Dal 15 marzo 2026 un certificato SSL/TLS pubblicamente attendibile può essere valido al massimo 200 giorni. Il limite scende a 100 giorni il 15 marzo 2027 e a 47 giorni il 15 marzo 2029. Se oggi rinnovi un certificato a mano, entro il 2029 dovrai farlo almeno otto volte l’anno. La risposta è automatizzare subito il rinnovo e monitorare che l’automazione continui a funzionare.
Il calendario arriva dal CA/Browser Forum, il gruppo di autorità di certificazione e produttori di browser che scrive le regole seguite da ogni certificato pubblico. Questa guida spiega il calendario, il cambiamento meno discusso alla validazione del dominio e cosa fare prima di ogni scadenza.
Il calendario
Il ballot SC-081v3, approvato ad aprile 2025, ha modificato i Baseline Requirements del Forum in tre fasi. Due limiti scendono insieme: per quanto tempo un certificato può essere valido e per quanto tempo un’autorità di certificazione può riutilizzare una verifica precedente del fatto che controlli il dominio.
Certificato emessoValidità massimaValidazione del dominio riutilizzabile fino aPrima del 15 marzo 2026398 giorni398 giorniDal 15 marzo 2026200 giorni200 giorniDal 15 marzo 2027100 giorni100 giorniDal 15 marzo 202947 giorni10 giorni
La pagina del ballot riporta il voto e il testo completo. I limiti si applicano al momento dell’emissione. Un certificato emesso prima di una scadenza resta valido fino alla sua data di scadenza, quindi nulla di ciò che hai oggi smette di funzionare il 15 marzo. Semplicemente non potrà essere sostituito da uno che duri altrettanto.
Cosa significa riutilizzare la validazione del dominio
Prima di emettere un certificato, un’autorità di certificazione verifica che tu controlli il dominio, per esempio chiedendoti di pubblicare un record DNS o di servire un file via HTTP. Finora poteva riutilizzare quella verifica per più di un anno. Da marzo 2029 il periodo di riutilizzo è di 10 giorni, quindi quasi ogni rinnovo richiederà una nuova verifica. Un rinnovo che prima si basava su una validazione già memorizzata dipenderà ora dal fatto che DNS e server web rispondano correttamente ogni volta.
Perché la durata si accorcia
Le informazioni in un certificato invecchiano. I domini vengono venduti, le aziende cambiano hosting, le chiavi trapelano. Una durata più breve limita il tempo in cui un certificato obsoleto o compromesso può essere usato.
La revoca non è affidabile. I browser non sempre riescono a verificare se un certificato è stato revocato. La scadenza è la rete di sicurezza che funziona sempre, e una scadenza più breve interviene prima.
Obbliga ad automatizzare. Il rinnovo manuale annuale è proprio il processo che fallisce: chi se ne occupava se n’è andato, il promemoria è finito in una vecchia casella di posta. Quando il rinnovo è frequente deve essere automatizzato, e i processi automatizzati possono cambiare algoritmi o autorità rapidamente quando serve.
Let’s Encrypt va oltre
I certificati Let’s Encrypt durano già 90 giorni, ben entro tutti i limiti indicati sopra. In Decreasing Certificate Lifetimes to 45 Days ha annunciato il proprio calendario:
13 maggio 2026: il profilo opzionale tlsserver emette certificati da 45 giorni.
10 febbraio 2027: il profilo predefinito classic passa a certificati da 64 giorni, e le validazioni vengono riutilizzate per 10 giorni invece di 30.
16 febbraio 2028: il predefinito passa a certificati da 45 giorni, con validazioni riutilizzate per sole 7 ore.
Nel 2025 Let’s Encrypt ha anche smesso di inviare email di avviso sulla scadenza. Se ti affidavi a quelle per accorgerti di un rinnovo fallito, nulla le sostituisce a meno che tu non lo configuri.
Una checklist per prepararti
1. Trova tutti i certificati che possiedi
Il sito web è il più facile. Elenca anche endpoint API, pannelli di amministrazione, siti di staging, server di posta, load balancer, certificati edge della CDN e vecchi sottodomini di campagne. I log di Certificate Transparency registrano ogni certificato pubblico, quindi cercarvi il tuo dominio (per esempio su crt.sh) mostra certificati che nessuno ricorda di aver ordinato. Il verificatore SSL mostra data di scadenza, emittente, nomi e catena per qualsiasi host.
2. Automatizza il rinnovo con ACME
ACME è il protocollo standard per richiedere e rinnovare certificati senza intervento umano (RFC 8555). Lo supportano Certbot, acme.sh e Caddy, oltre alla maggior parte dei pannelli di hosting, dei load balancer e delle CDN. Lo supportano anche molte autorità commerciali, quindi si possono automatizzare pure i certificati a pagamento. Rinnova con largo anticipo sulla scadenza, quando resta circa un terzo della durata, così un tentativo fallito ha il tempo di essere ripetuto.
3. Fai funzionare la validazione ogni volta
Con un periodo di riutilizzo di 10 giorni, ogni rinnovo richiede una validazione superata. Controlla il metodo che usi:
La validazione HTTP richiede la porta 80 aperta e /.well-known/acme-challenge/ raggiungibile, senza un redirect a una pagina di login o una regola del firewall di mezzo.
La validazione DNS richiede l’accesso API al tuo provider DNS e credenziali che non scadano senza preavviso.
I record CAA, se li pubblichi, devono indicare l’autorità che usi. Un record CAA rimasto da un provider precedente blocca l’emissione. Verificali con lo strumento di DNS lookup.
Un record DNS modificato è uno dei motivi più comuni per cui un rinnovo che funzionava da anni improvvisamente fallisce. Il monitoraggio DNS ti avvisa quando un record cambia.
4. Distribuisci ciò che rinnovi
Un certificato rinnovato sul disco non serve a nulla finché il server non lo carica. Assicurati che il client ricarichi il server web dopo il rinnovo, e che ogni server dietro un load balancer riceva il nuovo certificato, non solo quello su cui è stato eseguito il rinnovo. Appliance e servizi che richiedono il caricamento manuale del certificato sono il punto in cui le durate più brevi fanno più male; verifica subito se possono ottenerne uno automaticamente.
5. Ripensa i certificati acquistati manualmente
Un certificato venduto come prodotto annuale non può più essere emesso per un anno. Da marzo 2026 deve essere riemesso almeno una volta durante il periodo, e dal 2029 circa ogni sei settimane. Se un certificato con validazione dell’organizzazione (OV) è un requisito, chiedi alla tua autorità come supporta ACME prima del passaggio a 100 giorni nel 2027.
6. Monitora il certificato effettivamente servito
L’automazione fallisce in silenzio: un token API DNS scaduto, uno spostamento di server che ha saltato il timer di rinnovo, un ricaricamento mai avvenuto. L’unico test affidabile è guardare il certificato che ricevono i visitatori, dall’esterno, a intervalli regolari. La nostra guida al monitoraggio della scadenza dei certificati SSL approfondisce i dettagli, e gli errori dei certificati SSL spiegati mostra cosa vedono i visitatori quando qualcosa va storto.
Cosa significa ogni scadenza in pratica
Ora, a 200 giorni: ogni certificato viene sostituito almeno due volte l’anno. Un processo manuale funziona ancora, ma è il momento di fare l’inventario e automatizzare, finché un rinnovo mancato è raro.
Dal 15 marzo 2027, a 100 giorni: almeno quattro sostituzioni l’anno. Un certificato caricato a mano su un’appliance o su un pannello di hosting diventa un compito trimestrale che qualcuno dimenticherà.
Dal 15 marzo 2029, a 47 giorni: almeno otto sostituzioni l’anno, ognuna con una nuova validazione del dominio. Tutto ciò che è manuale prima o poi fallirà, e lo stesso vale per un’automazione le cui credenziali DNS, regole del firewall o fase di ricaricamento nessuno ha testato.
Il lavoro è lo stesso a ogni fase: meno certificati manuali, un rinnovo che si valida e si distribuisce da solo, e un controllo esterno che ti avvisa quando non è successo.
Come Uptimecheck sorveglia i tuoi certificati
Ogni monitor HTTPS di Uptimecheck legge il certificato a ogni controllo, quindi non c’è un monitor SSL separato da configurare.
I promemoria arrivano ai canali di avviso del monitor 30, 14, 7 e 1 giorno prima della scadenza del certificato, e il giorno stesso.
I giorni rimanenti diventano ambra sotto i 30 giorni e rossi sotto i 14, e i certificati in scadenza entro 14 giorni compaiono sotto Needs attention nella panoramica.
Un certificato scaduto, autofirmato o non corrispondente fa fallire il controllo, quindi apre un incidente come qualsiasi altra interruzione. Un certificato intermedio mancante viene segnalato come Incomplete chain.
Allinea i promemoria ai tempi di rinnovo. Se il tuo client rinnova quando mancano più di 30 giorni, qualsiasi promemoria significa che un rinnovo è fallito. Se rinnova più tardi, come accadrà con i certificati da 47 giorni, il promemoria a 30 giorni arriva prima di ogni rinnovo, e il primo promemoria dopo il punto di rinnovo del tuo client è quello che richiede un intervento. Leggi come monitorare la scadenza dei certificati SSL.
La registrazione del dominio ha una propria data di scadenza, e nessun certificato aiuta una volta che è decaduta. Il monitoraggio dei domini ti avvisa negli stessi giorni; controlla qualsiasi dominio con il verificatore di scadenza dei domini.
Certificati più brevi non devono significare più interruzioni. Prova Uptimecheck gratis per 14 giorni, senza carta di credito.