關於 X.509 PKI 憑證的使用，業界出現了兩項重大變化。首先是 Digicert 宣布其 TLS 憑證將改為 47 天的有效期限；另一則是 Let’s Encrypt 推出效期僅 6 天的超短期憑證，這比 47 天還要短很多。
這是怎麼回事？
簡單來說，這反映出大家對「憑證效期與風險」的看法已經改變。
從「越久越好」到「越短越安全」
在過去，申請憑證是一項繁瑣且昂貴的流程。需要填寫正式文件、提供公司註冊資料或公證資訊，費用高達數百美元，有效期通常是一年，甚至可以預付延長到三年、五年。當時手動安裝憑證也相當複雜，因此大家都希望「一次搞定，長期使用」。
但現在情況大不同。取得憑證已經可以全程自動化進行，只需證明你擁有某個網域即可。例如，在網站目錄中放置隨機字串，或在 DNS 中加入一段指定的 TXT 記錄（稱為「nonce」，意指一次性使用的值），即可完成驗證。
這種模式假設你的網域在註冊時已經過一定的驗證程序，這取代了過去繁複的人工審核。現在，自動化工具如 Let’s Encrypt 提供的 certbot，可以讓你完全免手動、定期更新憑證，大幅減少人為錯誤與管理成本。
信任與風險的再評估
那為什麼還要縮短憑證有效期呢？答案是「信任機制的安全性」。
用戶信任憑證，是為了兩件事：
身份確認：憑證的「主體名稱」（Subject Name）要與實際網域吻合。現在，這種「網域擁有權」的驗證已被視為足夠，而不再強調過去那種企業實體身份（如你是 IBM 公司）的驗證方式。
降低風險損害範圍：一旦憑證被盜用或洩漏，效期越長，風險越大。也就是說，有效期其實等於憑證信任的上限。
雖然憑證設計上會有撤銷機制，例如 CRL（憑證撤銷清單）或 OCSP（線上狀態查詢協定），但實際上很多瀏覽器與客戶端未必會正確查詢這些資訊，或者 OCSP 服務本身也不穩定。因此，憑證效期就成了實際的風險邊界。
短效期的憑證，即使被駭客取得，最多也只能使用幾天，風險大幅降低。這也解釋了為何 Let’s Encrypt 會進一步推行六日效期。
未來方向：自動化與更短標準
雖然有人認為即使是 6 天也太長，但目前業界的共識是在逐步往更短效期邁進。例如 CA/Browser Forum 的一項投票決議，讓憑證最大有效期縮短為 90 天，而 Digicert 更進一步採用 47 天。Let’s Encrypt 則已率先實施六天期，預示著未來的標準可能會持續縮短。
對企業與開發者來說，這是一個警訊也是機會：是時候全面自動化你的憑證管理流程，避免手動操作造成安全漏洞，並善用工具讓更新憑證變得無感又安全。
總結
在 PKI 和 RPKI 的世界裡，「數位憑證有效期越短越安全」已成為新的共識。即便這聽起來違反直覺，但隨著自動化工具成熟、驗證機制更簡化，採用短效期已成為合理且安全的設計方向。區域網路註冊機構（RIRs）也面臨壓力，朝更短效期的資源憑證邁進。
數位基礎建設若要更安全、更可靠，縮短憑證壽命將是不可逆的趨勢。與其抗拒，不如擁抱變革，把短期憑證當作提升資安的最佳夥伴。
本文為作者個人想法，不代表TWNIC之立場，若對此內容有興趣，請參閱原文：
https://blog.apnic.net/2025/05/08/certificate-lifetimes-are-getting-shorter-and-thats-a-good-thing/