Quando si parla della certificate authority Let’s Encrypt, è bene sempre ricordarlo, ci sono alcuni numeri che la riguardano e che non possono essere ignorati. Il primo numero è una percentuale: 54,5%, equivalente alla quota di mercato dei certificati web. Il secondo è 760 milioni, ossia il numero di siti che usano un certificato Let’s Encrypt. Il terzo è 10 milioni, il numero sin qui più basso, ma che equivale al numero di certificati che quotidianamente vengono rilasciati da Let’s Encrypt.
Insomma, per chi non l’avesse capito, stiamo parlando, per distacco, della prima certificate authority mondiale, ed è chiaro come il sole come qualsiasi decisione presa all’interno di Let’s Encrypt abbia un impatto determinante sull’intero ecosistema internet mondiale.
Bene, fatta questa debita (e impressionante) premessa, ci sono delle novità che da qualche tempo Let’s Encrypt ha annunciato e che vale la pena di raggruppare, vista la loro imminente applicazione, fermo restando come l’articolo di riferimento sia quello apparso sul sito ufficiale dell’organizzazione.
La novità più importante riguarda la durata dei certificati TLS. Dal 10 febbraio 2027 (e in realtà nell’ambiente di staging è già così), questa verrà ridotta da 90 a 64 giorni, mentre dal 16 febbraio 2028 si passerà a soli 45 giorni. Questo ovviamente non significa che i certificati già emessi perderanno validità: continueranno a funzionare fino alla loro scadenza naturale.
La modifica interesserà i nuovi certificati e quelli rinnovati dopo l’entrata in vigore delle nuove regole. L’obiettivo è ridurre il periodo di esposizione in caso di compromissione delle chiavi private e adeguarsi ai nuovi requisiti di sicurezza del settore.
Ma le novità non riguardano soltanto la durata dei certificati. Anche il periodo durante il quale è possibile riutilizzare una validazione del dominio verrà progressivamente ridotto. Il calendario prevede che dal 10 febbraio 2027 si passerà da 30 a 10 giorni, mentre dal 16 febbraio 2028 si andrà da 10 a sole sette ore.
In questo modo, le verifiche del controllo del dominio saranno più recenti al momento dell’emissione del certificato.
In tutto questo, si capisce come affidarsi a rinnovi manuali diventerà sempre più rischioso. Let’s Encrypt raccomanda quindi di verificare il corretto funzionamento dell’automazione e il supporto ad ACME Renewal Information (ARI), il sistema che aiuta i client a individuare il momento opportuno per rinnovare i certificati.
Chi utilizza script personalizzati dovrebbe controllare eventuali intervalli di rinnovo impostati rigidamente e aggiornarli in base alle nuove durate. È inoltre consigliabile attivare notifiche in caso di errori, per evitare che un rinnovo fallito provochi l’interruzione del servizio HTTPS.
Riassumendo quindi, ecco le date principali da tenere a mente:
- 14 ottobre 2026: sono stati avviati i test dei certificati da 64 giorni nell’ambiente staging.
- 10 febbraio 2027: la validità dei certificati passa a 64 giorni e le validazioni saranno riutilizzabili per 10 giorni.
- 11 maggio 2027: sarà la scadenza prevista dell’ultimo certificato emesso con validità di 90 giorni.
- 16 febbraio 2028: la validità dei certificati verrà portata a 45 giorni e le validazioni riutilizzabili per sette ore.
In conclusione, alla luce di queste nuove politiche, pensare, oggi, di gestire siti web e server con i certificati Let’s Encrypt senza un’automazione è decisamente un azzardo. D’altra parte, il cambiamento non dovrebbe rappresentare un problema se il rinnovo dei certificati è già automatizzato correttamente, al massimo ci sarà da rivedere la schedulazione degli script.
Insomma, non aspettate il 2027 per controllare i vostri sistemi!
Uomo avvisato, mezzo salvato 🙂
Da sempre appassionato del mondo open-source e di Linux nel 2009 ho fondato il portale Mia Mamma Usa Linux! per condividere articoli, notizie ed in generale tutto quello che riguarda il mondo del pinguino, con particolare attenzione alle tematiche di interoperabilità, HA e cloud.
E, sì, mia mamma usa Linux dal 2009.
