Предел срока определяет допустимую длительность нового сертификата, а продление получает новый документ. Переход даты выпуска может изменить предел следующего документа.
PKI и жизненный цикл сертификатов
Срок публичного TLS-сертификата
Определение
Срок публичного TLS-сертификата — период его действия, ограниченный правилами CA/Browser Forum для публично доверенных серверных сертификатов. Применимый предел выбирают по дате выпуска.
Также ищут: Public TLS certificate validity · срок действия публичного сертификата · предел срока TLS-сертификата
Зачем это знать
План продления зависит от даты следующего выпуска. Число, действовавшее для старого сертификата, нельзя автоматически переносить на новый или на сертификаты частной PKI.
Связи из словаря
Карта понятия
Срок публичного TLS-сертификата
Доказательная часть
Что подтверждено
В проверенной таблице CA/Browser Forum для публичных серверных TLS-сертификатов предшествующая ступень до 15 марта 2026 года равна 398 дням; с 15 марта 2026 года до 15 марта 2027 года — 200 дням; с 15 марта 2027 года до 15 марта 2029 года — 100 дням; с 15 марта 2029 года — 47 дням. Нижняя дата каждого интервала включается, верхняя — нет.
Граница применимости: CA/Browser Forum, серверные Baseline Requirements, 6.3.2; проверенный редактором срез от 8 сентября 2026 года. Обязанность издателя; не универсальный предел для частной PKI.
Для выпуска с 15 марта 2026 года до 15 марта 2027 года стандарт рекомендует не превышать 199 дней и запрещает превышать 200 дней. Для остальных ступеней пары «рекомендуемый предел / запрещено превышать» составляют 397/398, 99/100 и 46/47 дней.
Граница применимости: Различие SHOULD NOT и MUST NOT в 6.3.2 серверных Baseline Requirements; рекомендация не превращена в безусловный запрет.
При расчёте предела сутки равны 86 400 секундам. Превышение целого числа суток, включая доли секунды или дополнительную секунду, учитывается как ещё одни сутки. Поэтому правила рекомендуют не выпускать сертификаты ровно на разрешённый максимум по умолчанию.
Граница применимости: Правило счёта времени в 6.3.2 серверных Baseline Requirements; относится к периоду действия, а не к выбору рабочего запаса на доставку.
Для выпуска с 15 марта 2026 года короткоживущим считается сертификат со сроком не более семи дней, или 604 800 секунд. Эти семь дней определяют отдельную категорию и не заменяют общий предел 200 дней для выпуска до 15 марта 2027 года.
Граница применимости: Определение короткоживущего сертификата в 1.6.1 и общий предел в 6.3.2 серверных Baseline Requirements; исключения для категории здесь не перечисляются.
Продление означает новый выпуск. Если новый сертификат выпускается после даты очередного снижения предела, к нему относится новая ступень, даже когда прежний сертификат законно имел больший срок. Получение нового файла ещё не подтверждает его установку на сервис.
Граница применимости: Практический вывод из таблицы 6.3.2 и процесса нового выпуска ACME; срок старого сертификата не меняется задним числом только из-за перехода календарной границы.
Граница терминов
Не путать
Уложиться в предел выпуска недостаточно для доступности: сертификат ещё нужно установить и проверить на действующих конечных точках.
Перед спецификацией
Что проверить
- Установите, относится ли выпуск к публичным серверным TLS-сертификатам.
- Зафиксируйте дату выпуска и применимую редакцию правил.
- Выберите интервал таблицы с включённой нижней границей.
- Разделите рекомендуемый и обязательный пределы.
- Проверьте длительность в секундах с учётом правила округления.
- Не подменяйте общий предел определением короткоживущего сертификата.
- Отдельно запланируйте доставку и проверку нового сертификата.
Открытые основания
Первоисточники
- Automatic Certificate Management Environment
Определяет ACME account, order, authorization, challenge, finalize, certificate download и revocation workflow.
Утверждения: 05
- Recommendation for Key Management: Part 1 — General
Определяет key-management functions, lifecycle states, cryptoperiods, protection, backup/recovery, compromise и destruction.