Web PKI: Let's Encrypt, sertifikaların ömrünü 45 güne indirir

Let's Encrypt (LE) ücretsiz TLS sertifikaları yakında normalden çok daha kısa bir süre için geçerli olacak: süreleri mevcut 90 güne göre yarı yarıya kısalacak. Sertifika Yetkilisi (CA) olarak Let's Encrypt, Web PKI için sertifikaların verilmesini düzenleyen “Temel Gereksinimler”de bir değişiklik uyguluyor. İlk olarak LE önümüzdeki Mayıs ayında bir test operasyonunu etkinleştirecek.

13 Mayıs 2026'da başlıyor: Dileyenler bugünden itibaren 45 gün süreli sertifika siparişi verebilecek ve isteğe bağlı “tlsserver” sertifika profilini kullanmak zorunda kalacak. 10 Şubat 2027'de yeni verilen tüm sertifikaların vadesi başlangıçta 64 güne, bir yıl sonra ise 16 Şubat 2028'de 45 güne düşecek.

Web sunucuları için Let's Encrypt sertifikalarını kullanan çoğu yönetici muhtemelen bu değişikliğin pek azını fark edecektir: otomatik yenileme artık üç yerine bir buçuk ayda bir gerçekleşecektir. Bu otomatik yardımcılara yardımcı olmak amacıyla, yakında Otomatik Sertifika Yönetim Ortamı (ACME) için bir protokol uzantısı olan ACME Yenileme Bilgileri (ARI) sunulacaktır.

Manuel olarak yenilensin mi? Aksine hayır!

Proje, sürecin hataya açık olması ve artık iki kat daha sık yapılması gerektiği için uzun süredir sertifikaların manuel olarak yenilenmesine karşı tavsiyede bulunuyordu. Ayrıca Let's Encrypt duyuru blog yazısında, yöneticilerin yenileme başarısız olduğunda izleme sistemleri tarafından bilgilendirilmelerini sağlamaları gerektiğini tavsiye ediyor.

Hala otomasyonla mücadele ediyorsanız yeni doğrulama yöntemi “DNS-PERSIST-01″i beğenebilirsiniz. Bu durumda, doğrulama için yalnızca bir kez DNS girişi ayarlamanız gerekir; sertifikanın her yenilenmesinde değil. Ancak DNS-PERSIST-01'in hâlâ IETF ve CA/Tarayıcı Forumu gibi yetkili kurumlar tarafından onaylanması gerekiyor.

Değişikliklerin arkasında tarayıcı üreticilerinin ve yetkili makamların güçlü birliği de var. Özellikle Chrome, Mozilla ve Co., sertifikaların uzun ömrünü ciddi bir güvenlik riski olarak görüyor ve yıllardır bu konuda baskı uyguluyor; bu da CA/B'nin geçen sonbaharda sertifika ömrünü bağlayıcı bir şekilde sınırlama kararı almasına yol açtı.

(cku)