CA/Browser Forum senkt die Zertifikatslaufzeit auf 47 Tage
Am 11. April 2025 beschloss das CA/Browser Forum, die zulässige Laufzeit öffentlicher TLS-Zertifikate bis März 2029 stufenweise von 398 auf 47 Tage zu senken. Keine Zertifizierungsstelle stimmte dagegen — sechs Jahre zuvor war ein ähnlicher Antrag an ihnen gescheitert.
Vom 4. bis 11. April 2025 stimmte das über den Antrag SC-081v3 ab und nahm ihn an: Unter den gab es 25 Ja-Stimmen, keine Gegenstimme und fünf Enthaltungen, unter den Browserherstellern vier Ja-Stimmen ohne Gegenstimme.1 Eingebracht hatte ihn Clint Wilson von Apple, unterstützt von Nick France (Sectigo), Ryan Dickson (Google) und Ben Wilson (Mozilla).1 Der Beschluss legt drei Stufen fest.2,3 Die erste gilt seit dem 15. März 2026: Ein öffentliches TLS-Zertifikat darf seither höchstens 200 Tage laufen.7 Die zweite folgt am 15. März 2027 mit 100 Tagen, die dritte am 15. März 2029 mit 47.2,3
Derselbe Gedanke war schon einmal abgelehnt worden.4 Zweimal versuchten die Browserhersteller, die Laufzeit über das Forum zu begrenzen; beim zweiten Anlauf stimmten sie geschlossen dafür, die Zertifizierungsstellen jedoch nur wenig, und der Antrag scheiterte.4 Apple setzte die Grenze daraufhin allein durch: angekündigt auf einem Treffen des Forums und am 3. März 2020 auf der eigenen Website veröffentlicht, akzeptieren Safari und die Apple-Betriebssysteme seither nur noch Zertifikate mit höchstens 398 Tagen Laufzeit, sofern sie am oder nach dem 1. September 2020 ausgestellt wurden; vorher ausgestellte behielten ihre volle Gültigkeit.5 Wer Nutzer von Mac und iOS erreichen wollte, musste sich danach richten, obwohl das Forum nichts beschlossen hatte.5 Scott Helme maß im Februar 2020, dass ein Viertel der von ihm untersuchten Websites Zertifikate mit längerer Laufzeit einsetzte.4
Die Begründung zielt auf die Haltbarkeit der Angaben: Was in einem Zertifikat steht, wird mit der Zeit unzuverlässiger, und der Widerruf eines falsch gewordenen Zertifikats greift in der Praxis schlecht.2 Deshalb kürzt SC-081v3 nicht nur die Laufzeit, sondern auch die Frist, innerhalb derer eine einmal geprüfte Kontrolle über eine Domain wiederverwendet werden darf; sie sinkt bis 2029 auf zehn Tage.1,2 Für Betreiber heißt das, dass die Erneuerung von Hand ausfällt und die Automatisierung zur Betriebsvoraussetzung wird.3 Let’s Encrypt war diesen Weg schon vorher gegangen und stellte am 19. Februar 2025 ein erstes Zertifikat mit sechs Tagen Laufzeit aus; die Begründung dort lautet, ein kurzlebiges Zertifikat verkleinere das Zeitfenster für einen Missbrauch und mache den Widerruf entbehrlich.6
Siehe auch
- Let's Encrypt macht Zertifikate kostenlos und automatisch 2015 Die Automatisierung, die hier zur Pflicht wird, wurde dort zum ersten Mal kostenlos angeboten.
- DNSSEC: Die Root-Zone des DNS geht signiert in Betrieb 2010 Auch dort trägt die Sicherheit des Netzes an einer Schlüsselverwaltung, die niemand von Hand führen kann.