Din guide till övergången från 90 dagar till 47 dagar med digitala certifikat

Snabbt svar: CA/Browser Forums omröstning SC-081v3, som antogs den 11 april 2025, ersätter det ursprungliga förslaget på 90 dagars certifikat med en stegvis minskning: en maximal giltighetstid för TLS-certifikat på 200 dagar från och med den 15 mars 2026, 100 dagar från och med den 15 mars 2027 och 47 dagar från och med den 15 mars 2029. Automatisering, inte manuell förnyelse, krävs nu för att hålla jämna steg med den nya takten.

SSL/TLS -certifikat är den mekanism som din webbläsare använder för att bekräfta att webbplatsen du ansluter till är den den utger sig för att vara, inte en bedragare som är konfigurerad för att stjäla inloggningsuppgifter eller betalningsuppgifter. När ett certifikat är giltigt visar hänglåset och anslutningsuppgifterna bakom användarna att deras session är autentiserad och krypterad. När det upphör att gälla visar webbläsare hårda varningssidor, och utgångna certifikat driver pålitligt användare bort från en webbplats som inte längre ser säker ut.

För två år sedan kretsade diskussionen om certifikatlivscykeln kring ett enda tal: 90 dagar. Både Apple och Google lade fram idén att tvinga ner TLS-certifikat från den länge maximumcykeln på 398 dagar till en 90-dagarscykel. Det specifika förslaget blev aldrig en bindande branschregel. Istället antog CA/Browser Forum en mer gradvis, och nu officiell, omröstning i april 2025 som fasar ner certifikatgiltigheten till 47 dagar till 2029. Om ditt team fortfarande planerar kring ett fast 90-dagarskrav, ger den här guiden dig aktuell information.

Det som följer är den slutgiltiga tidslinjen, vem inom din organisation som behöver agera och när, vad som händer när certifikathanteringen förblir manuell och hur en plattform för certifikatlivscykelhantering (CLM) som CertSecure Manager förhindrar att förnyelser blir en brandövning med några månaders mellanrum.

Key Takeaways

• Förslaget om 90-dagarscertifikat från 2023 antogs aldrig som bindande standard. Den faktiska regeln är CA/Browser Forum-omröstningen SC-081v3, som fasar ut maximal giltighetstid för TLS-certifikat till 200 dagar den 15 mars 2026, 100 dagar den 15 mars 2027 och 47 dagar den 15 mars 2029.
• Senast i mars 2029, alla offentligt betrodda 47 dagars TLS-certifikat kommer att behöva utfärdas på nytt ungefär var sjätte vecka, vilket gör manuell förnyelse opraktisk för alla organisationer som driver mer än en handfull domäner.
• DigiCerts Trust Pulse-undersökning från juli 2025 visade att 45 % av organisationerna hade certifikatrelaterade driftstopp under det senaste året, och 37.5 % av avbrotten orsakades specifikt av utgångna certifikat.
• PKI-, säkerhets-, plattforms- och efterlevnadsteamen äger var sin del av denna övergång. Ingen av dem kan behandla det som någon annans problem.
• Automatisering av certifikatlivscykelhantering, med hjälp av ett protokoll som ACME, är det praktiska sättet att uppnå en förnyelsekadens på 47 dagar utan att öka risken för avbrott.
• Kortare certifikatlivslängder stöder också post-kvantkryptografisk beredskap, eftersom frekvent återutgivning tvingar fram mycket av samma infrastrukturarbete som kryptoagilitet kräver.

Från 90-dagarsförslaget till 47-dagars certifikatmandat: En tidslinje

Giltighetsperioden för SSL/TLS-certifikat har krympt stadigt under två decennier, driven av utvecklingen av cybersäkerhetshot och den pågående strävan efter starkare webbsäkerhet.

I det tidiga internet hade certifikat en livslängd på upp till tio år, och för att få ett certifikat kunde det krävas direkt kontakt med en certifikatutfärdares valideringsteam. Allt eftersom internetpraxis mognade bildades CA/Browser Forum för att standardisera certifikatpraxis, och en av dess återkommande insatser har varit att minska den maximala giltighetsperioden. År 2016 var taket 3 år, och år 2018 sänktes det till 2 år (730 dagar).

År 2019 föreslog Apple att giltighetstiden skulle minskas till 1 år (398 dagar) på CA/Browser Forum. Forumet godkände inte den omröstningen, men Apple införde ensidigt 398-dagars giltighet i Safari under 2020, och resten av branschen följde i praktiken efter. År 2023 tog Google upp idén att ytterligare sänka giltighetstiden, till 90 dagar, som en framtida riktning för Chromes root-program. Det är just den siffran på 90 dagar som mycket av branschdiskussionen, inklusive tidigare versioner av den här guiden, fastnade.

Branschen nöjde sig inte med 90 dagar. I januari 2025 godkände Sectigo en omröstning som föreslog en stegvis minskning till 47 dagar, och den 11 april 2025 godkände CA/Browser Forum den omröstningen som SC-081v3. Den ersätter den platta 90-dagarsidén med tre schemalagda steg mellan nu och 2029.

Tidslinje och källor för officiell policy

Giltig datum	Krav	Vilka påverkas	Åtgärd behövs	Källa
Mars 15, 2026	Maximal giltighetstid för TLS-certifikat sjunker till 200 dagar. Återanvändningsperioden för domänkontrollvalidering (DCV) sjunker också till 200 dagar.	Varje offentligt betrott TLS/SSL-certifikat och de team som utfärdar och förnyar dem	Gå över till en förnyelseperiod på ungefär sex månader; bekräfta dina CA- och CLM-verktygscertifikat inom det nya fönstret	CA/Browserforum-omröstning SC-081v3, via Sectigo
Mars 15, 2027	Maximal giltighetstid sjunker till 100 dagar. Återanvändning av DCV sjunker också till 100 dagar.	Samma certifikat och team, plus eventuella arbetsflöden som fortfarande är beroende av manuell CSR-generering	Slutför automatisering av utfärdande och förnyelse; avbryt manuella processer för certifikatförfrågningar	CA/Browserforum-omröstning SC-081v3, via Sectigo
Mars 15, 2029	Maximal giltighetstid sjunker till 47 dagar. Återanvändning av DCV sjunker till 10 dagar.	Alla offentligt betrodda TLS-certifikat i hela branschen	Ha fullständig CLM-automatisering på plats, inklusive arbetsflöden för identifiering, aviseringar och återkallelse	CA/Browserforum-omröstning SC-081v3, via Sectigo

Båda datumen ovan kommer från en primärkälla: CA/Browser Forum-omröstningen SC-081v3, ursprungligen föreslagen av Apple och antagen den 11 april 2025. En andra primärkälla, DigiCerts Trust Pulse Survey publicerad 2 juli 2025, kvantifierar den operativa risken med att hantera detta schema manuellt. Behandla alla resurser, inklusive äldre versioner av denna guide, som anger ett fast 90-dagarskrav som föråldrade.

Varför kortare certifikatlivslängder förbättrar säkerheten

Det finns ingen enskild vetenskapligt ideal giltighetsperiod, men riktningen är konsekvent: kortare livslängder minskar exponeringsfönstret om ett certifikat eller dess privata nyckel komprometteras, och de tvingar fram ett frekventare införande av starkare kryptografi.

1. Minskad skada från nyckelkompromisser:

   En kortare giltighetsperiod begränsar hur länge en stulen privat nyckel förblir användbar för en angripare. Om en nyckel kopplad till ett 47-dagarscertifikat komprometteras, stängs exponeringsfönstret om veckor istället för de tretton månader som ett äldre 398-dagarscertifikat tillät. Det kortare fönstret ger också en komprometterad organisation en snabbare väg att återkalla det berörda certifikatet och utfärda ett rent certifikat.

2. Snabbare införande av starkare kryptografi:

   Kortare giltighetsperioder tvingar fram mer frekvent nycklargenerering och återutgivning av certifikat. Den takten gör det enklare för organisationer att integrera nya kryptografiska algoritmer när de blir tillgängliga, snarare än att vänta ett helt år eller mer på nästa schemalagda förnyelse. Samma disciplin är det som gör en organisations PQC-beredskap mer hanterbar när kvantresistenta algoritmer blir obligatoriska.

Kostnaden för manuell certifikathantering

I takt med att förnyelsetakten krymper från en gång om året till en gång var sjätte till sjunde vecka, krymper även marginalen för mänskliga fel. DigiCerts Trust Pulse-undersökning från juli 2025, baserad på svar från chefer inom företagssäkerhet, sätter en siffra på den risken.

• 45 % av organisationerna rapporterade driftstopp orsakade av certifikatrelaterade incidenter under det senaste året.
• 37.5 % av dessa avbrott tillskrevs specifikt certifikat som redan hade löpt ut, en av de mest förebyggbara orsakerna till driftstopp i företagsmiljöer.
• 31 % av organisationerna rapporterade förluster mellan 50 000 och 250 000 dollar kopplade till certifikatproblem, och 18.5 % rapporterade förluster över 250 000 dollar.
• 80 % av de svarande förväntar sig att deras certifikatvolym kommer att fortsätta växa under de kommande 12 månaderna, medan 56.6 % sa att de redan är oroliga över sin förmåga att spåra utgångsdatum.

De siffrorna beskriver certifikathantering under dagens längre giltighetsperioder. När det maximala antalet sjunker till 200, sedan 100, sedan 47 dagar, kommer samma manuella processer att behöva köras två till åtta gånger oftare, med betydligt mindre utrymme för att en missad förnyelse ska gå obemärkt förbi.

Argument för automatiserad hantering av certifikatlivscykeln

Samma DigiCert-undersökning visade att 51 % av organisationerna utsåg automatiserad hantering av certifikatlivscykler till en högsta strategisk prioritet för det kommande året, vilket överensstämmer med vad tidsramen på 47 dagar kräver. Manuella rutiner som bara var obekväma vid en kadens på 398 dagar blir en verklig operativ risk vid 47 dagar.

En CLM-plattform som CertSecure Manager levererar den certifikatautomation som behövs för att eliminera mänskliga fel genom att upptäcka varje certifikat i din miljö, spåra utgångsdatum automatiskt och utlösa återkallelse och återutgivning via ett protokoll som ACME innan ett certifikat någonsin upphör att gälla. Att centralisera det arbetet frigör också IT-personalen att fokusera på säkerhetsinitiativ med högre värde istället för att spåra kalkylblad och kalenderpåminnelser.

Vem äger detta: Åtgärdsmatris per team

Övergången till 47-dagarscertifikat berör mer än ett team, och vart och ett har olika uppgifter att göra före mars 2026.

Team	Vilka förändringar för dem	Omedelbar åtgärd
PKI-teamet	Certifikatmallar, CA-integrationer och utfärdandearbetsflöden måste stödja 47-dagars återutfärdande utan manuell CSR-generering.	Uppdatera CA- och RA-mallarna nu och bekräfta ACME-stöd med din utfärdande CA i god tid före deadline i mars 2026
Säkerhetsteam	Ett kortare kompromissfönster förbättrar hållningen, men en missad förnyelse skapar nu en risk för avbrott var sjätte till sjunde vecka istället för en gång om året.	Lägg till certifikatutgångsdatum i befintliga risk- och sårbarhetsinstrumentpaneler; behandla ett utgånget certifikat som en övervakad risk, inte ett rutinmässigt IT-ärende
Plattforms- och DevOps-teamet	Varje tjänst, lastbalanserare och API-gateway behöver en automatisk förnyelseväg; manuella certifikatinstallationer skalas inte till en 47-dagarscykel.	Integrera certifikatutfärdande i CI/CD-pipelines via ACME eller en CLM-plattforms API
Efterlevnadsteam	Revisionsbevis för certifikatlivscykelkontroller, inklusive enligt ramverk som DORA och PCI DSS, måste återspegla en kontinuerligt förnyad och övervakad inventering.	Bekräfta att de lager- och förnyelseloggar som er CLM-plattform producerar uppfyller ert specifika efterlevnadsramverks beviskrav.

Vad man ska göra härnäst, per team

• PKI-teamet: uppdatera certifikatmallar och bekräfta ACME-stöd med din utfärdande certifikatutfärdare före mars 2026.
• Säkerhetsteam: Lägg till certifikatutgångsdatum till befintliga risk- och sårbarhetsdashboards detta kvartal.
• Plattforms- och DevOps-teamet: utfärdande av certifikat i CI/CD-pipelines via ACME eller ett CLM-plattforms-API.
• Efterlevnadsteam: bekräfta att förnyelse- och inventeringsloggar redan uppfyller era krav på revisionsbevis enligt ramverk som DORA och PCI DSS.

Beredskapschecklista och migreringsfärdplan

En plattform för hantering av certifikatlivscykeln ger dig verktygen för att automatisera certifikatarbetsflöden, men att få ut det mesta av det beror på att följa en sekvens snarare än att aktivera automatisering överallt samtidigt.

1. Hitta:

   Börja med att identifiera och inventera alla TLS/SSL-certifikat i organisationen. Kör automatiserade identifieringsverktyg i hela nätverket för att lokalisera alla certifikat som används och lagra sedan inventeringen i ett centralt certifikathanteringssystem som den enda sanningskällan. Ett sjukhusnätverk kan till exempel behöva den här typen av skanning för att avslöja certifikat som säkrar både offentliga patientportaler och interna elektroniska patientjournalsystem.

2. Politik:

   Ange en policy som behandlar en förkortad livscykel som standard snarare än ett undantag, och definiera vem som äger begäran, godkännande och rotation av certifikat. Policyn bör också definiera en undantagsprocess, med dokumenterad motivering och godkännande, för fall som en äldre applikation som ännu inte kan stödja automatisk förnyelse.

3. Tillhandahållande:

   Automatisera utfärdandet där det är möjligt och integrera det med din certifikatutfärdare genom ett protokoll som ACME. Att minska risken för ett utgånget certifikat, effektivisera distributionen och hålla samma praxis konsekvent i alla system frigör IT-resurser för mer strategiskt arbete.

4. Övervaka:

   Bygg kontinuerlig övervakning med realtidsvarningar för förestående utgång, återkallelse eller felkonfiguration. En instrumentpanel som ger en organisationsomfattande bild av certifikathälsan låter administratörer upptäcka och lösa problem innan de påverkar produktionstrafiken.

5. Kontroll:

   Begränsa vilka system och personer som kan begära, utfärda eller hantera certifikat med hjälp av rollbaserad åtkomstkontroll för att separera uppgifterna att begära, godkänna och utfärda certifikat. Granska dessa kontroller när organisationsstrukturen eller säkerhetspolicyn ändras och granska processen regelbundet.

6. Rapportera:

   Generera regelbundna rapporter som täcker certifikatnamn, utfärdare, utgivningsdatum, utgångsdatum, återstående dagar och domän. En aktuell rapport låter ett team bekräfta att inget certifikat tyst och obemärkt är på väg mot utgångsdatum.

Multimoln- och hybrid-PKI-miljöer

De flesta företag kör nu certifikat över mer än en molnleverantör tillsammans med en lokal certifikatutfärdare, vilket innebär att en 47-dagars förnyelsecykel inte kan förlita sig på varje plattforms inbyggda, isolerade certifikatverktyg. En hybrid PKI-miljö behöver en CLM-plattform som kan upptäcka och förnya certifikat över AWS, Azure, Google Cloud och lokal infrastruktur från en enda kontrollpunkt. Utan den centraliserade insynen multiplicerar en kort förnyelsecykel spridd över fragmenterade miljöer oddsen för att ett certifikat i ett mindre synligt hörn av resurserna missas.

Vad händer när certifikat lämnas ohanterade

SSL/TLS-certifikat skyddar webbplatsens integritet och säkerställer överföringen av information. När ett certifikat går ut obemärkt, särskilt under en 47-dagarscykel där det finns mycket mindre buffert än det brukade vara, går konsekvenserna långt utöver en obekväm varningssida.

År 2017 drabbades Equifax av ett dataintrång som exponerade ungefär 148 miljoner amerikaners personuppgifter. En nätverksövervakningsenhet förlitade sig på ett certifikat som hade löpt ut ungefär 19 månader tidigare och gått obemärkt förbi, vilket lämnade krypterad trafik på det segmentet av nätverket oinspekterad. När angriparna väl fått fotfäste stjälde de data i 76 dagar innan det utgångna certifikatet slutligen förnyades och den misstänkta aktiviteten upptäcktes.

1. Dataintrång:

   Ett giltigt SSL/TLS-certifikat skyddar känsliga data som inloggningsuppgifter, betalningsuppgifter och personlig information när de överförs mellan en användare och en server. När certifikatet löper ut eller dess integritet misslyckas, kollapsar den krypterade tunneln och skapar en öppning för en angripare att fånga upp informationen under överföringen.

2. Skada rykte:

   Ett utgånget certifikat signalerar till användarna att grundläggande säkerhetshygien har förbisedds. Den typen av synliga brister är svåra att ångra och kan undergräva förtroende som tagit år att bygga upp.

3. Sökmotorpåföljder:

   Sökmotorer belönar webbplatser som har giltiga SSL/TLS-certifikat och flaggar de som inte har det. En webbplats som markerats som osäker på grund av ett utgånget certifikat kan se sina rankningar sjunka, vilket minskar synligheten och trafiken.

4. Serviceavbrott:

   Webbläsare upptäcker ett utgånget certifikat och blockerar åtkomst med en varningssida. För ett e-handelsföretag är det förlorad försäljning under avbrottet. För varje annan besökare är det en trasig upplevelse som urholkar förtroendet för webbplatsen.

Hur krypteringskonsulting kan hjälpa

Att hantera en handfull certifikat med kalkylblad och kalenderaviseringar var aldrig elegant, men det var överlevbart. Att hantera hundratals certifikat över flera applikationer och underdomäner under en 47-dagarscykel är ett annat problem, och det är det som CertSecure Manager är byggd för att lösa.

1. Automatisk förnyelse:

   CertSecure Manager automatiserar hela förnyelseprocessen, från att generera begäran till att beställa den från CA och installera det förnyade certifikatet på målsystemet. Det eliminerar det manuella arbetet som blir ohållbart när förnyelser sker var sjätte till sjunde vecka istället för en gång om året, och det stöder automatiskt utbyte över vanliga plattformar som IIS, Apache, Tomcat och F5-lastbalanserare.

2. Upptäckt och lagerhantering:

   En fullständig genomsökning av din IT-infrastruktur eliminerar blinda fläckar som gör att förnyelser glider obemärkt förbi. En enda, centraliserad vy över varje certifikats status, giltighetsdatum och ägarskap stöder bättre beslut om var automatisering ska prioriteras först.

3. Varningar och rapportering:

   Istället för att vänta på att ett certifikat ska löpa ut genererar CertSecure Manager proaktiva aviseringar inför förnyelsefönster och producerar detaljerade hälsorapporter som täcker kommande förnyelser och potentiella riskområden, vilket är särskilt användbart när varje certifikat har en 47-dagarsperiod.

4. Integration med DevOps:

   CertSecure Manager fungerar med populära certifikatutfärdare och automatiseringsramverk och integreras i befintliga distributionspipelines. Det minskar den manuella ansträngning som krävs för att flytta certifikatdata mellan system och stöder automatiserad provisionering när nya miljöer kommer online.

Automatisering av certifikatförnyelse är bara en del av bilden. Encryption Consultings CBOM Secure upptäcker varje kryptografisk tillgång i din miljö, inte bara TLS-certifikat, och vår guide om hur en CBOM omvandlar inventering till information förklarar hur det upptäcktsarbetet direkt matar in i planeringen efter kvantmigrering genom vårt PQC Center of Excellence.

Mätvärden att spåra efter implementering

Att rulla ut automatisering är inte mållinjen. Det här är mätvärden som är värda att granska regelbundet när en CLM-plattform väl är på plats.

• Förnyelsefrekvens för hela certifikatinventeringen
• Antal certifikat som närmar sig utgångsdatum utan ett aktivt förnyelsejobb kopplat
• Genomsnittlig tid för att utfärda ett certifikat på nytt efter en återkallelsehändelse
• Procentandel av certifikatinventeringen under automatiserad hantering kontra manuell spårning
• Antal avbrott hänförliga till certifikatutgång, vilket bör tendera mot noll
• Tid som krävs för att generera bevis på efterlevnad för en revisionsbegäran

Slutsats

Förslaget om 90-dagarscertifikat som en gång dominerade denna diskussion antogs aldrig. Det som faktiskt är bindande är CA/Browser Forums etappvisa schema: 200 dagar från mars 2026, 100 dagar från mars 2027 och 47 dagar från mars 2029. Den tidslinjen är inte en avlägsen hypotetisk; den första deadline är mindre än ett år bort.

Att bekvämt uppfylla detta innebär att införa automatisering nu istället för att vänta på deadline för att tvinga fram utfärdandet. En CLM-lösning som CertSecure Manager hanterar identifiering, utfärdande, förnyelse och återkallelse av hela ditt certifikatinventarium, vilket förvandlar ett krympande giltighetsfönster från en återkommande nödsituation till en rutinmässig bakgrundsprocess.

Att förkorta certifikatens livslängd kräver verklig planering, men resultatet – starkare säkerhet, tydligare bevis på efterlevnad och en certifikatinfrastruktur som redan har befintlig certifikatidentifiering på plats – överväger den kortsiktiga ansträngningen att nå dit.

Vanliga frågor om partihandel med mat och dryck