Kısaca

Let's Encrypt, 10 Şubat 2027 itibarıyla ücretsiz SSL/TLS sertifikalarının süresini 90 günden 64 güne indireceğini açıkladı.

Üç noktada haber

  1. Sertifika geçerlilik süresi 10 Şubat 2027 tarihinde 90 günden 64 güne indirilecek ve 14 Ekim'de isteğe bağlı test süreci başlayacak.

  2. Yetkilendirme yeniden kullanım süresi 30 günden 10 güne, 2028 yılında ise yedi saate düşürülecek.

  3. Kuruluş, 2028 yılında varsayılan sertifika süresini 45 güne indirmeyi planlıyor.

İnternet genelinde yüz milyonlarca web sitesine ücretsiz şifreleme sağlayan Let's Encrypt, güvenlik standartlarını sıkılaştırmak amacıyla ücretsiz SSL/TLS sertifikalarının geçerlilik süresini 90 günden 64 güne düşüreceğini açıkladı. 10 Şubat 2027 tarihinde yürürlüğe girecek olan bu düzenleme, web sunucularında sertifika yönetiminin tamamen otomatik sistemlere devredilmesini hedefliyor. Altyapılarını yeni düzene hazırlamak isteyen yöneticiler için 64 günlük sertifikaların isteğe bağlı deneme süreci ise 14 Ekim tarihinde başlayacak.

Kuruluşun 2016 yılındaki ilk çıkışından önce web sertifikaları genellikle bir ila üç yıl süreyle tanımlanıyordu. Let's Encrypt, o dönemde sektör standartlarını kırarak 90 günlük sınır getirmiş ve bu kısıtlamayla sektörde daha önce bulunmayan yenileme otomasyonunu zorunlu kılmıştı. Geçerlilik sürelerinin kısa tutulması, özel anahtarların çalınması durumunda doğacak güvenlik risklerini ve yetkisiz sertifika tahsislerinin yaratabileceği zararları dar bir zaman aralığına hapsediyor. Yeni 64 günlük eşik bu güvenlik anlayışını sürdürürken, kuruluş 2028 yılında varsayılan süreyi 45 güne kadar indirmeyi planlıyor.

Betik Bağımlılığı ve Otomasyon Zorunluluğu

Bu sürenin kısalması, özellikle modern ACME Renewal Information (ARI) protokolünü kullanan altyapılar için sorunsuz şekilde işleyecek. ARI protokolü, sertifika otoritesinin istemciye sertifikayı tam olarak ne zaman yenilemesi gerektiğini doğrudan bildirmesine olanak tanıyor. Buna karşılık, birçok sunucuda yenileme süreçleri hâlen son kullanma tarihine sabit 60 gün kala tetiklenen özel cron betiklerine dayanıyor. Let's Encrypt, bu tür sabit aralıklı betik kullanan yöneticilerin cron görevlerini ve operasyon rehberlerini sertifika ömrünün üçte ikisinde devreye girecek biçimde revize etmeleri gerektiğini vurguluyor.

Sertifika süresindeki daralmanın yanı sıra doğrulama pencerelerinde de değişikliğe gidiliyor. Yetkilendirme yeniden kullanım süreleri 30 günden 10 güne indirilecek ve 2028 yılına gelindiğinde bu aralık yedi saate kadar çekilecek. Bu düzenleme CAA yeniden kontrollerine duyulan ihtiyacı ortadan kaldırırken, önbelleğe alınmış yetkilendirme verisine bağımlı olmayan standart sunucuların bu adımdan etkilenmeyeceği belirtiliyor. Sistem yöneticilerinin 10 Şubat 2027'deki geçiş öncesinde otomasyonlarını test etmek için yaklaşık dört aylık bir süresi bulunuyor.

Neden önemli?Sürenin kısalması güvenlik açıklarını sınırlar ancak sabit aralıklı betik kullanan web yöneticilerinin kesinti yaşamamak için ACME otomasyonuna geçmesini zorunlu kılar.

Cevabı beklenen sorular

  • Sabit betiklerle çalışan eski web altyapılarının Şubat 2027'ye kadar ARI destekli modern istemcilere ne ölçüde uyum sağlayacağı henüz netlik kazanmadı.
Kaynaklar ve belgeler

Bu haberde kullanılan belgelere aşağıdaki bağlantılardan ulaşabilirsiniz.