الخلاصة

  • الحد الأقصى الحالي لدى CA/Browser Forum هو 200 يوم، ثم ينخفض إلى 100 يوم في مارس 2027 وإلى 47 يوماً في مارس 2029.
  • لا يكتمل التجديد عند إصدار الشهادة، بل عندما تقدم جميع نقاط الإنهاء المقصودة البديل المعتمد مع بقاء وقت كاف لإصلاح أي فشل.

قد تنهي خدمة مركزية طلب ACME وتعرض حالة خضراء، بينما تواصل بوابة إقليمية أو خدمة بريد تقديم الشهادة السابقة. نجح الإصدار، لكن التجديد لم يكتمل. أصبح للمؤسسة توقيتان: سجل جهة التصديق، والحالة الفعلية للنقاط التي يراها العملاء.

تجعل المدد الأقصر هذا الفرق أكثر كلفة. تحد المتطلبات الحالية من عمر الشهادات الصادرة بين 15 مارس 2026 وما قبل 15 مارس 2027 إلى 200 يوم. يصبح الحد 100 يوم بعد ذلك، ثم 47 يوماً في 2029. كما تنخفض مدة إعادة استخدام بيانات التحقق من النطاق أو عنوان IP إلى عشرة أيام في 2029.

هذه حدود قصوى وليست مدة إلزامية للجميع. فعّلت Let’s Encrypt في مايو 2026 ملف tlsserver اختيارياً لشهادات مدتها 45 يوماً، وتخطط لتقليل مدة الملف الافتراضي لاحقاً. وهي تطلب من المشتركين اختبار قدرتهم على التعامل مع المدة الأقصر.

قصر المدة يحول السلسلة كلها إلى حلقة ضبط

تعتمد كل دورة على معرفات معروفة، وتحقيق صالح لسيطرة النطاق، وحساب ACME قابل للاستخدام، وعميل قادر على الطلب، ومسار يوزع الأسرار، وخدمة تعيد التحميل، ومراقب خارجي يثبت النتيجة.

تؤتمت RFC 8555 أجزاء كبيرة من هذه السلسلة، وتوضح أيضاً حد السلطة. يوقّع العميل الطلبات بمفتاح الحساب. وضمن نطاق الحساب قد يسمح التحكم في المفتاح بالإصدار والإلغاء وتعديل الحساب وتغيير المفتاح نفسه. لذلك فالمفتاح ليس تفصيلاً تابعاً لمهمة مجدولة، بل سلطة تشغيلية يجب تحديد حارسها.

كما أن جهة التصديق لا تعرف بالضرورة كل proxy أو ingress أو طرف CDN أو جهاز أو خدمة بريد يجب تحديثها. قد تصل الشهادة الجديدة إلى مخزن الأسرار بينما تواصل عملية قديمة تقديم السابقة. وقد تغيب نقطة من الجرد من الأصل.

الطلب والتخزين والنشر وإعادة التحميل والإثبات الخارجي حالات مختلفة. جمعها في إشارة نجاح واحدة يخفي مكان الخلل وصاحبه.

ينسق ARI الموعد ولا يثبت اكتمال الاستبدال

تعرف RFC 9773 خدمة ACME Renewal Information. تستطيع جهة التصديق أن تقترح نافذة للتجديد، ويستطيع العميل بيان الشهادة التي يستبدلها الطلب الجديد. يساعد ذلك في توزيع الحمل وتقديم التجديد عند الظروف الاستثنائية.

تتضح الفائدة عندما تصبح القاعدة الثابتة قديمة. عبارة «جدد قبل ثلاثين يوماً» لا تعني الشيء نفسه لشهادة مدتها 398 يوماً وأخرى مدتها 45 يوماً. تسمح النافذة المتحركة بتغيير التوقيت من دون تثبيت مدة المنتج في كل عميل.

لكن ARI لا يثبت التثبيت، ولا السلسلة المقدمة، ولا تحديث جميع الأطراف، ولا نجاح المصافحة من خارج الشبكة. إنه ينسق البداية؛ أما النهاية فهي حالة مرصودة للأسطول.

توصي إرشادات Let’s Encrypt بفحص ARI مرتين يومياً على الأقل، والاحتفاظ بعتبة احتياطية تعتمد على العمر المتبقي، وتقسيم الأساطيل الكبيرة إلى مجموعات صغيرة، وتوزيع أوقات التشغيل. ويصف مثال Shopify المنشور في 2026 تخزين النوافذ والاستعلام عنها باستمرار. إنه مثال منسوب إلى صاحبه، وليس دليلاً على بنية كل مشترك.

هامش التعافي هو الأصل النادر

تقلل المدة القصيرة الوقت الذي تبقى فيه بيانات قديمة مقبولة. لكنها تقلل كذلك زمن اكتشاف وإصلاح فشل التحقق، أو تعطل مفتاح الحساب، أو تقييد العميل، أو نقص مزامنة السر، أو فشل إعادة التحميل، أو غياب نقطة إنهاء.

المقياس الحاسم هو الهامش القابل للاستخدام: الوقت بين أول فشل والانتهاء، بعد احتساب الاكتشاف وتعيين المسؤول والإصلاح وإعادة النشر والتحقق المستقل.

يمكن للتجديد المبكر في مجموعات صغيرة، مع محاولات محدودة وإثبات خارجي، أن يستوعب التغيير. أما التجديد الجماعي والثقة في نجاح الطلب فقط فقد يحول إجراءً مخططاً إلى فشل متزامن.

لا تكشف المصادر العامة جرد أي مشترك بعينه أو نسخة العميل أو حراسة الحساب أو معدل الفشل أو الحوادث. ولا تثبت أن الشهادات القصيرة تلغي الحاجة إلى الإلغاء. لكنها تثبت أن دليل الاستبدال يصبح أعلى قيمة كلما تقادمت الافتراضات بسرعة أكبر.

المصادر