Resumo

  • O limite atual do CA/Browser Forum é de 200 dias; ele cai para 100 dias em março de 2027 e para 47 dias em março de 2029.
  • Renovação só termina quando todos os pontos de terminação previstos servem o certificado aprovado e preservam tempo suficiente para corrigir uma falha.

Um serviço central pode concluir uma ordem ACME e mostrar tudo verde enquanto um gateway regional ou um servidor de e-mail continua apresentando o certificado anterior. A emissão funcionou, mas a renovação não acabou. O registro da autoridade certificadora e o estado real da frota mantêm relógios diferentes.

Prazos menores tornam essa diferença mais cara. Os requisitos atuais limitam a 200 dias os certificados emitidos entre 15 de março de 2026 e 15 de março de 2027. Depois o máximo será de 100 dias e, em 2029, de 47. A reutilização da validação de nomes de domínio e endereços IP também encolhe até dez dias em 2029.

São limites máximos, não uma duração obrigatória para todos. A Let’s Encrypt ativou em maio de 2026 um perfil opcional tlsserver com certificados de 45 dias e planeja reduzir seu perfil padrão em etapas. A recomendação é validar agora a compatibilidade da automação.

O arquivo ficou menor; o controle ficou contínuo

Cada ciclo depende de identificadores conhecidos, validação de domínio disponível, conta ACME sob controle, cliente capaz de solicitar, canal de segredos capaz de distribuir, serviço capaz de recarregar e observador externo capaz de provar o resultado.

A RFC 8555 automatiza boa parte dessa sequência e revela a fronteira de autoridade. O cliente assina pedidos com a chave da conta. Dentro do escopo da conta, seu controle pode permitir emissão, revogação, mudanças cadastrais e troca da própria chave. Portanto, a chave não é um detalhe de tarefa agendada; ela concentra poder operacional.

A autoridade certificadora também não conhece necessariamente cada proxy, ingress, borda de CDN, equipamento ou serviço de correio que deveria mudar. O segredo novo pode estar armazenado enquanto um processo antigo apresenta o certificado anterior. Um ponto esquecido pode nem constar do inventário.

Pedido, armazenamento, implantação, recarga e prova externa são estados diferentes. Juntá-los em uma luz verde única apaga o diagnóstico.

ARI escolhe a janela, mas não comprova a troca

A RFC 9773 define o ACME Renewal Information. Uma autoridade compatível pode sugerir uma janela de renovação, e o cliente pode informar qual certificado pretende substituir. Isso distribui carga e permite antecipar trocas em situações excepcionais.

Uma regra fixa envelhece depressa. “Renovar trinta dias antes” não significa o mesmo para 398 e 45 dias. ARI permite mudar a janela sem gravar a duração vigente no código de cada cliente.

Mesmo assim, ARI não prova instalação, cadeia apresentada, atualização de todas as bordas ou handshake externo. Ele coordena o início. A conclusão continua sendo um estado observado da frota.

O guia da Let’s Encrypt recomenda consultar ARI pelo menos duas vezes ao dia, manter um limiar de reserva, dividir frotas grandes em lotes pequenos e aleatorizar horários. O relato de 2026 sobre a Shopify descreve janelas armazenadas e consultadas continuamente. É um caso atribuído, não uma descrição universal.

A margem de recuperação é o ativo escasso

Validade menor reduz o tempo em que uma credencial velha pode permanecer aceita. Também encurta o calendário para descobrir e corrigir validação quebrada, chave indisponível, limitação do cliente, sincronização incompleta, falha de recarga ou terminação ausente.

O indicador decisivo é a margem útil: quanto resta entre a primeira falha e a expiração depois de detectar, atribuir, corrigir, redistribuir e verificar de forma independente.

Renovação antecipada, em lotes pequenos, com tentativas limitadas e prova externa pode absorver a mudança. Renovação em massa, confiando apenas na ordem, pode transformar controle programado em falha sincronizada.

As fontes públicas não mostram inventário, versão de cliente, custódia, taxa de erro ou incidentes de um assinante específico. Também não provam que validade curta elimina revogação. Elas sustentam uma conclusão mais precisa: a prova da troca ganha valor quando as suposições envelhecem mais rapidamente.

Fontes