Let's Encrypt: Standard-Zertifikatslaufzeit sinkt am 2027-02-10 auf 64 Tage

Zusammenfassung

Am 2027-02-10 stellt Let's Encrypt alle Abonnenten standardmässig auf Zertifikate mit 64 Tagen Laufzeit um. Betroffen sind Zertifikate, die ab diesem Datum ausgestellt oder erneuert werden; gültige Zertifikate werden nicht widerrufen. Erneuerungsjobs mit fest einprogrammierten Zeitpunkten könnten nicht rechtzeitig erneuern.

Was ändert sich?

Ab dem 2027-02-10 ausgestellte oder erneuerte Zertifikate sind 64 statt 90 Tage gültig (ausser es werden 45 oder 6 Tage gewählt). Erneuerungen, die fest auf eine Anzahl Tage vor Ablauf eingestellt sind (z. B. 83, 80 oder 60), laufen möglicherweise zu spät oder zum falschen Zeitpunkt, wodurch Zertifikate ablaufen können. Die Wiederverwendungsdauer von Autorisierungen sinkt von 30 auf 10 Tage (2028 auf 7 Stunden); das betrifft nur ACME-Clients, die gezielt darauf angewiesen sind.

Betroffen

• Alle Let's-Encrypt-Abonnenten mit der Standardlaufzeit
• ACME-Clients, Cron-Jobs, Wrapper-Skripte und Runbooks mit fest einprogrammierten Erneuerungszeitpunkten
• ACME-Clients, die auf die Wiederverwendung von Autorisierungen angewiesen sind
• Nicht betroffen: ACME-Endpunkte, Ausstellungsketten, Rate Limits

Vorbereitung und vorübergehende Ausnahmen

1. In der Let's-Encrypt-Staging-Umgebung testen, die seit dem 2026-10-14 Zertifikate mit 64 Tagen Laufzeit ausstellt.
2. Prüfen, ob der ACME-Client ACME Renewal Info (ARI) unterstützt; in diesem Fall wird der Erneuerungszeitpunkt automatisch gesteuert.
3. Andernfalls fest einprogrammierte Erneuerungszeitpunkte auf ca. 2/3 der Laufzeit ändern.
4. Cron-Jobs, Wrapper-Skripte und Runbooks nach fest eingetragenen Zahlen wie 83, 80 oder 60 durchsuchen.
5. Alarmierung bei fehlgeschlagenen Erneuerungen einrichten sowie Reload und Deployment der Zertifikate automatisieren.

Prüfen und abschliessen

Dies ist eine geplante Änderung und wird nicht zurückgenommen. Die Bereitschaft lässt sich durch Tests in der Staging-Umgebung prüfen. Das letzte Zertifikat mit 90 Tagen Laufzeit läuft voraussichtlich am 2027-05-11 ab.

Empfehlung

Alle Systeme mit Let's-Encrypt-Zertifikaten erfassen, ARI-Unterstützung bestätigen oder Erneuerungszeitpunkte auf ca. 2/3 der Laufzeit anpassen und vor dem 2027-02-10 in der Staging-Umgebung testen. Überwachung für fehlgeschlagene Erneuerungen und ablaufende Zertifikate einrichten.

Zeitplan

1. 14.10.2026Die Staging-Umgebung stellt zu Testzwecken auf Zertifikate mit 64 Tagen Laufzeit um.
2. 10.02.2027Alle ab diesem Datum ausgestellten oder erneuerten Zertifikate haben standardmässig 64 Tage Laufzeit; die Wiederverwendungsdauer von Autorisierungen sinkt von 30 auf 10 Tage.
3. 11.05.2027Das letzte Zertifikat mit 90 Tagen Laufzeit läuft voraussichtlich ab.

Quellen

• Let's Encrypt: 64-Day Certificate Lifetimes Coming Feb 2027 Hersteller · letsencrypt.org

Aus den genannten Quellen zusammengestellt und übersetzt mit AI (Claude); Status und Daten stammen vom Hersteller. Massgebend sind die Angaben des Herstellers. Aktualisiert 01.11.2026 15:55.