Let’s Encrypt zet de eerste stap richting kortere TLS-certificaten. Met de aankondiging dat de standaard geldigheidsperiode wordt verlaagd naar 64 dagen, verschuift er voor beheerders en teams die certificaten automatiseren iets in planning, testen en renewal-logica.
De wijziging past binnen afspraken van het CA/Browser Forum, met als doel om beveiliging op het web te versterken. Concreet betekent het dat intrekkingen (revocation) sneller en efficiënter kunnen verlopen en dat de mogelijke impact van een compromis kleiner wordt.
Wat verandert er precies met Let’s Encrypt 64-dagen?
Vanaf 10 februari 2027 worden alle nieuw uitgegeven en verlengde certificaten standaard 64 dagen geldig. Let’s Encrypt heeft dit gedaan als voorbereiding op een verdere verkorting: in 2028 staat een overstap naar certificaten met een geldigheid van 45 dagen gepland.
Daarnaast geeft Let’s Encrypt aan dat de “laatste” certificaten met een langere looptijd (zoals een 90-dagenprofiel) naar verwachting uiterlijk op 11 mei 2027 verlopen. Dat helpt om te begrijpen wanneer oude policies volledig uit het landschap verdwijnen.
Waarom kortere certificaatduur beter kan zijn
Let’s Encrypt koppelt de maatregel aan de gedachte dat een kortere geldigheidsperiode het web veiliger maakt. De redenering is tweeledig:
- Revocation wordt praktischer: omdat een certificaat minder lang geldig is, wordt het eenvoudiger om intrekking binnen een korter tijdvenster relevant te houden.
- Beperking van risico bij compromissen: als een certificaat of sleutel in gevaar komt, is de maximale blootstellingstijd kleiner.
Omdat Let’s Encrypt deze timing afstemt op bredere baseline-vereisten (CA/Browser Forum), verwachten andere algemeen vertrouwde certificaatautoriteiten vergelijkbare aanpassingen in hun eigen keten van veranderingen.
Staging testen: nu al aan de slag
Voor wie de overstap wil voorbereiden, is er belangrijk nieuws: Let’s Encrypt start al met uitgifte van 64-dagencertificaten in de stagingomgeving. Daarmee kunnen klanten hun processen doorlichten voordat de wijziging in productie ingaat.
Let’s Encrypt raadt beheerders expliciet aan om die tests te herhalen in de eigen omgeving. Zo kun je tijdig ontdekken of je tooling zich gedraagt zoals verwacht, bijvoorbeeld bij automatische renewals en timing-afspraken.
Automatische verlenging: let op je ACME renewal-gedrag
Een groot deel van de impact zit niet in de cryptografie, maar in renewal-automation. Let’s Encrypt benadrukt dat veel setups “moeiteloos” zouden moeten werken als de client de juiste ACME-ondersteuning heeft.
In het bijzonder verwijst Let’s Encrypt naar ACME Renewal Info (ARI). Als je renewals geautomatiseerd zijn en je ACME-client ARI ondersteunt, kan Let’s Encrypt de client informeren wanneer verlenging logisch is. Let’s Encrypt adviseert daarom om de documentatie van je ACME-client te checken en te verifiëren of ARI is geïmplementeerd.
Wat als je renewal hardcoded is?
Voor organisaties die renewal-timing hardcoded hebben op basis van een vaste datum of een specifieke looptijd vanaf de expiratiedatum, adviseert Let’s Encrypt om de timing aan te passen. De richtlijn die wordt genoemd: zet de datum ongeveer op twee derde van de certificaatlifetime.
Dat helpt om de nieuwe kortere geldigheidsperiode “fatsoenlijk” te vertalen naar een vernieuwmoment dat voorkomt dat certificaten te laat worden opgefrist.
Meer dan alleen 64 dagen: authorization reuse wordt ook aangepast
Naast de verkorting van de certificaatgeldigheid wijzigt Let’s Encrypt ook de authorization reuse period. Dat zijn de voorwaarden waaronder een eerdere autorisatie hergebruikt kan worden bij volgende certificaten.
- Volgend jaar wordt de periode teruggebracht naar 10 dagen.
- In 2028 volgt een verdere reductie naar 7 uur.
Let’s Encrypt beschrijft dat deze aanpassing dient ter naleving van een verdere verlaging van maximale validatie-hergebruikperiodes in 2029. Ook zegt de CA dat dit het minder nodig maakt om “CAA rechecking” te doen: een deel van het validatieproces moet opnieuw worden herhaald als de validation-data ouder is dan een bepaalde grens (in dit geval gekoppeld aan de 7-uurslimiet).
Belangrijk is dat Let’s Encrypt aangeeft dat deze wijzigingen geen impact hebben op de ACME-endpoints, de issuance chains of de rate limits. Met andere woorden: de aanpassing zit vooral in timing en hergebruikregels, niet in de basis API-lokaties of limieten.
Wat moeten klanten praktisch doen?
Hier is een praktische checklist voor teams die met Let’s Encrypt certificaten werken:
- Test in staging met de nieuwe 64-dagencertificaten om renewal-logica te valideren.
- Controleer ACME-client support voor ARI als je renewals volledig automatisch draait.
- Inventariseer renewal-scripts die hardcoded werken met een specifieke expiratiedatum of vaste looptijd.
- Pas timing aan waar nodig: mik op een renewalmoment rond twee derde van de certificaatduur.
- Let op autorisatie-hergebruik (authorization reuse), omdat die regels versneld veranderen richting 10 dagen en later 7 uur.
Door dit nu te doen, voorkom je dat je in 2027 alleen “aan de achterdeur” kunt bijsturen wanneer certificaten sneller verlopen dan je tooling verwacht.
Vergelijkbare issues: timing en operational security
Verkortingen in certificaatlevensduur raken direct aan operationele security. In bredere zin zie je dat security niet alleen over technische kwetsbaarheden gaat, maar ook over hoe goed processen, tooling en beleid met updates kunnen meegroeien.
Wie certificaatbeheer beschouwt als onderdeel van de bredere applicatie- en infrastructurebeveiliging, kan ook kijken naar onderwerpen als agent- en supply chain-risico’s. Zo beschrijft IT Waarschuwing hoe derde-party agenten risico’s kunnen missen—een reminder dat automatisering en integraties altijd moeten passen bij je securitymodel.
Daarnaast laat recente berichtgeving zien dat beveiligingsmaatregelen rond validatie en verificatieprocessen voortdurend veranderen. Een voorbeeld van zo’n verschuiving in het ecosysteem van validatie is de voortdurende aandacht voor hoe systemen HTTPS en trust chains ondersteunen. (Je kunt je team helpen door veranderingen in certificaatduur en hergebruikregels samen te brengen in één implementatieplan.)
Conclusie: Let’s Encrypt 64-dagen vereist voorbereiding
Let’s Encrypt gaat de standaardgeldigheid van certificaten verkorten naar 64 dagen, te starten op 10 februari 2027. Daarmee beweegt de CA richting een verdere stap naar 45 dagen in 2028. Voor beheerders betekent dit vooral dat je renewal-automation en timing moet controleren.
Test daarom alvast in staging, verifieer of je ACME-client ARI ondersteunt en pas renewal-datums aan als je huidige aanpak hardcoded is. Zo maak je de overgang soepel—en profiteer je eerder van de veiligheidswinst die met kortere certificaatduur en efficiëntere revocation samenhangt.
