senn-techLet's Encrypt: 64-Tage-Zertifikate ab 10. Februar 2027
Let's Encrypt hat am 7. Oktober 2026 den nächsten Schritt zu kürzeren Zertifikatslaufzeiten angekündigt. Am 10. Februar 2027 stellen alle Abonnenten standardmäßig auf Zertifikate mit 64 Tagen Laufzeit um, außer sie wählen eine noch kürzere von 45 oder 6 Tagen. Jedes Zertifikat, das ab diesem Datum ausgestellt oder erneuert wird, gilt 64 Tage. Das letzte 90-Tage-Zertifikat läuft nach Erwartung von Let's Encrypt am 11. Mai 2027 ab. Widerrufen wird nichts.
Die Termine
Die Laufzeit sinkt in Stufen, soweit angekündigt so:
Was in Skripten und Runbooks auffällt
Wer ACME-Renewal automatisiert hat und einen Client mit ACME Renewal Info (ARI) einsetzt, hat laut Let's Encrypt nichts zu tun. ARI lässt die CA dem Client mitteilen, wann erneuert werden soll. Ob der eigene Client ARI kann, steht in dessen Dokumentation.
Anders sieht es bei Erneuerungen aus, die auf einen festen Zeitpunkt gelegt sind. Empfohlen wird von Let's Encrypt die Umstellung auf rund zwei Drittel der Laufzeit. Bei 64 Tagen sind das etwa 43 Tage nach Ausstellung, also rund 21 Tage Restlaufzeit. Als Suchhilfe nennt der Beitrag die Zahlen 83, 80 und 60, nach denen man in Cronjobs, Wrapper-Skripten und Runbooks greppen soll. Wir lesen sie als Tage seit der Ausstellung, passend zu 90-Tage-Zertifikaten: 83 und 80 sind bei 64 Tagen Laufzeit schon abgelaufen, 60 lässt vier Tage Reserve. Die Beitragstexte sagen das nicht ausdrücklich.
Monitoring-Schwellen
Der Newsletter Alles nur geCloud ergänzt, was die Ankündigung nicht erwähnt: Ein klassischer Warnschwellenwert bei 30 Tagen Restlaufzeit schlägt bei 64-Tage-Zertifikaten in jedem Zyklus an, noch bevor die Erneuerung bei rund 21 Tagen Restlaufzeit greift. Bei 45 Tagen wird er laut dem Newsletter zum Dauerzustand. Ein Check, der dauernd warnt, wird irgendwann ignoriert, und dann fällt auch die echte Störung nicht mehr auf. Die Schwelle gehört also auf einen Wert unterhalb des Erneuerungszeitpunkts, etwa auf 14 Tage, oder auf den Fehler der Erneuerung selbst.
Alarme bei fehlgeschlagenen Erneuerungen und automatisiertes Reload und Deployment der Zertifikate rät Let's Encrypt ebenfalls. Erinnerungsmails zum Ablauf gibt es laut dem Newsletter seit 2025 nicht mehr, ein Alarm muss also aus der eigenen Überwachung kommen.
Validierung und Rate Limits
Die Wiederverwendung von Autorisierungen sinkt von 30 auf 10 Tage, 2028 auf sieben Stunden. Hintergrund ist nach Angabe von Let's Encrypt eine für 2029 beschlossene Verkürzung der maximalen Wiederverwendungszeit; zugleich entfällt das „CAA-Rechecking", bei dem die CA Teile der Validierung wiederholen musste, wenn die Daten älter als sieben Stunden waren. Betroffen sind nur Clients, die gezielt auf wiederverwendete Validierungen setzen. Rate Limits und ACME-Endpunkte bleiben unverändert, die Zertifikatsketten ebenfalls.
Unsere Edge-Server
Die Caddy-Edges der Firmengruppe holen Zertifikate per ACME. Bei dem aktiv/aktiv betriebenen Paar ohne gemeinsamen Speicher gilt ein Muster, das bei der Umstellung relevant sein kann: Ein neues Zertifikat wird nicht ausgestellt, solange beide Server laufen, es wird auf einem der beiden ausgestellt und auf den anderen kopiert. Ob die kürzere Laufzeit dieses Verfahren belastet, haben wir noch nicht geprüft. Der Staging-Test ab 14. Oktober ist der Ort dafür.
Als Aufgabe für alle, im Staging vor dem 10. Februar 2027: Skripte nach festen Tageswerten durchsuchen, Monitoring-Schwellen neu setzen und den ACME-Client auf ARI-Unterstützung prüfen.
Weiterführende Quellen
- 64-Day Certificate Lifetimes Coming Feb 2027 (Let's Encrypt, 7. Oktober 2026): Primärquelle mit Terminen, ARI und Validierungsregeln
- Let's Encrypt: 64 Tage ab Februar 2027 (Alles nur geCloud, Ausgabe 253): Einordnung, Monitoring-Schwellen, Ablauf-Mails
- Simple Icons: letsencrypt.svg: Logo, CC0
Ab wann stellt Let's Encrypt 64-Tage-Zertifikate aus?+
Ab dem 10. Februar 2027 gilt die Laufzeit von 64 Tagen für jedes ausgestellte oder erneuerte Zertifikat, sofern nicht eine kürzere Laufzeit gewählt wurde (45 oder 6 Tage). Im Staging-System gilt sie schon ab dem 14. Oktober 2026. Laut Let's Encrypt läuft das letzte Zertifikat mit 90 Tagen voraussichtlich am 11. Mai 2027 ab. Gültige Zertifikate werden nicht widerrufen.
Muss ich meinen ACME-Client ändern?+
Bei automatisierten Erneuerungen mit einem Client, der ACME Renewal Info (ARI) unterstützt, laut Let's Encrypt nicht. ARI erlaubt der CA, dem Client den Erneuerungszeitpunkt zu nennen. Wer die Erneuerung auf feste Tage vor dem Ablauf gelegt hat, sollte sie auf etwa zwei Drittel der Laufzeit umstellen.
Was ändert sich bei der Wiederverwendung von Validierungen?+
Die Wiederverwendung von Autorisierungen senkt Let's Encrypt von 30 auf 10 Tage und 2028 auf sieben Stunden. Betroffen sind nur ACME-Clients, die gezielt auf wiederverwendete Validierungen bauen. Alle anderen müssen laut Let's Encrypt nichts ändern.