تغییر مهم در تمدید SSL، گواهی‌ها به ۴۷ روز می‌رسند!
مدیریت گواهی‌های SSL/TLS در آستانه تحولی مهم قرار دارد. بر اساس مصوبات انجمن CA/Browser Forum، حداکثر مدت اعتبار گواهی‌های عمومی TLS به‌صورت تدریجی کاهش می‌یابد. این تغییر از مارس ۲۰۲۶ آغاز شده و تا مارس ۲۰۲۹، مدت اعتبار گواهی‌ها را به حداکثر ۴۷ روز خواهد رساند.
این تغییر تنها به گواهی‌های رایگان Let’s Encrypt محدود نمی‌شود، بلکه گواهی‌های عمومی صادرشده توسط سایر مراجع صدور گواهی معتبر را هم در بر می‌گیرد. هدف اصلی این سیاست، کاهش مدت اعتبار گواهی‌های صادرشده به‌اشتباه یا گواهی‌هایی است که کلید خصوصی آن‌ها افشا شده است. همچنین، این رویکرد با هدف تسریع حرکت صنعت به سمت مدیریت خودکار چرخه عمر گواهی‌های دیجیتال اجرا می‌شود.
در نتیجه، روش‌هایی که بر تمدید دستی سالانه یا بررسی گواهی فقط هنگام نزدیک‌شدن به تاریخ انقضا متکی هستند، به‌تدریج ریسک بیشتری خواهند داشت. مدیران سرور، شرکت‌های میزبانی وب و صاحبان وب‌سایت‌ها باید پیش از رسیدن به مراحل بعدی این تغییر، سازوکار صدور، تمدید و پایش گواهی‌های خود را بررسی کنند.
منبع اصلی این تغییر، مصوبه رسمی SC-081v3 انجمن CA/Browser Forum است. مستندات رسمی Let’s Encrypt هم برنامه اجرایی این مرجع را تشریح می‌کند.
چه نهادی سیاست جدید SSL را تعیین کرده است؟
CA/Browser Forum یا انجمن مراجع صدور گواهی و مرورگرها، یک انجمن تخصصی بین‌المللی است که مراجع صدور گواهی دیجیتال (CA) و شرکت‌های تولیدکننده مرورگرها و نرم‌افزارهای مرتبط را گرد هم می‌آورد تا استانداردها و دستورالعمل‌هایی برای افزایش امنیت گواهی‌های دیجیتال تدوین کنند.
مصوبه SC-081v3 برنامه کاهش تدریجی، دو موضوع را مشخص کرده است:
- حداکثر مدت اعتبار گواهی‌های عمومی TLS
- مدت زمانی که اطلاعات اعتبارسنجی قبلی دامنه و IP می‌تواند برای صدور گواهی جدید دوباره استفاده شود
بنابراین، این تغییر فقط تصمیم داخلی Let’s Encrypt نیست. مراجع صدور گواهی عمومی باید خود را با الزامات جدید هماهنگ کنند. با این حال، هر مرجع ممکن است محدودیت‌های اجرایی خود را زودتر از موعد رسمی اعمال کند.
نکته مهم: این الزامات درباره گواهی‌های عمومی TLS مورد استفاده برای احراز هویت سرورهای در دسترس از طریق اینترنت هستند. گواهی‌های مورد استفاده در زیرساخت‌های خصوصی و سامانه‌های داخلی که تحت سیاست‌های مستقل PKI مدیریت می‌شوند، مشمول همین محدودیت‌ها نیستند.
جدول زمان‌بندی کاهش اعتبار گواهی‌های SSL/TLS
بر اساس برنامه مصوب، حداکثر مدت اعتبار گواهی‌های عمومی TLS در سه مرحله کاهش می‌یابد.
| تاریخ اجرا | حداکثر اعتبار گواهی | وضعیت |
|---|---|---|
| پیش از ۱۵ مارس ۲۰۲۶ | ۳۹۸ روز | مرحله قبلی |
| از ۱۵ مارس ۲۰۲۶ | ۲۰۰ روز | اجراشده |
| از ۱۵ مارس ۲۰۲۷ | ۱۰۰ روز | مرحله بعدی |
| از ۱۵ مارس ۲۰۲۹ | ۴۷ روز | مرحله نهایی برنامه |
این جدول سقف مجاز اعتبار گواهی‌های عمومی را نشان می‌دهد، نه اینکه تمام گواهی‌ها حتما باید به همین اندازه اعتبار داشته باشند. یک مرجع صدور می‌تواند گواهی‌هایی با اعتبار کمتر صادر کند.
امروزه، محدودیت عمومی ۲۰۰ روز اعمال شده است. مرحله بعدی در مارس ۲۰۲۷ به ۱۰۰ روز کاهش می‌یابد و سقف ۴۷ روز برای مارس ۲۰۲۹ برنامه‌ریزی شده است.
همچنین ممکن است برخی ارائه‌دهندگان پیش از تاریخ‌های فوق، محدودیت‌های داخلی خود را اعمال کنند. بنابراین، برای برنامه‌ریزی عملیاتی باید علاوه بر مصوبه عمومی، اطلاعیه‌های مرجع صادرکننده گواهی نیز بررسی شود.
تغییرات Let’s Encrypt دقیقا چیست؟
Let’s Encrypt از زمان آغاز فعالیت خود در سال ۲۰۱۵، گواهی‌های رایگان با اعتبار ۹۰ روزه صادر کرده است. بااین‌حال، این مرجع هم مطابق روند جدید، برنامه‌ای مرحله‌ای برای کاهش اعتبار گواهی‌ها اعلام کرده است.
بر اساس برنامه رسمی منتشرشده توسط Let’s Encrypt، تغییرات پروفایل پیشفرض و پروفایل‌های اختیاری به این ترتیب است:
| تاریخ اجرا | پروفایل یا نوع صدور | مدت اعتبار |
|---|---|---|
| ۱۳ می ۲۰۲۶ | پروفایل اختیاری tlsserver | ۴۵ روز |
| ۱۰ فوریه ۲۰۲۷ | پروفایل پیشفرض classic | ۶۴ روز |
| ۱۶ فوریه ۲۰۲۸ | پروفایل پیشفرض classic | ۴۵ روز |
این تاریخ‌ها مربوط به تغییر مدت اعتبار گواهی‌های جدید در پروفایل‌های مشخص‌شده هستند، بنابراین گواهی موجود به طور قطع در روز اجرای سیاست فورا باطل نمی‌شود و مدت اعتبار آن طبق شرایط صدور خودش باقی می‌ماند.
در نتیجه، دو نکته باید از هم تفکیک شوند:
- سقف مجاز: برای گواهی‌های عمومی TLS در مارس ۲۰۲۶ به ۲۰۰ روز رسیده و در مراحل بعدی کاهش می‌یابد.
- سیاست اجرایی Let’s Encrypt: این مرجع می‌تواند گواهی‌های کوتاه‌مدت‌تری مانند ۶۴ یا ۴۵ روز صادر کند، حتی پیش از رسیدن صنعت به سقف ۴۷ روز.
Let’s Encrypt همچنین از پروفایل کوتاه‌مدت شش‌روزه پشتیبانی می‌کند. این پروفایل اختیاری است و نباید آن را با مدت اعتبار پیشفرض گواهی‌ها اشتباه گرفت.
آیا فاصله تمدید SSL هم کاهش پیدا می‌کند؟
بله، اما باید میان مدت اعتبار گواهی و زمان انجام تمدید تفاوت قائل شد.
مدت اعتبار، بازه‌ای است که گواهی صادرشده معتبر محسوب می‌شود. فاصله تمدید، زمان‌بندی عملیاتی نرم‌افزار مدیریت گواهی برای دریافت گواهی جایگزین پیش از انقضای گواهی فعلی است.
برای مثال، اگر گواهی ۹۰ روز اعتبار داشته باشد، حتما لازم نیست به طور دقیق هر ۹۰ روز یک بار تمدید شود، کلاینت ACME می‌تواند طبق سیاست خود، چندین روز پیش از انقضا فرایند تمدید را اجرا کند.
با کوتاه‌تر شدن مدت اعتبار، تعداد دفعات صدور مجدد در طول سال افزایش می‌یابد. به همین دلیل، تمدید خودکار، پایش انقضا و رسیدگی سریع به خطاهای صدور اهمیت بیشتری پیدا می‌کنند.
در مستندات رسمی Let’s Encrypt، به استفاده از ACME Renewal Information یا ARI اشاره شده است. کلاینت‌های سازگار با ARI می‌توانند زمان‌بندی تمدید را بر اساس اطلاعات ارائه‌شده توسط مرجع صدور مدیریت کنند.
اعتبارسنجی دامنه هم تغییر می‌کند
یکی از نکات مهم در مصوبه جدید، کاهش مدت استفاده مجدد از اطلاعات اعتبارسنجی دامنه و IP است.
در فرایند صدور گواهی، مرجع صدور باید مطمئن شود که متقاضی کنترل دامنه موردنظر را در اختیار دارد. برای این کار ممکن است از روش‌هایی مانند HTTP-01، DNS-01 یا TLS-ALPN-01 استفاده شود.
در سیاست جدید، مدت مجاز استفاده مجدد از اعتبارسنجی دامنه به‌تدریج کاهش می‌یابد:
| تاریخ اجرا | حداکثر مدت استفاده مجدد از اعتبارسنجی دامنه و IP |
|---|---|
| پیش از ۱۵ مارس ۲۰۲۶ | ۳۹۸ روز |
| از ۱۵ مارس ۲۰۲۶ | ۲۰۰ روز |
| از ۱۵ مارس ۲۰۲۷ | ۱۰۰ روز |
| از ۱۵ مارس ۲۰۲۹ | ۱۰ روز |
این تغییر به معنای آن نیست که مدیر وب‌سایت باید در هر تمدید به‌صورت دستی مالکیت دامنه را تایید کند. اگر فرایند ACME به‌درستی پیکربندی شده باشد، اعتبارسنجی موردنیاز می‌تواند خودکار انجام شود.
بااین‌حال، سامانه‌هایی که برای تغییر رکوردهای DNS، دسترسی به وب‌سرور یا پاسخ‌گویی به چالش اعتبارسنجی به مداخله دستی نیاز دارند، ممکن است در آینده با پیچیدگی بیشتری روبه‌رو شوند.
چرا صنعت به سمت گواهی‌های کوتاه‌مدت حرکت می‌کند؟
کاهش مدت اعتبار گواهی‌ها چند هدف امنیتی و عملیاتی دارد.
کاهش پنجره ریسک در صورت افشای کلید خصوصی
اگر کلید خصوصی یک گواهی افشا شود یا گواهی به‌اشتباه صادر شده باشد، کوتاه‌تر بودن مدت اعتبار می‌تواند بازه اعتبار آن را محدود کند. البته این موضوع جایگزین ابطال گواهی یا واکنش فوری به رخداد امنیتی نیست.
کاهش وابستگی به فرایندهای قدیمی
وقتی گواهی‌ها اعتبار طولانی دارند، ممکن است مدیران سرور به تمدید دستی یا بررسی‌های دوره‌ای با فاصله زیاد تکیه کنند. گواهی‌های کوتاه‌مدت، اتکا به فرایندهای قابل‌تکرار و خودکار را ضروری‌تر می‌کنند.
بهبود مدیریت چرخه عمر گواهی‌ها
تمدید خودکار و پایش مداوم باعث می‌شود صدور مجدد گواهی به یک عملیات روزمره و قابل‌اندازه‌گیری تبدیل شود، نه کاری که فقط در زمان بروز هشدار انقضا به آن توجه شود.
البته کوتاه‌شدن اعتبار به‌تنهایی امنیت کامل ایجاد نمی‌کند. حفاظت از کلید خصوصی، پیکربندی صحیح TLS، کنترل دسترسی و رسیدگی به رخدادهای امنیتی همچنان ضروری هستند.
مدیران سرور و شرکت‌های هاستینگ چه اقداماتی باید انجام دهند؟
برای سازگاری با این تغییرات، بهتر است مدیریت گواهی‌ها به‌صورت یک فرایند عملیاتی مشخص تعریف شود.
وضعیت تمدید خودکار را بررسی کنید
در سرورهای لینوکس، ابتدا مشخص کنید گواهی‌ها با چه ابزاری مدیریت می‌شوند، برای مثال، کلاینت ACME، Certbot، ابزار داخلی کنترل‌پنل یا اسکریپت اختصاصی.
صرف وجود گواهی معتبر کافی نیست. باید مشخص باشد که فرایند تمدید واقعا اجرا می‌شود و گواهی جدید پس از صدور در سرویس مربوطه قابل استفاده است.
برای خطاهای تمدید هشدار تعریف کنید
سیستم پایش باید دست‌کم موارد زیر را پوشش دهد:
- نزدیک‌شدن تاریخ انقضای گواهی
- شکست فرایند تمدید یا اعتبارسنجی دامنه
- نصب‌نشدن گواهی جدید روی وب‌سرور
- بارگذاری‌نشدن مجدد تنظیمات سرویس پس از تمدید
- نامعتبر بودن زنجیره گواهی یا ناسازگاری گواهی با نام دامنه
دسترسی DNS و وب‌سرور را بررسی کنید
اگر از اعتبارسنجی DNS-01 استفاده می‌کنید، اطمینان حاصل کنید که کلاینت تمدید امکان به‌روزرسانی رکوردهای موردنیاز را دارد. در روش HTTP-01 مسیر پاسخ‌گویی به چالش نباید توسط ریدایرکت، فایروال، احراز هویت یا تنظیمات اشتباه مسدود شده باشد.
چند دامنه و چند سرور را یکجا مدیریت کنید
در محیط‌های میزبانی وب، وجود ده‌ها یا صدها دامنه باعث می‌شود تمدید گواهی‌ها به یک موضوع مهم عملیاتی تبدیل شود. فهرست متمرکز گواهی‌ها، ثبت خطاها، هشدارهای انقضا و بررسی دوره‌ای وضعیت تمدید می‌توانند ریسک خطا را کاهش دهند.
نسخه ابزارهای مدیریت گواهی را بررسی کنید
اگر از Certbot یا کلاینت ACME دیگری استفاده می‌کنید، مستندات نسخه نصب‌شده را بررسی کنید تا از سازگاری آن با روش صدور، پروفایل گواهی و قابلیت‌های موردنیاز مطمئن شوید.
برای اطلاعات رسمی درباره پروتکل و ابزارهای ACME می‌توانید به مستندات Let’s Encrypt مراجعه کنید.
وضعیت کاربران DirectAdmin، cPanel و OpenLiteSpeed
برای کاربران کنترل‌پنل‌ها، تغییر سیاست اعتبار گواهی به این معنا نیست که باید فورا همه گواهی‌ها را به‌صورت دستی جایگزین کنند. اقدام درست، بررسی قابلیت تمدید خودکار و اطمینان از عملکرد کامل آن در شرایط جدید است.
در سرورهای DirectAdmin و cPanel، مدیر سرور باید مشخص کند گواهی هر دامنه توسط کدام سرویس صادر می‌شود، فرایند تمدید چگونه اجرا می‌شود و خطاهای آن از کجا قابل مشاهده است.
در سرورهای مبتنی بر OpenLiteSpeed یا LiteSpeed هم باید بررسی شود که پس از صدور گواهی جدید، فایل‌های گواهی و کلید در مسیر صحیح قرار می‌گیرند و سرویس از گواهی جدید استفاده می‌کند.
در محیط‌های پرتراکم میزبانی، بهتر است پایش گواهی‌ها مستقل از موفقیت ظاهری اجرای یک اسکریپت انجام شود. ممکن است صدور گواهی موفق باشد، اما نصب آن یا بارگذاری مجدد سرویس با خطا مواجه شود.
پیش از تغییر تنظیمات صدور یا تمدید، مستندات نسخه کنترل‌پنل و روش فعلی مدیریت گواهی را بررسی کنید. دست‌کاری دستی فایل‌های گواهی یا تنظیمات تولیدشده توسط کنترل‌پنل، بدون شناخت سازوکار آن، ممکن است تمدیدهای بعدی را مختل کند.
آیا باید از همین حالا تمدید SSL را خودکار کنیم؟
اگر گواهی یک وب‌سایت عمومی را مدیریت می‌کنید و تمدید آن هنوز به حضور دستی مدیر وابسته است، بله، بهتر است از همین حالا برای خودکارسازی اقدام کنید.
گواهی‌های ۴۵ یا ۴۷ روزه قرار نیست الزاما هر چند روز یک‌بار توجه مدیر را به خود جلب کنند. هدف این است که صدور و تمدید، در حالت عادی بدون مداخله انسانی انجام شود و مدیر فقط هنگام بروز خطا هشدار دریافت کند.
با این رویکرد، کوتاه‌تر شدن مدت اعتبار گواهی به معنای افزایش متناسب بار کاری روزانه نیست. بخش مهمی از کار با اتوماسیون قابل مدیریت است، هرچند تعداد عملیات صدور، بررسی و پایش در زیرساخت افزایش پیدا می‌کند.
برای انتخاب راهکار مناسب، ابتدا ابزار فعلی صدور گواهی، تعداد دامنه‌ها، نوع اعتبارسنجی و قابلیت‌های کنترل‌پنل خود را بررسی کنید.
جمع‌بندی
تغییر سیاست‌های جهانی SSL/TLS یک حرکت تدریجی به سمت گواهی‌های کوتاه‌مدت‌تر و مدیریت خودکار چرخه عمر گواهی‌هاست. بر اساس برنامه CA/Browser Forum، سقف اعتبار گواهی‌های عمومی از مارس ۲۰۲۶ به ۲۰۰ روز کاهش یافته، در مارس ۲۰۲۷ به ۱۰۰ روز خواهد رسید و برای مارس ۲۰۲۹ سقف ۴۷ روز تعیین شده است.
Let’s Encrypt هم برنامه جداگانه‌ای برای کاهش مدت اعتبار گواهی‌های خود از ۹۰ روز به ۶۴ و سپس ۴۵ روز اعلام کرده است. بنابراین، مدیران سرور و وب‌سایت‌ها باید تفاوت میان محدودیت عمومی صنعت و برنامه اجرایی هر مرجع صدور را در نظر بگیرند.
مهمترین اقدام برای امروز، بررسی تمدید خودکار، پایش انقضا، دسترسی به روش اعتبارسنجی دامنه و اطمینان از نصب صحیح گواهی جدید است. آماده‌سازی زودهنگام باعث می‌شود تغییرات بعدی با کمترین اختلال در دسترس‌پذیری وب‌سایت‌ها اجرا شوند.