行业方向：逐步缩短 TLS 证书有效期

SSL/TLS 证书的生命周期正在进入一个新阶段。业界各大证书颁发机构（CA）正开始缩短证书有效期，这是向更强安全实践与更频繁密钥轮换的整体转变的一部分。

多家主流证书颁发机构近期发布的公告，标志着这一过渡的开始。第一阶段是将证书有效期缩短至约 200 天，随着行业向更短的生命周期迈进，未来几年预计还会进一步缩短。

本文提供关于 SSL/TLS 证书有效期变更的证书颁发机构公告的官方更新，作为在生态内跟踪各家 CA 具体更新的集中参考。

CA/Browser Forum 已引入一份缩短 TLS 证书生命周期的路线图。其目标在于减少因泄露密钥、过期验证数据或长期未被发现的错误配置所带来的长期暴露风险。

经批准的路线图逐步下调了允许的最长有效期：

这些变化影响用于网站及其他面向互联网服务的公共 SSL/TLS 证书。

虽然政策设定了允许的最长有效期，但各家证书颁发机构会根据自身的发布计划来落实这些变更。

各家证书颁发机构的 TLS 证书有效期变更

以下各节汇总了证书颁发机构已公布的关于 TLS 证书有效期限制的变更。随着更多服务商推出新政策，本节将持续更新。

DigiCert：过渡到 199 天 TLS 证书有效期

DigiCert 已率先落实与新行业时间表相一致的更新之一。

自 2026 年 2 月 24 日起，DigiCert 停止受理有效期超过 199 天的公共 TLS 证书申请。

该限制适用于所有新签发的公共 TLS 证书，包括：

域名验证（DV）类证书

组织验证（OV）类证书

扩展验证（EV）类证书

该日期之后签发的证书不得超过新的最长有效期。需要特别指出的是，证书有效期以签发日期而非购买日期为准。若在截止日期之后才完成验证步骤，证书将自动遵循 199 天的有效期限制。这一变更使 DigiCert 的签发政策与 CA/Browser Forum 缩短证书生命周期的路线图保持一致。

Sectigo/Comodo：落实 199 天 TLS 证书限制

Sectigo/Comodo 也将其 TLS 签发政策与行业缩短证书生命周期的动向对齐。

自 2026 年 3 月 12 日起，新签发的 Sectigo/Comodo 公共 TLS 证书有效期不得超过 199 天。

除更短的证书生命周期外，域名控制验证（DCV）复用将被限制在 198 天，这意味着在证书签发或续订前，域名验证可能需要更频繁地刷新。

该变更适用于所有证书类型，包括 DV、OV 和 EV 证书。与其他证书颁发机构一样，有效期在签发时确定。

这对 SSL 证书订单意味着什么

SSL/TLS 证书现在将以最长 199 天的有效期签发。

对于通过 SSL2BUY 购买 SSL 证书的客户而言，这意味着：

新签发的证书将遵循 199 天的有效期限制

现有证书在其到期日之前仍然有效

续订与替换将在变更生效后遵循新的生命周期

这一变更不影响 SSL 证书保护网站或加密连接的方式，它只影响证书在需要续订之前保持有效的时长。

组织应当预期什么

尽管证书有效期正在变短，但 SSL/TLS 证书保护网站与应用的方式保持不变。

主要的运营变化在于，证书需要更频繁地续订。管理多张证书的组织应确保对证书到期日期与续订计划保持可见，以避免意外的服务中断。

随着证书生命周期持续演进，有效的证书管理对于维持不被中断的 HTTPS 安全将变得愈发重要。

跟进 TLS 证书政策变更

随着证书颁发机构与浏览器厂商不断完善安全标准，TLS 生态持续演进。跟踪主流证书颁发机构的政策变更，有助于组织规划证书续订、调整管理流程，并维持网站安全的连续性。

随着行业内新的 TLS 证书有效期政策陆续公布，本文将持续更新。