Zusammenfassung

  • Im aktuellen Zeitraum des CA/Browser Forum gilt eine Höchstdauer von 200 Tagen; ab März 2027 sind es 100 Tage, ab März 2029 47 Tage.
  • Erfolg bedeutet nicht „ausgestellt“, sondern dass alle vorgesehenen Endpunkte den genehmigten Ersatz liefern und genügend Zeit für eine Fehlerbehebung bleibt.

Ein zentraler Dienst kann eine ACME-Bestellung abschließen und grün melden, während ein regionales API-Gateway oder ein Mailserver noch das alte Zertifikat ausliefert. Die Ausstellung war erfolgreich, die Erneuerung nicht. Der Datensatz der Zertifizierungsstelle und der reale Zustand der Flotte laufen auf unterschiedlichen Uhren.

Kürzere Laufzeiten verteuern diese Lücke. Die aktuellen Anforderungen begrenzen Zertifikate, die ab dem 15. März 2026 und vor dem 15. März 2027 ausgestellt werden, auf 200 Tage. Danach folgen 100 Tage und 2029 schließlich 47 Tage. Die Wiederverwendung von Validierungsdaten für Domainnamen und IP-Adressen sinkt 2029 auf zehn Tage.

Das sind Obergrenzen, keine Pflichtlaufzeiten. Let’s Encrypt aktivierte im Mai 2026 ein freiwilliges tlsserver-Profil mit 45 Tagen und plant später kürzere Standardprofile. Betreiber sollen jetzt prüfen, ob ihre Automatisierung damit umgehen kann.

Der gesamte Ablauf wird zur Regelschleife

Jeder Zyklus braucht bekannte Kennungen, funktionierende Domainvalidierung, ein kontrolliertes ACME-Konto, einen bestellfähigen Client, einen Verteilweg für Geheimnisse, einen Dienst mit sicherem Reload und eine externe Beobachtung des Ergebnisses.

RFC 8555 automatisiert vieles und zeigt zugleich die Autoritätsgrenze. Der Client signiert mit dem Kontoschlüssel. In dessen Geltungsbereich kann der Schlüssel Ausstellung, Widerruf, Kontoänderungen und Schlüsselwechsel ermöglichen. Er ist deshalb kein Nebendetail eines Zeitplans, sondern konzentrierte operative Befugnis.

Die Zertifizierungsstelle kennt außerdem nicht jeden Reverse Proxy, Ingress, CDN-Rand, jede Appliance oder jeden Maildienst. Das neue Zertifikat kann im Secret Store liegen, während ein alter Prozess den Vorgänger präsentiert. Ein vergessener Endpunkt kann ganz aus dem Inventar fehlen.

Bestellung, Speicherung, Verteilung, Reload und externer Nachweis sind verschiedene Zustände. Ein einziges grünes Ereignis verschleiert, welcher Eigentümer handeln muss.

ARI koordiniert das Fenster, nicht den Abschluss

RFC 9773 definiert ACME Renewal Information. Eine unterstützende Zertifizierungsstelle kann ein empfohlenes Erneuerungsfenster liefern; der Client kann angeben, welches Zertifikat ersetzt werden soll. Das verteilt Last und ermöglicht vorgezogene Erneuerung bei besonderen Ereignissen.

Eine feste Regel altert schnell. „30 Tage vor Ablauf“ hat bei 398 Tagen eine andere Bedeutung als bei 45. ARI verschiebt das Fenster, ohne die aktuelle Produktlaufzeit in jeden Client einzubauen.

ARI beweist jedoch weder Installation noch die präsentierte Kette, die Aktualisierung aller Ränder oder einen extern erfolgreichen Handshake. Es koordiniert den Beginn. Der Abschluss bleibt ein beobachteter Flottenzustand.

Der Integrationsleitfaden von Let’s Encrypt empfiehlt mindestens zwei ARI-Abfragen pro Tag, eine laufzeitbasierte Rückfallgrenze, kleine Lose für große Flotten und zufällige Zeitpunkte. Der 2026 veröffentlichte Shopify-Bericht beschreibt gespeicherte Fenster und regelmäßige Abfragen. Das ist ein zugeordnetes Beispiel, keine Aussage über jeden Teilnehmer.

Knapp wird die Erholungsreserve

Eine kürzere Gültigkeit reduziert die Zeit, in der alte Anmeldedaten akzeptiert werden. Sie reduziert auch die Zeit zur Reparatur von Validierungsfehlern, unzugänglichen Konten, Client-Begrenzungen, Secret-Synchronisation, Reload-Problemen oder fehlenden Endpunkten.

Entscheidend ist die nutzbare Reserve: Was bleibt zwischen dem ersten Fehler und dem Ablauf, nachdem Erkennung, Zuordnung, Reparatur, erneute Verteilung und unabhängige Prüfung berücksichtigt sind?

Frühe Erneuerung in kleinen Gruppen mit begrenzten Wiederholungen und externem Nachweis kann die Umstellung auffangen. Eine gleichzeitige Flottenerneuerung, die nur der Bestellung vertraut, kann geplante Kontrolle in synchrones Versagen verwandeln.

Öffentliche Quellen zeigen kein privates Inventar, keine Clientversion, Kontoverwahrung, Fehlerrate oder Vorfälle eines konkreten Betreibers. Sie beweisen auch nicht, dass kurze Zertifikate den Widerruf ersetzen. Sie tragen nur die präzise Schlussfolgerung: Wenn Annahmen schneller veralten, wird der Nachweis des Ersatzes wertvoller.

Quellen