证书有效期从398天砍到47天：手动续证的时代正式结束

2025年4月11日，CA/B论坛通过SC-081v3投票，消费者方苹果、谷歌、微软、Mozilla全票赞成，CA方25票赞成、0票反对、5票弃权。这不是一份倡议书，而是靠浏览器根信任强制执行的规则：CA不遵守就失去信任链。

时间表已经过半。2026年3月15日起，新签发证书的上限200天（各家实际按199天执行）；2027年3月15日降到100天；2029年3月15日定格47天。已签发的证书用到自然到期，但续期节奏被彻底改写：过去一张管两年，2029年后一年要重签约8次。Akamai在生命周期白皮书里的判断很直接——从1年期到47天，运维工作量放大9倍，靠表格和日历管证书在数学上已经不可行。

真正麻烦的不是多点几次鼠标，而是人工节奏与缓冲窗口错配。398天时代漏期还有半年补救，47天时代按“剩余三分之一”续期只剩15天缓冲，一次DNS故障撞上长假就足以把网站拖成红页。失效还是无声的：Let’s Encrypt已关闭OCSP、吊销只走CRL，脚本挂了没人敲门。

为什么要这么干？四条理由：压缩私钥泄露与误签发后的可用窗口；少依赖吊销机制；倒逼行业淘汰人工记账；为后量子算法迁移预留高频更换通道。

还有一栏容易漏看：域名控制验证（DCV）数据的复用期同步收紧，2029年只剩10天，等于每次续期都要重新证明域名归你，验证本身也变成周任务。

对策只有三条。先盘点：域名、SAN、部署位置、责任人、到期时间，每张证书归属团队而非个人；再把申请、部署、reload整条链路ACME化，升级到支持ARI（RFC9773）的客户端，让CA反过来告诉你哪天续，并删掉所有硬编码的续期时间戳；最后加一层不依赖续期工具的独立到期监控。绑定叶子证书的移动应用要尽早改用SPKI pinning，否则服务端正常轮换就会把自家App变砖。

47天不是终点线，是一道筛选：自动化的系统照常运行，靠人记日期的系统必然出事。