Let's Encrypt: Zertifikatsgültigkeit sinkt am 2027-02-10 von 90 auf 64 Tage, bis 2028 auf 45 Tage

Zusammenfassung

Let's Encrypt verkürzt die Gültigkeit seiner Zertifikate in Stufen, wie es die Baseline Requirements des CA/Browser Forum verlangen. Am 2027-02-10 wechselt das Standardprofil classic auf Zertifikate mit 64 Tagen Gültigkeit. Die kürzere Gültigkeit zeigt sich bei der ersten Erneuerung nach dem jeweiligen Datum. Änderungen in der Staging-Umgebung folgen etwa einen Monat früher.

Was ändert sich?

Ab 2027-02-10 sind neue Zertifikate des Standardprofils classic 64 statt 90 Tage gültig, und die Domänenvalidierung wird nur noch 10 statt 30 Tage wiederverwendet. Ab 2028-02-16 gelten 45 Tage Gültigkeit und 7 Stunden Wiederverwendung. Erneuerungen mit festem Intervall (zum Beispiel alle 60 Tage) oder ohne Überwachung können zu abgelaufenen Zertifikaten führen.

Betroffen

• Nutzer des Standard-ACME-Profils classic (ab 2027-02-10 und 2028-02-16)
• Nutzer des Opt-in-Profils tlsserver (45 Tage seit 2026-05-13)
• Von der Änderung 2027 nicht betroffen: Nutzer, die sich für das Profil tlsserver oder shortlived (6 Tage) entschieden haben
• ACME-Clients mit fest eingestellten Erneuerungsintervallen oder manueller Erneuerung

Vorbereitung und vorübergehende Ausnahmen

1. Prüfen Sie, ob Ihr ACME-Client und Ihre Automatisierung mit kürzerer Zertifikatsgültigkeit funktionieren.
2. Aktivieren Sie ACME Renewal Information (ARI) in Ihrem ACME-Client; siehe dessen Dokumentation.
3. Unterstützt der Client ARI nicht, erneuern Sie nach etwa zwei Dritteln der Laufzeit; ein festes 60-Tage-Intervall genügt nicht mehr.
4. Richten Sie eine Überwachung ein, die warnt, wenn Zertifikate nicht wie erwartet erneuert werden.
5. Vermeiden Sie manuelle Erneuerungen, da sie häufiger nötig werden.

Prüfen und abschliessen

Kein Fehler. Die Änderung gilt ab den genannten Daten; prüfen Sie Ihre Erneuerungsautomatisierung vorher. Let's Encrypt erwartet, dass die neue Validierungsmethode DNS-PERSIST-01 im Jahr 2026 verfügbar wird.

Empfehlung

Erfassen Sie alle Systeme mit Let's-Encrypt-Zertifikaten, aktivieren Sie ARI oder passen Sie die Erneuerungsintervalle vor dem 2027-02-10 an, ersetzen Sie manuelle Erneuerungen durch Automatisierung und richten Sie eine Ablaufüberwachung ein. Optional können Sie vorab mit dem Profil tlsserver testen.

Zeitplan

1. 13.05.2026Das Opt-in-ACME-Profil tlsserver wechselt auf Zertifikate mit 45 Tagen Gültigkeit.
2. 10.02.2027Das Standard-ACME-Profil classic wechselt auf Zertifikate mit 64 Tagen Gültigkeit und 10 Tagen Wiederverwendung der Autorisierung.
3. 16.02.2028Das Profil classic wechselt auf Zertifikate mit 45 Tagen Gültigkeit und 7 Stunden Wiederverwendung der Autorisierung.

Quellen

• Decreasing Certificate Lifetimes to 45 Days Hersteller · letsencrypt.org

Aus den genannten Quellen zusammengestellt und übersetzt mit AI (Claude); Status und Daten stammen vom Hersteller. Massgebend sind die Angaben des Herstellers. Aktualisiert 01.11.2026 15:57.