Let's Encrypt เตรียมลดอายุใบรับรองเหลือ 64 วัน เริ่ม ก.พ. 2027

Let's Encrypt เตรียมปรับลดอายุการใช้งานของใบรับรองดิจิทัล (Certificate Validity) จากเดิม 90 วันลงเหลือ 64 วัน โดยจะเริ่มมีผลในเดือนกุมภาพันธ์ 2027 การเปลี่ยนแปลงครั้งนี้อาจดูเหมือนเป็นเรื่องเล็กน้อยสำหรับหลายคนเมื่อมองว่า 64 วันก็ยังเป็นระยะเวลาที่ใช้งานได้ แต่ในความเป็นจริง การบีบอัดวงจรชีวิตของใบรับรองให้สั้นลงจะส่งผลกระทบโดยตรงต่อสคริปต์การต่ออายุอัตโนมัติที่เขียนไว้แบบเดิม

ในระบบใบรับรองความปลอดภัยแบบ 90 วัน ค่าเริ่มต้นของ Certbot ที่กำหนดหน้าต่างการต่ออายุไว้ที่ 30 วัน จะทำให้กระบวนการต่ออายุเกิดขึ้นประมาณวันที่ 60 ของรอบ ซึ่งช่วยให้ผู้ดูแลระบบมีเวลาสำรองปลอดภัยถึง 30 วันเต็ม แต่เมื่อเปลี่ยนมาใช้ใบรับรอง 64 วัน หากยังคงใช้หน้าต่าง 30 วันเท่าเดิม การต่ออายุจะขยับมาเกิดขึ้นเร็วขึ้นในวันที่ 34 ของรอบ ทำให้เหลือเวลาเผื่อแก้ไขข้อผิดพลาดหรือกรณีระบบล่มเพียงแค่ 4 วันเท่านั้น

แนวทางปฏิบัติที่เหมาะสมสำหรับคนส่วนใหญ่คือการปรับลดหน้าต่างการต่ออายุลงเหลือ 20 วัน ซึ่งจะทำให้กระบวนการต่ออายุขยับไปทำในวันที่ 44 ของรอบ แม้จะช่วยให้สถานการณ์ดีขึ้น แต่ก็ยังถือว่ามีความกระชั้นชิดมากกว่าเดิมอยู่ดี ปัญหาหลักไม่ได้อยู่ที่ตัวเลขจำนวนวัน แต่เป็นการที่สคริปต์ตรวจสอบการหมดอายุแบบดั้งเดิมมักจะใช้การกำหนดค่าตายตัว (Hardcode) ตัวเลขจำนวนวัน เช่น การใช้คำสั่งตรวจสอบ OpenSSL เช็คว่าเหลือน้อยกว่า 30 วันหรือไม่ก่อนสั่งให้ Certbot ทำงานต่ออายุ

ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง

เพื่อแก้ปัญหาระยะยาวและรองรับการเปลี่ยนแปลงในอนาคต หากรอบอายุของใบรับรองอาจสั้นลงอีกเหลือ 45 วัน นักพัฒนาควรเปลี่ยนวิธีคิดจากการกำหนดจำนวนวันตายตัว มาเป็นการคำนวณหน้าต่างการต่ออายุให้อยู่ในรูปของเปอร์เซ็นต์จากอายุทั้งหมดของใบรับรองแทน ตัวอย่างเช่น การคำนวณหาช่วงเวลาชีวิตทั้งหมดเป็นวินาที แล้วตั้งเงื่อนไขให้ทำการต่ออายุเมื่ออายุใบรับรองเหลืออยู่ 70% ของรอบทั้งหมด ซึ่งวิธีนี้จะช่วยให้สคริปต์มีความยืดหยุ่นและรองรับใบรับรองทุกรูปแบบไม่ว่าจะเป็น 90 วัน, 64 วัน หรือระยะเวลาอื่น ๆ ในอนาคต