I certificati HTTPS gratuiti di Let's Encrypt, l'autorità di certificazione senza scopo di lucro che ha contribuito in modo decisivo alla diffusione della crittografia sul web grazie ai certificati gratuiti e al protocollo ACME per l'automazione dei rinnovi, dureranno sempre meno: dal 10 febbraio 2027 la validità predefinita scenderà da 90 a 64 giorni. La modifica interesserà milioni di siti web e rappresenta un nuovo passo verso un modello in cui il rinnovo automatico non è più una comodità, ma un requisito essenziale per mantenere online servizi e applicazioni. L'annuncio arriva direttamente da Let's Encrypt: a partire dal 10 febbraio 2027, tutti i nuovi certificati emessi o rinnovati avranno una validità standard di 64 giorni, salvo la scelta esplicita di profili ancora più brevi, già disponibili con durate di 45 o 6 giorni.

La modifica non avrà effetti immediati sui certificati già esistenti. Quelli emessi prima della data di transizione continueranno a rimanere validi fino alla loro naturale scadenza. L'organizzazione prevede che l'ultimo certificato da 90 giorni termini la propria validità l'11 maggio 2027 e ha precisato che non verrà revocato alcun certificato valido nell'ambito di questo cambiamento. Per consentire agli amministratori di prepararsi in anticipo, i certificati da 64 giorni verranno introdotti nell'ambiente di test il 14 ottobre 2026. Ciò permetterà di verificare procedure di rinnovo, sistemi di distribuzione e configurazioni automatiche prima del passaggio definitivo all'infrastruttura di produzione.

La riduzione della durata dei certificati non è un'iniziativa isolata. Fa parte di una tendenza più ampia del settore che punta a limitare la finestra temporale durante la quale un certificato emesso erroneamente o una chiave privata compromessa possono essere sfruttati da soggetti non autorizzati. Più breve è la durata del certificato, minore è infatti il periodo in cui un eventuale abuso può rimanere efficace. Nel comunicato ufficiale, Sarah Gran spiega la motivazione alla base della scelta: «Stiamo passando a durate più brevi dei certificati perché questo riduce il rischio di compromissione delle chiavi e di emissioni errate». La responsabile aggiunge inoltre: «In quanto organizzazione senza scopo di lucro, riteniamo che questo cambiamento faccia parte della nostra missione di migliorare la sicurezza per tutti coloro che utilizzano il web nel mondo».

Per molte realtà che utilizzano strumenti moderni di automazione, l'impatto dovrebbe essere minimo. Let's Encrypt evidenzia in particolare il supporto ad ACME Renewal Info (ARI), una funzione che consente all'autorità di certificazione di comunicare direttamente ai client quando effettuare il rinnovo, evitando di affidarsi a scadenze rigide configurate manualmente. La situazione è diversa per chi utilizza ancora procedure manuali o script basati su intervalli fissi. Let's Encrypt raccomanda di abbandonare logiche costruite attorno ai tradizionali certificati da 90 giorni e di programmare i rinnovi quando è trascorso circa due terzi del periodo di validità; suggerisce inoltre di cercare nei processi automatizzati valori codificati come 83, 80 o 60 giorni, frequentemente utilizzati nelle configurazioni esistenti.

Consigliamo la lettura di:

Windows 11, gli aggiornamenti di settembre bloccano le VPN Always On

Google sperimenta il login via selfie

Basta una dieresi per mandare in crisi l'app IO

Aggiornamento critico per Windows 11: il Secure Boot riceve nuovi certificati di...

Accanto alla riduzione della durata dei certificati arriverà anche una modifica alle procedure di convalida dei domini. Il periodo durante il quale una precedente autorizzazione può essere riutilizzata passerà da 30 a 10 giorni: si tratta di un cambiamento preparatorio verso requisiti ancora più severi previsti negli anni successivi. La stessa documentazione ufficiale anticipa infatti che nel 2028 il periodo di riutilizzo delle autorizzazioni verrà ulteriormente ridotto fino a sole sette ore. Anche la durata standard dei certificati subirà un nuovo taglio, passando dagli imminenti 64 giorni a 45 giorni. L'attuale transizione rappresenta quindi solo una tappa intermedia di un percorso già delineato.

Un elemento importante per gli amministratori riguarda ciò che non cambierà. Let's Encrypt ha confermato che la modifica non influenzerà i limiti di emissione, gli endpoint ACME né le catene di certificazione utilizzate per l'emissione dei certificati. Le applicazioni e i browser continueranno quindi a riconoscere i certificati secondo le modalità attuali. La decisione conferma peraltro una trasformazione iniziata anni fa. Quando Let's Encrypt debuttò nel 2016, i certificati da 90 giorni furono considerati una svolta perché spinsero il settore ad adottare il rinnovo automatico. Con il passaggio a 64 giorni e il successivo approdo a 45 giorni, l'automazione diventa sempre più centrale nella gestione della sicurezza dei siti web e delle infrastrutture digitali.

Per chi gestisce siti, piattaforme online, servizi API o infrastrutture aziendali, i prossimi mesi rappresentano quindi un periodo utile per verificare strumenti, procedure e sistemi di monitoraggio. L'obiettivo dichiarato è arrivare alla scadenza del 10 febbraio 2027 senza interruzioni operative e con processi di rinnovo completamente automatizzati.

Proposte di lettura:

Mouse e tastiere Logitech in tilt su macOS: un certificato dimenticato ha blocca...

Nvidia, certificati rubati dagli hacker e usati per firmware malware

Android, i vecchi dispositivi potranno continuare a navigare

Android, un dispositivo su tre smetterà di accedere ai siti Https