲遲不願部署相關方案。
這種牴觸情緒可能源於簡單卻有害的變革抗拒心理：這些機構或許認為現有手動流程能夠滿足證書管理需求，因而一直沿用。但隨着證書有效期縮短，這種惰性將難以為繼。更短的有效期會形成臨界點，讓機構意識到自動化不再是可選方案，從而推動這類方案的廣泛普及。
這種向自動化轉型的趨勢，正是Apple和Chrome推動縮短證書有效期的核心動因之一。
挑戰與注意事項
更短的證書有效期雖有其必要性，但對於仍依賴手動流程的機構而言，也可能帶來重大挑戰。管理成本上升是可預見的問題，而續期頻率的提升會顯著增加人為失誤的風險，進而可能導致證書過期故障和業務中斷。
自動化能夠協助解決這些問題，但機構必須採取主動策略；這類轉型需要時間，在證書有效期縮短前完成適配，遠比有效期縮短後再被動調整要順暢得多。
擁抱更短的證書生命週期，提升安全水平
證書有效期縮短是必然趨勢——對此不必牴觸，反而應當將其視為提升網絡安全與合規水平的契機。自動化方案能夠大幅簡化轉型流程，同時協助企業實現全面的可視化與管控能力。
準備好完成轉型了嗎？可選用Sectigo Certificate Manager (SCM)來實現高效的證書生命週期管理。SCM透過專門構建的雲原生平台提供全量可視化能力，可優化證書發現、簽發、部署、吊銷、續期等核心CLM流程。請提前為證書有效期縮短做好準備，充分發揮自動化的價值。