Certificaat geldigheidsduur van 47 dagen: de complete uitleg en checklist voor gereedheid

De 47-daagse geldigheidsduur van certificaten is de laatste fase van een door het CA/Browser Forum vastgesteld schema, Ballot SC-081v3, dat de maximale levensduur van publiekelijk vertrouwde TLS-certificaten geleidelijk verkort van de huidige 398 dagen naar 47 dagen op 15 maart 2029, via tussenstappen van 200 dagen en 100 dagen.

Een certificaat met een geldigheidsduur van 47 dagen is het eindpunt van Ballot SC-081v3, de gefaseerde verlaging van de maximale levensduur van openbare TLS-certificaten door het CA/Browser Forum . De geldigheidsduur daalt naar 200 dagen vanaf 15 maart 2026, vervolgens naar 100 dagen vanaf 15 maart 2027 en ten slotte naar 47 dagen vanaf 15 maart 2029. Elk openbaar vertrouwd certificaat dat na een van deze data wordt uitgegeven, moet aan deze nieuwe eisen voldoen, waardoor automatische verlenging verplicht is in plaats van optioneel.

Key Takeaways

• 47 dagen is de laatste stap in een driefasenplan volgens wetsvoorstel SC-081v3: 200 dagen vanaf 15 maart 2026, 100 dagen vanaf 15 maart 2027 en 47 dagen vanaf 15 maart 2029.
• Dit vervangt de eerdere, minder precieze formulering van een "certificaat van 90 dagen"; het CA/Browser Forum heeft dit gefaseerde schema aangenomen in plaats van een vaste regel van 90 dagen.
• Met een maximale geldigheidsduur van 47 dagen moet een certificaat per domein ongeveer 7 tot 8 keer per jaar worden verlengd, waardoor handmatige verlenging op grote schaal operationeel onhaalbaar is.
• De periode waarin domeincontrolevalidatie (DCV) hergebruikt kan worden, wordt samen met de geldigheidsduur van certificaten verkort. Dit betekent dat organisaties het domeineigendom vaker opnieuw zullen moeten valideren.
• De implementatie van het Automated Certificate Management Environment (ACME)-protocol, in combinatie met een gecentraliseerd platform voor certificaatbeheer, is de praktische weg naar naleving in elke fase van het traject.

Wat is het volledige geldigheidsschema van SC-081v3?

Stemming SC-081v3 is de beslissing van het CA/Browser Forum die de maximale geldigheidsduur voor publiekelijk vertrouwde TLS/SSL-certificaten vaststelt volgens een vast driestappenplan. Elke stap treedt in werking op een eigen datum en is van toepassing op certificaten die op of na die datum zijn uitgegeven; certificaten die eerder zijn uitgegeven, behouden hun oorspronkelijke geldigheid totdat ze verlopen of worden vervangen.

Ingangsdatum	Maximale geldigheidsduur van het certificaat	Geschat aantal verlengingen per jaar
Vandaag (vóór maart 2026)	398 dagen	~1
15 maart 2026	200 dagen	~2
15 maart 2027	100 dagen	~4
15 maart 2029	47 dagen	~ 7-8

Waarom neemt de geldigheidsduur van certificaten af?

De kern van de reden is de blootstellingstijd. Een gecompromitteerde privésleutel of een onjuist uitgegeven certificaat blijft betrouwbaar en dus kwetsbaar zolang het certificaat geldig is. Het verkorten van de geldigheidsduur verkleint die periode en dwingt de industrie tot geautomatiseerde uitgifte en verlenging. Dit maakt het ook sneller om algoritme-updates, inclusief de uiteindelijke overstap naar post-kwantumcryptografie, door te voeren voor alle certificaten.

Was dit niet Google's voorstel voor een certificaat van 90 dagen?

Google stelde oorspronkelijk in 2023 een vaste maximale geldigheidsduur van 90 dagen voor. Het CA/Browser Forum heeft dat specifieke aantal niet overgenomen. In plaats daarvan werd Ballot SC-081v3 aangenomen, het gefaseerde schema van 200/100/47 dagen zoals hierboven beschreven. Dit schema heeft een kortere einddatum dan het oorspronkelijke voorstel van Google, maar geeft de sector een langere, gefaseerde aanloop om dit te bereiken. Alle content, interne documentatie of opgeslagen artikelen die nog steeds een toekomstige regel voor een "certificaat van 90 dagen" beschrijven, verwijzen naar een voorstel dat door dit schema is vervangen.

Wat verandert er nog meer naast de geldigheidsduur van certificaten?

• Validatie van domeincontrole (DCV) Hergebruiksperiode: de maximale tijd dat een CA een eerdere domeinvalidatie kan hergebruiken zonder deze opnieuw te controleren, wordt ook korter. Dit betekent dat het domeineigendom vaker opnieuw moet worden bevestigd, en niet alleen het certificaat zelf opnieuw moet worden uitgegeven.
• Bevestiging van uitgifte vanuit meerdere perspectieven: Certificeringsinstanties valideren de domeincontrole steeds vaker vanuit meerdere netwerkperspectieven voordat ze een certificaat uitgeven, waardoor het risico op routeringsgebaseerde validatieaanvallen wordt verminderd.
• Certificaatprofielen met een korte geldigheidsduur: sommige certificeringsinstanties bieden nu certificaatprofielen aan die specifiek zijn ontworpen voor een levensduur van minder dan 10 dagen. Dit is een nog agressievere optie in aanloop naar de deadline van 2029 en is gericht op sterk geautomatiseerde omgevingen.

Checklist voor certificaatgereedheid (47 dagen)

Gebruik deze checklist om de gereedheid voor elke fase van het SC-081v3-schema te beoordelen, te beginnen met de deadline van maart 2026.

1. Inventariseer elk certificaat dat u gebruikt, inclusief certificaten die buiten het zicht van de centrale IT-afdeling vallen, zoals certificaten die zijn ingebed in loadbalancers, IoT-apparaten en interne tools.
2. Identificeer welke certificaten momenteel handmatig worden uitgegeven, verlengd en geïmplementeerd, aangezien deze het eerst ongeldig zullen worden na een cyclus van 47 dagen.
3. Implementeer ACME-clients op webservers, loadbalancers en reverse proxies en controleer of elk apparaat een DNS-01- of HTTP-01-uitdaging kan voltooien zonder handmatige tussenkomst.
4. Centraliseer het inzicht in en de verlenging van certificaten op één platform, in plaats van dit te verspreiden over verschillende teams, spreadsheets en ad-hoc scripts.
5. Automatiseer de implementatie, niet alleen de uitgifte: bevestig dat vernieuwde certificaten naar de systemen worden gepusht die ze gebruiken, zonder dat handmatig herladen of herstarten nodig is.
6. Stel waarschuwingen in voor verlopen certificaten en mislukte verlengingen, met voldoende tijd om een ​​mislukte automatische verlenging te herstellen voordat het oude certificaat verloopt.
7. Test de volledige geautomatiseerde cyclus van begin tot eind ruim vóór elke SC-081v3-deadline, in plaats van te wachten tot de deadline om een ​​tekortkoming te ontdekken.
8. Herzie de processen voor domeinvalidatie, aangezien kortere hergebruiksperioden voor DCV-certificaten betekenen dat de domeincontrole vaker opnieuw bevestigd moet worden, ongeacht de heruitgifte van certificaten.
9. Stel een gedocumenteerd incidentresponsplan op voor een gecompromitteerd of onjuist uitgegeven certificaat, inclusief wie bevoegd is om certificaten buiten de normale verlengingscyclus in te trekken en opnieuw uit te geven.
10. Wijs duidelijke verantwoordelijkheid toe voor het beheer van de levenscyclus van certificaten, aangezien een cyclus van 47 dagen die niet geautomatiseerd en zonder verantwoordelijke wordt uitgevoerd, de meest voorkomende oorzaak van storingen is.

Wat gebeurt er als een organisatie er niet klaar voor is?

Handmatig certificaatbeheer is niet schaalbaar voor een cyclus van 47 dagen. Bij die geldigheidsperiode heeft een domein ongeveer 7 tot 8 verlengingen per jaar nodig, en elke handmatige stap, zoals het aanvragen van het certificaat, het valideren van domeinbeheer of het implementeren ervan in productie, wordt een terugkerend storingspunt. Organisaties die vóór elke SC-081v3-deadline geen automatisering hebben geïmplementeerd, lopen een aanzienlijk hoger risico op storingen, aangezien een enkele gemiste verlenging nu veel vaker voorkomt dan bij een certificaat met een geldigheidsduur van 398 dagen.

Hoe encryptieconsultancy kan helpen

Hoe encryptieconsulting helpt: CertSecure Manager automatiseert certificaatdetectie, ACME-gebaseerde uitgifte en verlenging, en implementatie voor uw gehele certificaatportfolio, zodat uw organisatie klaar is voor de 200-, 100- en 47-daagse fasen van het SC-081v3-schema zonder handmatige tussenkomst. Ondersteund door ISO/IEC 27001:2022 en SOC 2-gecertificeerde werkwijzen.

Veelgestelde Vragen / FAQ

Wanneer gaat de 47-daagse geldigheidsduur van het certificaat in?

De maximale termijn van 47 dagen gaat in op 15 maart 2029, als laatste fase van stemming SC-081v3. Deze volgt op twee eerdere verkortingen: 200 dagen vanaf 15 maart 2026 en 100 dagen vanaf 15 maart 2027.

Is een geldigheidsduur van 47 dagen hetzelfde als het certificaatvoorstel van Google van 90 dagen?

Nee. Google stelde in 2023 een vast maximum van 90 dagen voor, maar het CA/Browser Forum heeft in plaats daarvan een ander, gefaseerd schema aangenomen (onder stemming SC-081v3), waarmee de maximale termijn van 47 dagen in maart 2029 wordt bereikt via tussenliggende fasen van 200 en 100 dagen.

Hoe vaak moet een certificaat jaarlijks worden vernieuwd volgens het nieuwe schema?

Bij een maximale geldigheidsduur van 47 dagen moet een certificaat per domein ongeveer 7 tot 8 keer per jaar worden verlengd, vergeleken met ongeveer 1 verlenging per jaar bij de huidige maximale geldigheidsduur van 398 dagen.

Wat is de allerbelangrijkste stap ter voorbereiding op een kortere geldigheidsduur van uw certificaat?

Automatiseer de volledige levenscyclus, niet alleen de uitgifte: ontdekking, DCV, uitgifte, implementatie en verlenging moeten allemaal zonder handmatige stappen verlopen, aangezien handmatige handelingen ergens in die keten een terugkerend faalpunt vormen met een cyclus van 47 dagen.

Verandert het hergebruik van DCV's mee met de geldigheidsduur van het certificaat?

Ja. De maximale periode waarin een certificeringsinstantie een eerdere domeinvalidatie kan hergebruiken zonder deze opnieuw te controleren, wordt korter, net als de geldigheidsduur van certificaten. Organisaties moeten daarom vaker hercontrole van domeinen plannen, los van de heruitgifte van certificaten zelf.

Maak je klaar voor certificaten die 47 dagen geldig zijn.

Zet de volgende stap: CertSecure Manager automatiseert certificaatdetectie, ACME-gebaseerde verlenging en implementatie, zodat u klaar bent voor elke fase van het SC-081v3-schema, van 200 dagen tot 47 dagen. Maak u klaar voor certificaten met een geldigheidsduur van 47 dagen.