Wat is het CA/B Forum?

Het CA/Browser Forum (CA/B Forum) is een vrijwillig consortium van certificeringsinstanties, browserleveranciers en andere softwareontwikkelaars dat basisvereisten vaststelt voor het uitgeven en valideren van SSL/TLS-, codeondertekenings- en S/MIME-certificaten.

Het CA/Browser Forum is een brancheorganisatie van certificeringsinstanties en browserfabrikanten die de basisvereisten vaststelt voor de uitgifte, validatie en intrekking van SSL/TLS-certificaten. De meest belangrijke recente actie van het forum is stemming SC-081v3, die de maximale geldigheidsduur van TLS-certificaten geleidelijk verkort van 200 dagen in maart 2026 naar 47 dagen in maart 2029.

Key Takeaways

• Het CA/B Forum stelt basisvereisten vast voor SSL/TLS-certificaten, waaronder verplichte Certificate Transparency-logging, zodat onjuist uitgegeven certificaten kunnen worden opgespoord en ingetrokken.
• Stemmingsvoorstel SC-081v3 bouwt de maximale geldigheidsduur van openbare TLS-certificaten gefaseerd af volgens een vast schema: 200 dagen vanaf 15 maart 2026, 100 dagen vanaf 15 maart 2027 en 47 dagen vanaf 15 maart 2029.
• Extended Validation (EV)-certificaten vereisen nog steeds een strengere identiteitsverificatie, maar de meeste browsers tonen geen aparte EV-indicatoren meer, zoals de bedrijfsnaam in de adresbalk.
• Het Forum regelt ook de codeondertekening, S/MIME en de beveiligingsvereisten voor netwerk- en certificeringssystemen via speciale werkgroepen.
• Automatisering via ACME en gecentraliseerde tools zoals CertSecure Manager is tegenwoordig de praktische manier om gelijke tred te houden met de steeds korter wordende geldigheidsperioden van certificaten.

Wat regelt het CA/B Forum nu eigenlijk?

De basisvereisten van het Forum voor SSL/TLS-certificaten omvatten domeinvalidatie, Certificate Transparency-logging en intrekkingsmechanismen zoals OCSP en CRL's. Afzonderlijke werkgroepen breiden deze governance uit naar codeondertekeningscertificaten, S/MIME en de beveiligingsvereisten voor netwerk- en certificeringssystemen waaraan certificeringsinstanties moeten voldoen om hun eigen uitgifte-infrastructuur te beschermen.

Wat is stembiljet SC-081v3 en waarom is het belangrijk?

Stemming SC-081v3 is de uitspraak van het CA/B Forum die de maximale geldigheidsduur van openbare TLS-certificaten geleidelijk afbouwt volgens een vast, meerjarig schema. Hiermee wordt de eerdere informele regeling van "certificaten van 90 dagen" vervangen door een concrete, gefaseerde tijdlijn.

Ingangsdatum	Maximale geldigheid
15 maart 2026	200 dagen
15 maart 2027	100 dagen
15 maart 2029	47 dagen

Dit schema volgt op een eerdere verlaging van 825 dagen naar 398 dagen die in september 2020 van kracht werd, en zet een langlopende trend voort naar kortere geldigheidsduur van certificaten om de periode waarin een privésleutel kwetsbaar is te beperken.

Wat gebeurt er als organisaties de richtlijnen van het CA/B Forum niet volgen?

• Verlopen certificaten: een niet-vernieuwd certificaat kan de inspectie van versleuteld verkeer belemmeren, waardoor een actieve inbreuk op die server pas later wordt ontdekt, zoals gebeurde bij het datalek bij Equifax in 2017 waarbij 147 miljoen mensen werden getroffen.
• Onjuist uitgegeven certificaten: Certificeringsinstanties die de juiste validatie overslaan, lopen het risico dat browsers het vertrouwen in hun certificaten intrekken. Dit gebeurde bijvoorbeeld toen grote browsers in 2017 het vertrouwen in door Symantec uitgegeven certificaten afbouwden na bevindingen over onjuiste uitgifte.
• Gecompromitteerde CA-infrastructuur: een aanvaller die inbreekt in de uitgiftesystemen van een CA kan frauduleuze certificaten uitgeven voor waardevolle domeinen, zoals gebeurde bij de DigiNotar-hack in 2011, die leidde tot de ineenstorting van de CA.

Hoe moeten organisaties zich voorbereiden op een kortere geldigheidsduur van certificaten?

• Automatiseer het certificaatbeheer: handmatige verlenging kan de geldigheidsperiode van 47 dagen niet bijbenen; ACME-gebaseerde automatisering en gecentraliseerde tools zoals CertSecure Manager worden daarom verplicht in plaats van optioneel.
• Continue controleren en bewaken: regelmatige controles sporen verlopen of bijna verlopen certificaten op voordat ze een storing veroorzaken.
• Voer op rollen gebaseerde toegangscontrole in: beperk wie certificaten kan aanvragen, verlengen of intrekken om het risico op ongeautoriseerde wijzigingen te verkleinen.
• Plan de reactie op incidenten van tevoren: een gedocumenteerd plan voor het intrekken en opnieuw uitgeven van certificaten beperkt de schade als een certificaat of de bijbehorende privésleutel wordt gecompromitteerd.

Hoe encryptieconsultancy kan helpen

CertSecure Manager automatiseert de uitgifte, verlenging en intrekking van certificaten in overeenstemming met het verkorte geldigheidsschema van het CA/Browser Forum, terwijl CodeSign Secure rolgebaseerde toegangscontrole afdwingt voor codeondertekeningssleutels, conform de eisen van het Forum. Ondersteund door ISO/IEC 27001:2022 en SOC 2-gecertificeerde werkwijzen.

Veelgestelde Vragen / FAQ

Wat is de rol van het CA/Browser Forum in internetbeveiliging?

Het CA/B Forum stelt de basisvereisten op waaraan certificeringsinstanties en browsers zich moeten houden bij het uitgeven, valideren en intrekken van SSL/TLS-certificaten. De standaarden van het forum vormen de basis voor de vertrouwensindicatoren, zoals een geldig certificaat, waarop browsers vertrouwen om gebruikers te waarschuwen voor onveilige websites.

Wat is stembiljet SC-081v3?

Stemming SC-081v3 is de beslissing van het CA/B Forum om de maximale geldigheidsduur van openbare TLS-certificaten volgens een vast schema af te bouwen: 200 dagen vanaf maart 2026, 100 dagen vanaf maart 2027 en 47 dagen vanaf maart 2029.

Zijn EV-certificaten na de wijzigingen in het CA/B-forum nog steeds relevant?

EV-certificaten vereisen nog steeds een strengere identiteitsverificatie dan standaardcertificaten, maar de meeste browsers tonen al jaren geen duidelijke EV-indicatoren meer, zoals de bedrijfsnaam in de adresbalk. Dit heeft hun praktische impact op het gebruikersgedrag verminderd.

Hoe kunnen organisaties zich voorbereiden op 47-daagse certificaten?

Het automatiseren van de uitgifte, verlenging en intrekking van certificaten via ACME en een gecentraliseerd platform voor certificaatbeheer is de meest praktische oplossing, aangezien handmatige verlenging niet realistisch gezien gelijke tred kan houden met een geldigheidsperiode van 47 dagen voor een groot aantal certificaten.

Maak je klaar voor certificaten die 47 dagen geldig zijn.

Zet de volgende stap
CertSecure Manager Automatiseert de levenscyclus van certificaten, ruim vóór de SC-081v3-planning van het CA/Browser Forum, zodat uw organisatie ruim voor de ingang van de 47-dagenvereiste in maart 2029 klaar is. Bereid u voor op certificaten met een geldigheidsduur van 47 dagen.