Let's Encrypt rút ngắn thời hạn chứng chỉ mặc định xuống 64 ngày, tiến tới mốc 45 ngày

Minh họa bảo mật chứng chỉ SSL/TLS trên internet

Let's Encrypt — tổ chức phát hành chứng chỉ số phi lợi nhuận lớn nhất thế giới — vừa công bố bước đi đầu tiên trong lộ trình rút ngắn đáng kể thời hạn hiệu lực của chứng chỉ SSL/TLS mà họ cấp phát.

Cụ thể, kể từ ngày 10/02/2027, tất cả chứng chỉ mới do Let's Encrypt phát hành sẽ có thời hạn mặc định là 64 ngày, thay vì 90 ngày như hiện nay. Đây là bước chuẩn bị cho kế hoạch rút ngắn tiếp xuống chỉ còn 45 ngày vào năm 2028.

Vì sao thời hạn chứng chỉ ngày càng ngắn?

Theo CA/Browser Forum Baseline Requirements — bộ tiêu chuẩn mà các tổ chức phát hành chứng chỉ (CA) phải tuân thủ — việc rút ngắn thời hạn hiệu lực của chứng chỉ mang lại nhiều lợi ích bảo mật rõ rệt:

• Thu hồi chứng chỉ hiệu quả hơn: Khi chứng chỉ bị lộ khóa riêng tư, kẻ tấn công chỉ có cửa sổ khai thác ngắn hơn.
• Giới hạn phạm vi thiệt hại: Nếu một chứng chỉ bị xâm phạm, tác động bị khoanh vùng trong khoảng thời gian ngắn.
• Khuyến khích tự động hóa: Các đơn vị buộc phải chuyển sang quy trình gia hạn tự động thay vì thủ công.

Tất cả các tổ chức phát hành chứng chỉ được tin cậy công khai đều sẽ thực hiện thay đổi tương tự.

Let's Encrypt cho biết trong một bài blog tháng 12/2025 rằng họ đã công bố lộ trình chuyển đổi sang chứng chỉ 45 ngày, phù hợp với xu hướng chung của toàn ngành.

Mốc thời gian cụ thể

Let's Encrypt đã đưa ra lịch trình chi tiết cho quá trình chuyển đổi:

• Tuần này: Bắt đầu phát hành chứng chỉ 64 ngày trong môi trường staging để kiểm thử.
• 10/02/2027: Toàn bộ chứng chỉ mới hoặc gia hạn sẽ có thời hạn 64 ngày.
• 11/05/2027: Chứng chỉ 90 ngày cuối cùng dự kiến hết hạn.
• 2028: Chuyển sang chứng chỉ 45 ngày.

Bên cạnh đó, Let's Encrypt cũng sẽ giảm thời gian tái sử dụng ủy quyền (authorization reuse) xuống còn 10 ngày trong năm tới, và tiếp tục rút xuống 7 giờ vào năm 2028.

Tổ chức này giải thích rằng thay đổi trên nhằm tuân thủ quy định giảm thời gian tái sử dụng xác thực tối đa vào năm 2029, đồng thời loại bỏ nhu cầu "CAA rechecking" — quy trình phải lặp lại một phần bước xác thực nếu dữ liệu xác thực cũ hơn 7 giờ.

Khuyến nghị dành cho quản trị viên hệ thống

Đối với các quản trị viên và doanh nghiệp đang vận hành website, Let's Encrypt đưa ra một số khuyến nghị quan trọng:

Nếu quy trình gia hạn đã được tự động hóa và ứng dụng khách (client) của bạn hỗ trợ ACME Renewal Info (ARI), bạn có thể yên tâm vì ARI cho phép Let's Encrypt thông báo cho client biết thời điểm cần gia hạn. Bạn nên kiểm tra tài liệu của ACME client để xác nhận ARI đã được triển khai.

Nếu thời điểm gia hạn được đặt cố định theo một mốc tính từ ngày hết hạn, Let's Encrypt khuyến nghị điều chỉnh về khoảng hai phần ba thời hạn của chứng chỉ.

Biểu tượng bảo mật của SecurityWeek

Đối với độc giả Việt Nam — đặc biệt là các nhà phát triển web, kỹ sư DevOps và quản trị viên hệ thống đang vận hành hàng nghìn website sử dụng Let's Encrypt miễn phí — đây là thời điểm thích hợp để rà soát lại toàn bộ pipeline cấp phát và gia hạn chứng chỉ. Việc chuyển từ 90 ngày xuống 64 ngày rồi 45 ngày đồng nghĩa tần suất gia hạn tăng gần gấp đôi, và bất kỳ lỗi tự động hóa nào cũng có thể dẫn tới website mất kết nối HTTPS chỉ trong vài tuần.

Let's Encrypt lưu ý rằng thay đổi này không ảnh hưởng đến các endpoint ACME, chuỗi phát hành (issuance chains) hay giới hạn tần suất (rate limits) hiện tại.

Xu hướng tất yếu của toàn ngành

Việc Let's Encrypt tiên phong rút ngắn thời hạn chứng chỉ phản ánh xu hướng chung trong ngành bảo mật: không tin tưởng lâu dài, xác thực liên tục. Các nhà cung cấp CA thương mại như DigiCert, Sectigo hay GlobalSign cũng sẽ buộc phải tuân theo các tiêu chuẩn mới của CA/Browser Forum.

Đối với các tổ chức tại Việt Nam — nơi nhiều hệ thống vẫn còn thói quen gia hạn chứng chỉ thủ công theo chu kỳ một năm — đây là hồi chuông cảnh báo. Đầu tư vào tự động hóa hạ tầng, sử dụng các công cụ như Certbot, acme.sh hoặc tích hợp trực tiếp với Kubernetes cert-manager sẽ không còn là tùy chọn, mà trở thành yêu cầu bắt buộc để duy trì hoạt động an toàn và liên tục.

Logo SecurityWeek