С 1 марта 2018 года прекращается выпуск трехлетних SSL-сертификатов

В 2018 году вступает в силу новое требование CA/B Forum: максимальный срок действия SSL-сертификатов будет ограничен двумя годами. CA/B Forum – это отраслевой орган, который формирует и принимает правила, связанные с порядком выпуска и проверки SSL-сертификатов. 

Предложение Ballot 193, изначальное опубликованное Крисом Бейли (Chris Bailey) из удостоверяющего центра Entrust, задает новый лимит на максимальный срок действия для всех доверенных SSL-сертификатов - 825 дней. Это два года плюс дополнительные дни для того, чтобы успеть оформить продление и заменить сертификат. Новое изменение окончательно утверждено и вступит в силу 1 марта 2018 года.

За изменение проголосовало 24 центра сертификации при 3 воздержавшихся и 5 производителей браузеров при одном воздержавшемся (Mozilla).

Новое требование распространяется на все типы SSL-сертификатов и все удостоверяющие центры. Впоследствии срок действия SSL-сертификатов может быть ограничен только одним годом – в данный момент отрасль движется именно к этому.

В настоящее время максимальный период валидности SSL-сертификата составляет 3 года (традиционная математика здесь не работает; под 3 годами подразумевают 39 месяцев). Удостоверяющие центры могут выпускать DV и OV SSL-сертификаты сроком на три года до 1 марта 2018 года. С 1 марта правила меняются: выпуск SSL-сертификатов будет возможен только на 1 или 2 года.

Все это следует общей линии CA/B Forum: специалисты помнят, что с марта 2015 года стал невозможным выпуск сертификатов сроком на 4 и 5 лет.

Почему сертификаты с длительным сроком действия стали нежелательными?

Пользователям, конечно, удобно иметь долгосрочные сертификаты (многие были бы рады приобрести себе SSL-сертификат сразу лет на 10), так как не надо тратить много времени на их переустановку, однако для индустрии они нежелательны. К примеру:

• Они делают невозможным быстрое развертывание современных возможностей/обновлений безопасности. 
  

Любое предложение или изменение, принятое CA/B Forum, сможет полностью вступить в силу лишь после того, как срок действия всех уже существующих сертификатов пройдет, т.е. только через 39 месяцев. 

В будущем отрасль продолжит сокращать срок действия SSL-сертификатов. И хотя эти изменения будут проводиться медленно, все пользователи должны мысленно быть готовы к регулярному обновлению (примерно раз в год) своих сертификатов.