Let's Encrypt сократит сертификаты до 64 дней с 10 февраля 2027

Let's Encrypt постепенно сокращает срок своих бесплатных сертификатов с 90 до 45 дней. Первый шаг уже прошёл: с 13 мая 2026 года профиль tlsserver по запросу выдаёт 45-дневные сертификаты. Следующий затронет почти всех: 10 февраля 2027 года стандартный профиль classic перейдёт на 64 дня. До этой даты меньше четырёх месяцев, и настройки продления на многих серверах к ней не готовы.

Что объявил Let's Encrypt

План опубликован в декабре 2025 года и привязан к правилам CA/Browser Forum.

Изменения касаются только новых сертификатов. Вы увидите новый срок при первом продлении после каждой даты. Профиль можно выбрать в настройках ACME-клиента, если он поддерживает профили: так вы сами решаете, когда перейти на короткий срок, и можете проверить работу заранее. Тестовая среда staging получает изменения примерно за месяц до рабочей, это удобно для проверки.

Отдельно стоит профиль shortlived с сертификатами на 6 дней — для тех, кто сознательно выбирает очень короткий срок.

Почему это может сломать продление

Большинство серверов продлевают сертификаты через certbot, acme.sh или встроенный клиент панели. Обычно это работает так: задание раз в сутки проверяет, не пора ли продлить, и продлевает за 30 дней до окончания. С 64-дневным сертификатом такая схема продолжит работать.

Ломаются нестандартные настройки:

• задание, которое запускает продление раз в 60 дней «по календарю»;
• скрипты, где жёстко прописано «продлевать на 60-й день»;
• ручное продление по напоминанию;
• системы, куда сертификат копируется руками после выпуска: почтовые серверы, балансировщики, CDN, устройства.

Let's Encrypt прямо пишет: жёстко заданного интервала в 60 дней больше не хватит.

Авторизация. Сейчас подтверждение владения доменом действует 30 дней, с февраля 2027 — 10 дней, с 2028 — 7 часов. Если проверка идёт через DNS и запись добавляется вручную, к 2028 году так работать не получится. Для DNS-проверки понадобится API регистратора или DNS-хостинга: многие российские и зарубежные провайдеры его дают, но доступ нужно настроить заранее и хранить ключ API так же аккуратно, как пароль от домена.

Что сделать до 10 февраля 2027

1. Найдите на каждом сервере, как запускается продление: cron, systemd-таймер, панель хостинга. Убедитесь, что проверка идёт ежедневно, а не раз в N дней.
2. Включите ARI, если клиент его поддерживает. Это механизм, через который Let's Encrypt сам подсказывает клиенту, когда продлевать. Без ARI продлевайте примерно на двух третях срока.
3. Проверьте всё, что получает сертификат после выпуска: перезагрузку nginx, копирование на почтовый сервер, загрузку в CDN. Они должны срабатывать автоматически.
4. Настройте оповещение, если продление не удалось. Тишина в журнале не означает, что всё работает.
5. Протестируйте схему на staging: выпустите тестовый сертификат после того, как там включат 64 дня.
6. Посмотрите на новый способ проверки DNS-PERSIST-01, который Let's Encrypt ожидает в 2026 году: TXT-запись не нужно менять при каждом продлении.

Наше мнение

Сокращение сроков нас не пугает: на правильно настроенном сервере оно незаметно. Пугают «временные» решения, которые живут годами: сертификат, скопированный руками на почтовый сервер, или скрипт, написанный уволившимся администратором. Мы советуем сейчас, пока есть время, пройтись по всем местам, где используются сертификаты, и для каждого ответить на вопрос «что будет, если продление не сработает и кто об этом узнает». Калькулятор ниже покажет, сколько попыток продления остаётся при ваших настройках.

Почему Let's Encrypt это делает

Короткий срок ограничивает ущерб, если закрытый ключ сертификата утёк или сертификат выпущен по ошибке. Механизмы отзыва в браузерах работают неполно, поэтому короткая жизнь сертификата — самый надёжный способ быстро вывести его из оборота. Кроме того, Let's Encrypt следует общему графику CA/Browser Forum: к 2029 году лимит для всех публичных сертификатов составит 47 дней.

Как проверить продление на своём сервере

• Для certbot: команда `certbot renew --dry-run` проверит, пройдёт ли продление, не выпуская настоящий сертификат.
• Посмотрите, как запускается продление: `systemctl list-timers` для systemd или `crontab -l` для cron.
• Проверьте, что после продления выполняется перезагрузка веб-сервера: в certbot это хук deploy-hook или настройка в конфиге домена.
• Сравните дату окончания сертификата на сайте с датой в файле на сервере. Если на сайте старше — сервер не перечитал сертификат.

Эти четыре проверки занимают десять минут и закрывают большинство причин «внезапно истёкших» сертификатов.