47 天证书倒计时：有效期新规把证书运维从"年度"逼成"月度"

新规时间表：从 398 天到 47 天

SSL/TLS 证书有效期的压缩是全球 CA/B 论坛的一致路线：2020 年压到 398 天，2026 年 3 月 15 日起降到 200 天，2027 年 3 月 15 日起 100 天，2029 年最终定为 47 天。组织验证的免验证期维持 398 天不变，但"证书本体"的更换频率翻了近八倍，行业测算企业证书管理工作量将激增 600% 以上。

为什么要砍这么狠

有效期越长，一张失窃证书能被冒用的窗口就越长，吊销机制的"余震期"也越长。叠加 AI 伪造与"先存档密文、待量子计算成熟再解密"的远期威胁，缩短生命周期是目前成本最低的全网性止损手段。

站长们的三种结局

• 继续用 Excel 台账：提醒邮件一来一回就是几天，第一次漏更就是一次线上白屏事故；
• 手动半自动：脚本一年跑两次，跑挂的那次没人知道，直到浏览器报出证书过期错误；
• 全自动 ACME：申请、签发、部署、续期、异常告警闭环，人只在失败时被叫醒。

悠梦庭高防CDN 的口径

平台证书体系延续自动签发、到期前 30 天自动续期、换证不断流的设计（原理见 HTTPS 免费证书：自动签发、到期前自动续），并额外盯两条容易翻车的暗线：其一，续期验证必须走完整链路——签发成功不等于边缘节点已拿到新证书，也不等于各地对验证路径的可达性，海外与备用线路要分别抽查；其二，失败路径必须留告警与兜底自签证书，续期失败绝不能演变成全站访问中断。

有效期压缩带来的连锁反应

首先是续期窗口从"提前三十天"变成"提前七天"，ACME 客户端的重试策略若没跟着调，CA 站点一次短暂故障就可能撞破到期线；其次是监控语义变了——"证书剩余天数"必须和可用性、带宽并列为一级指标，告警要能找到人；最后是多云多 CDN 并存时，证书分发链路成倍复制，任何一处漏部署都会在某个地域弹出浏览器红屏。自动化的一次性投入，摊到每张证书上几乎是零；手工台账的成本，则会在 47 天一张的新节奏里按月支付。

一句结论

47 天不是终点而是新节奏。把证书当"月抛产品"运营的团队，会在下一轮新规里零成本；把证书当"年度大扫除"的，现在就该动手了。
更多实操文章请见 资讯中心 与 源站挂了怎么办。