Let's Encrypt stellt am 10. Februar 2027 auf 64-Tage-Zertifikate um, Staging ab 14. Oktober
Victoria Shinder2 Min. LesezeitLet's Encrypt hat am 7. Oktober angekündigt, die Standardlaufzeit seiner Zertifikate am 10. Februar 2027 von 90 auf 64 Tage zu senken. Jedes ab diesem Tag ausgestellte oder erneuerte Zertifikat gilt dann kürzer — es sei denn, man hat bereits eines der noch kürzeren Profile mit 45 oder 6 Tagen gewählt. Das letzte 90-Tage-Zertifikat dürfte nach Angaben der Organisation am 11. Mai 2027 auslaufen; widerrufen wird für den Übergang nichts.
Es ist die mittlere Stufe eines Plans vom Dezember 2025. Die Baseline Requirements des CA/Browser Forum senken die zulässige Höchstlaufzeit schrittweise, Let's Encrypt will 2028 bei 45 Tagen ankommen. Die 64-Tage-Stufe ist die, an der vergessene Cronjobs auffallen werden.
Das Datum für den Kalender ist der 14. Oktober 2026. Dann beginnt die Staging-Umgebung mit 64-Tage-Zertifikaten, vier Monate vor der Produktion. Wer gegen Staging erneuert, sieht das neue Verhalten zuerst — genau dort soll laut Ankündigung getestet werden.
Wer etwas tun muss. Die Mitteilung unterscheidet zwei Fälle. Clients mit ACME Renewal Info (ARI) lassen sich von der CA sagen, wann sie erneuern sollen; sie brauchen nichts. Ob der eigene Client ARI kann, steht in dessen Dokumentation. Kaputt gehen dagegen Konfigurationen, die eine feste Zahl von Tagen vor Ablauf erneuern. Empfohlen wird, bei etwa zwei Dritteln der Laufzeit zu erneuern, und Let's Encrypt schlägt eine schlichte Suche vor: Crontabs, Wrapper-Skripte und Runbooks nach den üblichen Zahlen 83, 80 oder 60 durchsuchen. Eine Erneuerung an Tag 80 findet bei einem 64-Tage-Zertifikat nie statt.
Dazu kommt eine zweite Änderung. Eine abgeschlossene Domainvalidierung darf künftig nur noch 10 statt 30 Tage wiederverwendet werden, ab 2028 nur noch sieben Stunden. Begründet wird das mit einer für 2029 geplanten Verschärfung der Regeln und mit dem Wegfall der erneuten CAA-Prüfung. Betroffen sind nur Clients, die bewusst auf alte Autorisierungen bauen.
Unverändert bleiben laut Beitrag die Rate Limits, die ACME-Endpunkte und die Zertifikatsketten.
Für den Betrieb heißt das: jede Stelle finden, an der eine Erneuerung per Zahl statt per ARI geplant ist, ab dem 14. Oktober gegen Staging testen und einen Alarm für fehlgeschlagene Erneuerungen einrichten. Bei 64 Tagen bleibt weniger Zeit, bis ein still kaputter Renewal-Job im Browser sichtbar wird.
Quelle: Let's Encrypt, Ankündigung zu 64-Tage-Zertifikaten vom 7. Oktober 2026 — https://letsencrypt.org/2026/10/07/64-day-certs.html ; früherer Plan — https://letsencrypt.org/2025/12/02/from-90-to-45