Brådskande åtgärder för att förbereda sig för 90-dagars SSL/TLS-certifikat 

CA/Browser Forum har godkänt ett etappschema som minskar den maximala giltigheten för offentligt betrodda TLS/SSL-certifikat från 398 dagar till 47 dagar senast i mars 2029, och ersätter det tidigare 90-dagarsförslaget som många team fortfarande planerar kring.  

CA / Browser Forum Omröstning SC-081v3 fastställer en trestegsförkortning av TLS-certifikatets giltighetstid: 200 dagar från 15 mars 2026, 100 dagar från 15 mars 2027 och 47 dagar från 15 mars 2029. Det tidigare 90-dagarsförslaget ersattes. Organisationer bör bygga upp en fullständig certifikatinventering, införa ACME-baserad automatisering och centralisera certifikatlivscykelhanteringnu, eftersom manuell förnyelse inte kan hålla jämna steg med en 47-dagarscykel. 

Key Takeaways 

• Valsedel SC-081v3 ersätter 90-dagars ramverk. CA/Browser Forums omröstning i april 2025 har satt giltigheten till 200 dagar (15 mars 2026), 100 dagar (15 mars 2027) och 47 dagar (15 mars 2029). 
• Återanvändning av domänvalidering krymper parallellt. Den maximala perioden som en CA kan återanvända tidigare domänvalidering sjunker till 10 dagar i mars 2029, vilket tvingar fram nästan kontinuerlig omvalidering. 
• Manuell förnyelse skalas inte under 90 dagar. En 47-dagarscykel innebär att varje certifikat förnyas ungefär 7.5 gånger per år; ACME-baserad automatisering och centraliserad hantering av certifikatlivscykeln (CLM) blir obligatorisk, inte valfri. 
• Viktiga kompromissregler är oförändrade och separata. Baskraven kräver fortfarande återkallelse av ett komprometterat certifikat inom 24 timmar, oavsett giltighetsperiod. 
• Upptäckt är det första steget, inte förnyelse. Team kan inte automatisera det de inte kan se; en komplett certifikatinventering över servrar, lastbalanserare, containrar och molntjänster måste ske före automatisering.

Tidslinjen för 47-dagarscertifikatet 

CA/Browser Forum-omröstningen SC-081v3, som avslutade omröstningen den 11 april 2025, ersätter Googles tidigare 90-dagarsförslag med en trestegsförsänkning till 47 dagar senast 2029. 

Giltig datum	Maximal certifikatgiltighet	Maximal DCV-återanvändningsperiod
Före den 15 mars 2026	398 DAYS	398 DAYS
Mars 15, 2026	200 DAYS	200 DAYS
Mars 15, 2027	100 DAYS	100 DAYS
Mars 15, 2027	47 DAYS	10 DAYS

Schemat påverkar två relaterade gränser: certifikatets maximala livslängd och den maximala perioden ett certifikatutfärdare kan återanvända tidigare insamlad information om domänvalidering (DCV) och organisationsidentitet (SII) istället för att verifiera den igen. 

Detta är den fjärde stora minskningen av certifikatens livslängd sedan CA/Browser Forum först begränsade giltighetstiden till 60 månader år 2012. Ballot 185 (2017) sänkte den till 825 dagar, och Ballot SC-22 (2019) sänkte den ytterligare till den nuvarande gränsen på 398 dagar som de flesta CA:er tillämpar idag. Googles förslag från 2023 om 90-dagarscertifikat gick inte igenom; Apples konkurrerande förslag om en stegvis minskning till 47 dagar gick igenom, och CA/Browser Forum antog det som SC-081v3. 

Varför kortare certifikat är viktiga 

Kortare giltighetsperioder krymper exponeringsfönstret om en privat nyckel komprometteras, eftersom certifikatåterkallelse inte fungerar tillförlitligt på internetnivå. 

Återkallningskontroll bygger på certifikatåterkallningslistor (CRL:er) och Online Certificate Status Protocol (OCSP)), och båda har praktiska begränsningar. Många webbläsare misslyckas med att öppnas när en OCSP-kontroll får timeout, vilket innebär att de fortsätter att lita på ett certifikat snarare än att blockera anslutningen. En kortare maximal livslängd begränsar hur länge ett komprometterat certifikat aktivt kan missbrukas även om återkallelsen aldrig sker. 

Ett 398-dagarscertifikat ger en angripare upp till tretton månader på sig att utnyttja en komprometterad nyckel. Ett 47-dagarscertifikat begränsar samma exponering till långt under två månader, oberoende av om någon märker intrånget. 

Certifikatavbrott är en verklig operativ risk 

Utgångna certifikat orsakar redan väl dokumenterade avbrott, och en 47-dagarscykel multiplicerar antalet förnyelsehändelser som kan gå fel. 

I december 2018 utlöste ett utgånget programvarucertifikat i Ericssons kärnnätverksutrustning ett landsomfattande avbrott som drabbade O2, Tesco Mobile och Sky Mobile i Storbritannien samt SoftBank i Japan. O2 rapporterade ensamt cirka 32 miljoner drabbade abonnenter under nästan 24 timmar. År 2020 satte ett utgånget certifikat kortvarigt ner Microsoft Teams för användare världen över. Ingen av incidenterna involverade en sofistikerad attack; båda var rutinmässiga certifikat som ingen spårade förrän de löpte ut. 

Med den nuvarande kadensen på 398 dagar är en missad förnyelse så sällsynt att manuell spårning kan halta framåt. Vid en kadens på 47 dagar misslyckas samma manuella process enligt ett förutsägbart schema. 

Omedelbara åtgärder för certifikatteam 

Sex åtgärder skiljer organisationer som kommer att hantera 47-dagarscertifikat smidigt från de som kommer att tillbringa 2027 med brandbekämpningsavbrott. 

• Bygg en komplett certifikatinventering. Upptäck alla certifikat på servrar, lastbalanserare, containrar, IoT-enheter och molntjänster. Du kan inte automatisera förnyelse för ett certifikat du inte vet existerar. 
• Använd ACME eller motsvarande automatiserad registrering. Manuell utfärdande och installation kan inte hantera en 47-dagars förnyelsecykel för mer än ett fåtal certifikat. 
• Centralisera arbetsflöden för policyer och godkännanden. En enda utgivningsväg, som tillämpas konsekvent, minskar felkonfigurationer som orsakar avbrott när förnyelsefrekvensen ökar. 
• Integrera certifikatutfärdande i CI/CD-pipelines. Byggnader bör misslyckas säkert på ett ogiltigt eller snart utgånget certifikat snarare än att skicka det till produktion. 
• Övervaka utgångsdatum kontinuerligt, inställt på 47 dagar. Varningströsklar som är utformade för en 398-dagarscykel (till exempel en 30-dagarsvarning) lämnar alldeles för lite utrymme för en 47-dagars varning. 
• Planera för tillväxt av maskinidentitet. Icke-mänskliga identiteter, inklusive tjänstkonton, containrar och API-slutpunkter, överstiger redan mänskliga identiteter i de flesta företagsmiljöer och bidrar till förnyelsevolymen. 

Problem som uppstår genom förkortad giltighetstid för certifikat 

Övergången till kortare certifikat Livslängder representerar ett betydande skifte i hanteringen av digitala certifikat och förbättrar säkerheten genom att minska risken för att komprometterade nycklar missbrukas under längre perioder. Detta medför dock också flera operativa utmaningar som organisationer måste hantera effektivt.  

1. Frekventa certifikatförnyelser

   Det finns behov av mer frekventa förnyelser, vilket kan ske upp till minst fyra gånger per år. Det ökar automatiskt den administrativa bördan, särskilt för företag som hanterar tusentals eller till och med miljontals certifikat. Denna ökade frekvens belastar inte bara resurser utan ökar också sannolikheten för mänskliga fel, vilket leder till utgångna certifikat.

   Varje år upplever ett stort antal organisationer avbrott på grund av utgångna certifikat. En studie av DigiCert visade att certifikatavbrott kostar stora företag i genomsnitt 5 600 dollar per minut. Ett anmärkningsvärt exempel är Microsoft Teams-avbrottet 2020, där ett utgånget certifikat lämnade miljontals användare utan åtkomst. Det visade de affärs- och ryktesrisker som är kopplade till otillräcklig certifikathantering.

2. Icke-automatiserade system

   Att förlita sig på manuella förnyelseprocesser var hanterbart med längre certifikatlivslängder, men med kortare certifikatgiltighetsperioder skulle det bli opraktiskt. Dessa manuella metoder resulterar ofta i utgångna certifikat eller felkonfigurationer, vilket orsakar störningar eller säkerhetsrisker. Äldre system, som är äldre och inte byggda för moderna krav, möter ytterligare svårigheter. De kan vanligtvis inte stödja automatiserade verktyg som ACME (Automatiserad certifikathanteringsmiljö), vilka är avgörande för att hantera certifikat effektivt.

   Dessutom, inte alla Certifikatutfärdare (CA) och organisationer är fullt utrustade för att hantera de accelererade utfärdande- och förnyelsecyklerna som kan skapa inkonsekvenser. Företag antar centraliserade certifikathanteringssystem för att mildra dessa utmaningar. Vår lösning, CertSecure-hanterare, tillhandahåller ett enhetligt gränssnitt för att spåra och förnya certifikat.

3. Börda på IT-teamet

   Övergången till kortare certifikatlivslängder innebär en betydande belastning för IT-team. Eftersom certifikat behöver förnyas oftare måste IT-team hantera en större volym av förnyelser. Det ökar sannolikheten för fel, som till exempel utgångna certifikat. Detta kan leda till systemavbrott, vilket påverkar tjänster och produktivitet. Utan automatisering kan IT-team lägga mycket tid på att hantera sina certifikat, vilket tar tid från annat viktigt arbete. Automatisering kan spara tid och hålla teamen fokuserade på kritiska uppgifter.

   Ett stort europeiskt mobilföretag vid namn O2 stod inför en strömavbrott som varade nästan en hel dag på grund av ett utgånget certifikat från Ericsson. Miljontals kunder drabbades av detta certifikatavbrott. Som ett resultat kompenserades O2 med cirka 132.8 miljoner dollar av Ericsson.

4. Utbildnings- och kompetensutvecklingsbehov

   Kompetensutveckling av personalen är en annan viktig komponent, eftersom IT- och DevOps-team behöver utbildning för att hantera moderna certifikatlivscykler effektivt. Dessa strategier kräver investeringar, men de är avgörande för att minimera avbrott i tjänsten, minska resursbelastningen och säkerställa Efterlevnad i en tid med kortare livslängd för certifikat. Organisationer som framgångsrikt hanterar dessa åtgärder minskar inte bara riskerna i samband med frekventa förnyelser utan positionerar sig också för förbättrad operativ motståndskraft och ökat förtroende för sina digitala tjänster.

Organisationer behöver använda automatiseringsverktyg och plattformar för certifikathantering för att säkerställa korrekt hantering av certifikatlivscykeln. Dessa verktyg förenklar förnyelseprocessen genom att automatisera uppgifter som utfärdande, driftsättning och spårning. certifikatDessa verktyg är utformade för att integreras smidigt med olika miljöer, inklusive äldre system.  

Omedelbara åtgärder för effektiv certifikathantering 

Flera åtgärder nämns nedan som hjälper dig att hantera certifikat effektivt. 

1. Omfattande granskning av certifikat

   Det är viktigt att förstå det befintliga certifikatscenariot för att kunna slutföra denna uppgift. Skriv därför ner alla kända attribut för varje certifikat på ett lättförståeligt sätt och gör en inventering. Den kan inkludera ägarens namn, installationsplats och information om utgångsdatum. Denna inventering ger nödvändiga insikter för att bedöma riskerna med eventuella utgångna certifikat. Därför är det bra att undvika störningar i de tjänster som tillhandahålls samt eventuella säkerhetshot.

   En global organisation som Google använder avancerade verktyg för hantering av certifikatlivscykeln för att genomföra skanningar på sina olika webbplatser, hämta en rapport över alla certifikat som används och stryka under de som ska förnyas. På så sätt får IT-teamet en chans att mobilisera sig och påverka tjänsteförnyelsen i förväg.

   CertSecure-hanterare automatiserar identifiering och granskning av TLS/SSL-certifikat i hela organisationen. Det ger realtidsinsikter i certifikatattribut, utgångsdatum och deras platser. Detta säkerställer proaktiv riskbedömning och minimerar avbrott i tjänsten.

2. Konfigurera identifierings- och övervakningsfaser

   Den kontinuerliga upptäckten av TLS/SSL-certifikat är av yttersta vikt för korrekt hantering av lager. Organisationer behöver en plattform som integrerar sökandet efter nya certifikat samtidigt som de kontrollerar deras status för att säkerställa att inga certifikat utelämnas och att även de som närmar sig utgångsdatum hanteras därefter.

   Ett globalt företag som Microsoft använder sådana verktyg för att möjliggöra konstant övervakning av hela sin globala närvaro. I detta avseende förbättrar sådana automatiserade system synligheten och minskar risken för luckor i certifikattäckningen genom att upptäcka alla aktiva certifikat.

   CertSecure-hanterare ger kontinuerlig identifiering och övervakning av certifikat över globala infrastrukturer. Du har en centraliserad instrumentpanel för att övervaka alla dina SSL/TLS-certifikat. Den låter dig spåra deras status, giltighetsdatum och ägaruppgifter som är kopplade till vart och ett.

3. Inkorporera riskbedömningsmetoder

   Det är mycket viktigt att utvärdera potentialen risker regelbundet granska din certifikathantering. Detta hjälper dig att upptäcka eventuella svagheter som kan utnyttjas eller marginalfall som kan orsaka driftstopp i tjänster.

   För certifikathanteringssystem kan nya teknikorienterade organisationer besluta att göra riskbedömningar gällande projektet var sjätte månad. Att fokusera på dessa högriskområden och avsätta pengar till dem hjälper till att undvika sådana störningar och behålla kundernas förtroende.

   CertSecure Manager inkluderar riskbedömning som utvärderar sårbarheter i certifikathanteringsmetoder. Den genererar detaljerade certifikathälsorapporter som belyser kritiska områden. Den gör det möjligt för organisationer att fördela resurser effektivt och upprätthålla tjänstens tillförlitlighet.

4. Skapa centraliserade policyer och arbetsflöden

   Uppmuntra kontrollpolicyer för certifikathantering i din organisation. Det måste finnas fungerande processer på plats för alla begäranden och godkännanden av nya certifikat för att skydda mot att team bryter mot den nya 90-dagarsgränsen. Centraliserade policyer säkerställer att alla certifikat inom organisationen följer samma process för utfärdande, förnyelse och återkallelse. Det leder också till konsekvens och minskar risken för mänskliga fel.

   Organisatoriska arbetsflöden påverkas av implementeringen av anpassade policyer i Certificate Lifecycle Management genom att automatisera och effektivisera viktiga processer, minska manuella ansträngningar och förbättra säkerheten. Företag med centraliserad CLM Policyer upplever snabbare certifikatdistributionstid, vilket förbättrar tjänstens drifttid och efterlevnad.

   CertSecure Manager erbjuder centraliserad policyhantering och låter organisationer definiera och tillämpa policyer för certifikatanvändning. Det effektiviserar arbetsflöden för godkännande av nya certifikatförfrågningar och säkerställer efterlevnad av organisationens standarder.

5. Automatisera förnyelseprocedurer

   Att manuellt förnya tusentals certifikat är en mödosam uppgift, men automatisering kan förenkla förnyelseprocessen och förbättra säkerhetsställningen. Organisationer som använder automatiserad certifikathantering Lösningarna minskar tiden som läggs på certifikatrelaterade uppgifter. Detta leder till betydande kostnadsbesparingar och gör att IT-team kan fokusera på mer strategiska initiativ.

   En 2022 studie av VentureBeat visade att 81 % av företagen hade upplevt ett certifikatrelaterat avbrott. Detta inträffade inom två år. Det visar de betydande riskerna som är förknippade med otillräcklig certifikathantering. Dessa avbrott kan leda till betydande ekonomiska förluster, och Ponemon Institute uppskattar att den genomsnittliga kostnaden för IT-avbrott kan vara nästan 9 000 dollar per minut.

   En enorm bankinstitution har implementerat CertSecure Manager, vilket automatiserade förnyelsen av certifikat avsedda för deras internetbankportal. Automatiseringen av förnyelsen av digitala certifikat fungerade effektivt och har minskat risken för driftstopp avsevärt. Kundernas åtkomst bibehålls alltid utan manuella åtgärder från institutionen.

6. Integrera certifikathantering i DevOps-processer

   Integrering av certifikathantering i ramverket Continuous Integration/Continuous Deployment (CI/CD) ökar effektiviteten och säkerheten. Denna integration gör det möjligt att säkerställa att de senaste certifikaten alltid används för att distribuera nya applikationer eller uppdateringar, vilket minimerar riskerna med att använda utgångna certifikat i produktion.

   Att integrera certifikathantering i DevOps-processer förbättrar säkerhetsefterlevnaden med standarder som PCI DSS (för säker betalningshantering), HIPAA (säkerställande av patientdataskydd inom hälso- och sjukvården), GDPR (upprätthålla integritets- och dataskydd i EU), SOX (säkerställa finansiell dataintegritet) och ISO 27001 (främja informationssäkerhetshantering). Förbättrad distributionshastighet kan ses genom att automatisera certifikathanteringen inom DevOps-pipelines. Detta beror på att manuella ingrepp minimeras, vilket möjliggör mer tillförlitliga och snabbare programvarulanseringar.

   CertSecure Manager integreras sömlöst med CI/CD-pipelines, som till exempel Jenkins, GitHub-åtgärderoch Azure DevOpsoch automatiserar utfärdande och distribution av certifikat under byggprocessen. Detta säkerställer att endast giltiga och säkra certifikat används i produktion.

7. Håll koll på säkerhetsefterlevnaden

   På grund av den snabba rotationen av certifikat är det viktigt att ha ett verktyg som regelbundet övervakar säkerhet och efterlevnad. Certifikat bör hanteras av deras hanteringssystem i enlighet med bästa praxis.

   Stora sjukförsäkringsbolag använder programvara för certifikathantering för att hitta alla certifikat i organisationen kvartalsvis och kontrollera vilka som är HIPAA Detta är viktigt för att skydda patienternas privata information och för att behålla klienternas förtroende.

   CertSecure Manager hjälper organisationer att följa branschstandarder och regler. Funktioner som efterlevnadsövervakning och rapportering är också funktionella för användarna. Den markerar certifikat som inte uppfyller specifika krav, såsom HIPAA eller PCI DSSoch ger användbara insikter för åtgärdande.

8. Stöd Rising Machine Identities

   Med den digitala världens framsteg uppskattar Cyberark att antalet maskinidentiteter kommer att växa mer än 2.4 gånger under de kommande 12 månaderna. I takt med att efterfrågan på certifikathantering växer förväntas marknaden för certifikatutfärdare expandera avsevärt. Forskning visar att den globala marknaden för certifikatutfärdare kommer att öka från 81.7 miljoner dollar år 2019 till 285.7 miljoner dollar år 2030. Denna tillväxt ger en genomsnittlig årlig tillväxttakt (CAGR) på 12.3 % från 2020 till 2030.

   Det innebär att organisationer måste se till att de strategier för certifikathantering de har på plats kan hantera de förändrade kraven utan att behöva oroa sig för säkerhetsproblem.

   CertSecure Manager är byggt för att hantera skalbarhetskraven från ökande maskinidentiteter. Dess automatiserade certifikatprovisionering och livscykelhantering säkerställer sömlös drift även när antalet maskinidentiteter växer exponentiellt.

9. Utbilda och utbilda personal

   Det är mycket viktigt att se till att ditt team är medvetet om varför SSL/TLS-certifikat är viktiga och att de underhålls korrekt. Utbildningstillfällen kan också förklara hur man hanterar certifikat med kortare livslängd och varför det är farligt att glömma bort hanteringen av sådana certifikat.

   Teknikorganisationer anordnar utbildningar om effektiv certifikathantering för sina utvecklare. Denna metod stöder säkerhetskultur och uppmuntrar teammedlemmar att delta i att skydda applikationer som en del av sitt arbete.

   CertSecure-hanterare erbjuder intuitiva gränssnitt och detaljerade guider, vilket minskar inlärningskurvan för IT-team. Dessutom förenklar den centraliserade plattformen certifikathanteringen och gör det enklare för personalen att anamma bästa praxis med minimal utbildning.

Dessa åtgärder kommer att bidra till en smidig övergång för organisationer till 90-dagars TLS/SSL-certifikat utan att kompromissa med säkerhet och efterlevnad. De potentiella farorna i samband med kortare giltighetsperioder för certifikat kommer att mildras med hjälp av automatisering och stark hantering av certifikatens livscykel, och driftseffektiviteten kommer att förbättras. I takt med att kraven på digital säkerhet förändras kommer dessa insatser att göra det möjligt för organisationer att utföra verksamheter även i en turbulent miljö utan några säkerhetsavbrott. 

Hur kan krypteringskonsulting hjälpa till? 

CertSecure-hanterare är Encryption Consultings plattform för hantering av certifikatlivscykel, byggd för just denna övergång. Den automatiserar identifiering, utfärdande, förnyelse och återkallelse över det förkortade giltighetsschemat, integrerar med ACME och större CI/CD-pipelines inklusive Jenkins, GitHub Actions och Azure DevOps, och ger IT-team en instrumentpanel för varje certifikat de kör. Stöds av ISO/IEC 27001:2022 och SOC 2-certifierade metoder. 

Vanliga frågor om partihandel med mat och dryck

Pågår förslaget om 90-dagarscertifikat fortfarande? 

 Nej. Google föreslog en maximal giltighetsperiod på 90 dagar vid CA/Browser Forum 2023, men forumet antog istället ett konkurrerande Apple-stödt förslag. Ballot SC-081v3 sätter giltigheten till 200 dagar från mars 2026, 100 dagar från mars 2027 och 47 dagar från mars 2029, vilket ersätter 90-dagarsgränsen helt. 

När träder 47-dagarscertifikat i kraft? 

Den maximala giltighetsperioden på 47 dagar träder i kraft den 15 mars 2029. Det är det sista steget i ett schema i tre steg som börjar med 200-dagarscertifikat den 15 mars 2026 och 100-dagarscertifikat den 15 mars 2027. 

Måste privata eller interna certifikat följa detta schema? 

Nej. CA/Browser Forum-baskraven reglerar endast offentligt betrodda certifikat, vilket innebär certifikat som utfärdats av en CA i de största webbläsarnas rottillförlitlighetsprogram. Privata PKI som används enbart inom ett internt nätverk är inte bundna av detta schema, även om många organisationer väljer att anpassa sin interna policy till det ändå. 

Vad händer om min organisation fortsätter att förnya certifikat manuellt? 

Manuell förnyelse blir operativt ohållbar långt före 47-dagarsfristen. Ett team som hanterar även några hundra certifikat skulle behöva behandla förnyelser nästan varje vecka, och en enda missad förnyelse orsakar ett avbrott snarare än en försenad påminnelse. Automatiserad hantering av certifikatlivscykeln är det praktiska alternativet. 

Påverkar en kortare giltighetsperiod hur återkallelse av certifikat fungerar? 

Nej. Tidslinjerna för återkallelse i grundkraven ändras inte enligt detta schema: en bekräftad nyckelkompromettering eller felaktig utfärdande kräver fortfarande återkallelse inom 24 timmar, och problem som validering av utgången domän kräver återkallelse inom 5 dagar. Kortare giltighetsperioder minskar beroendet av att återkallelsen fungerar perfekt, eftersom certifikatet snart löper ut av sig självt oavsett. 

Gör dig redo för 47-dagarscertifikat 

Vägen från 398 dagar till 47 dagar löper fram till 2029, men automatiseringsarbetet måste påbörjas nu. Utforska CertSecure-hanterare för att se hur identifiering, utfärdande och förnyelse kombineras i en plattform, eller prata med en krypteringskonsult om ditt certifikatlager. 

Slutsats 

Övergången till 90 dagars giltighetstid för certifikat är en stor förändring inom digital säkerhet. Det hjälper företag att förbättra hur de hanterar certifikat. Kortare livslängder för certifikat minskar risken för missbruk, vilket gör system säkrare från cyberhot. Det innebär dock också att företag måste förnya certifikat oftare, vilket kan vara utmanande. För att hantera detta bör företag regelbundet kontrollera alla sina certifikat för att undvika utgångna. Att automatisera förnyelseprocessen sparar tid och förhindrar manuella fel. Verktyg för hantering av certifikatlivscykeln bör också integreras med CI/CD-pipelines för att effektivisera uppdateringar under utveckling. Att hantera allt från en enda plattform gör det enklare att hålla sig organiserad. Genom att följa dessa steg kan företag förbättra säkerheten, undvika driftstopp och säkerställa att deras tjänster förblir tillförlitliga och betrodda.