Let’s Encrypt công bố rút ngắn thời hạn hiệu lực chứng chỉ từ 90 ngày xuống 45 ngày (áp dụng theo từng giai đoạn đến năm 2028)
(letsencrypt.org)Lý do thay đổi
- Yêu cầu theo tiêu chuẩn của CA/Browser Forum (áp dụng giống nhau cho mọi CA công khai trên toàn thế giới)
- Tăng cường bảo mật Internet (thời hạn hiệu lực ngắn hơn giúp giới hạn phạm vi thiệt hại khi bị tấn công + tăng hiệu quả thu hồi)
Thay đổi về thời hạn hiệu lực chứng chỉ
- Hiện tại: 90 ngày
- Sau năm 2028: 45 ngày
Thay đổi về thời gian tái sử dụng xác minh quyền sở hữu tên miền
- Hiện tại: 30 ngày
- Sau năm 2028: 7 giờ
Lịch áp dụng theo từng giai đoạn (áp dụng cho chứng chỉ được cấp mới)
- 13/5/2026: hồ sơ opt-in (
tlsserver) → bắt đầu cấp chứng chỉ 45 ngày (có thể thử nghiệm) - 10/2/2027: hồ sơ mặc định (
classic) → chứng chỉ 64 ngày + tái sử dụng xác minh 10 ngày - 16/2/2028: hồ sơ mặc định (
classic) → chứng chỉ 45 ngày + tái sử dụng xác minh 7 giờ
Người dùng cần làm gì
- Phần lớn người dùng gia hạn tự động: không cần thao tác riêng
- Tuy nhiên, bắt buộc phải kiểm tra chu kỳ gia hạn tự động có tương thích với chứng chỉ 45 ngày hay không
- Hành động được khuyến nghị
- Bật tính năng ACME Renewal Information (ARI) (hướng dẫn thời điểm gia hạn chính xác)
- Với client chưa hỗ trợ ARI: cấu hình để gia hạn vào khoảng mốc 2/3 vòng đời chứng chỉ
- Không khuyến nghị gia hạn thủ công (vì sẽ phải làm quá thường xuyên)
- Bắt buộc xây dựng hệ thống giám sát hết hạn chứng chỉ
Các tính năng tiện lợi mới cho tự động hóa (dự kiến triển khai năm 2026)
- Thúc đẩy chuẩn hóa challenge DNS-PERSIST-01 mới
- Đặc điểm: chỉ cần cấu hình bản ghi DNS TXT một lần, không cần thay đổi mỗi lần gia hạn
- → Có thể gia hạn hoàn toàn tự động ngay cả khi không có quyền cập nhật DNS tự động
Liên kết thông báo chính thức https://letsencrypt.org/2025/12/02/from-90-to-45
Kết luận: đến năm 2028, với mọi người dùng Let’s Encrypt, môi trường bắt buộc sẽ là gia hạn tự động theo chu kỳ 45 ngày + ARI + giám sát.
3 bình luận
Tôi đang dùng chứng chỉ cho homelab nên đã quan tâm đến TLS2030 và chuẩn bị trước.
Vì Proxmox hay Nginx Proxy Manager có thể tự động cấp chứng chỉ Let's Encrypt, nên các domain riêng lẻ về cơ bản không có vấn đề gì đặc biệt.
Chứng chỉ wildcard thì cần cấp một lần rồi dùng cho nhiều hệ thống, nên những hệ thống như Hashicorp Vault gần như là bắt buộc. Có cách nào khác không?
https://wiki.jellypo.pe.kr/ko/IT_Infra/Certificate
Tôi đã cấu hình theo kiến trúc như thế này, nhưng không nhất thiết phải có FreeIPA. Vault có thể đóng vai trò ROOT CA thay vì Intermediate CA, rồi đăng ký ROOT CA làm CA tin cậy trên từng hệ thống.
Với FreeIPA cũng vậy, khi cài FreeIPA client thì nó được đăng ký làm CA tin cậy, nên vấn đề là dùng FreeIPA hay đăng ký CA tin cậy bằng Ansible hoặc công cụ tương tự.
Dùng FreeIPA có ưu điểm là có thể tận dụng làm DNS nội bộ, nhưng tôi cho rằng từ khâu cài đặt đến vận hành và xử lý sự cố đều khá khó, nên chỉ dùng Vault sẽ tốt hơn.
Tôi đang sử dụng chứng chỉ wildcard được cấp, nên cũng không rõ mọi thứ sẽ thay đổi thế nào.
Người dùng cá nhân sẽ s...