La rivoluzione dei certificati TLS: da 365 a 47 giorni di validità
Il CA/Browser Forum ha approvato in aprile 2025 una riduzione drastica della validità dei certificati TLS, con un calendario progressivo che porterà a soli 47 giorni di validità dal marzo 2029. La prima fase, già attiva dal 15 marzo 2026, ha abbassato il limite a 200 giorni. Questa trasformazione rende obsoleti i metodi manuali di gestione, come i fogli Excel, e richiede una transizione obbligata all'automazione.
Risposta Rapida
I certificati TLS ridurranno la loro validità a 47 giorni dal marzo 2029, con tappe intermedie a 200 giorni (marzo 2026) e 100 giorni (marzo 2027). La riduzione mira a migliorare la sicurezza e spinge verso l'automazione completa della gestione dei certificati. Le organizzazioni devono prepararsi con un inventario dettagliato, automazione della validazione del dominio, identificazione del traffico non-SNI e isolamento del blast radius.
Perché la validità dei certificati si riduce
La decisione del CA/Browser Forum di ridurre la validità dei certificati TLS ha obiettivi chiari: ridurre la finestra di vulnerabilità in caso di certificati rubati o emessi erroneamente e spingere l'ecosistema verso l'automazione. Questo cambiamento è stato approvato con il ballot SC081v3 e prevede una transizione graduale che culmina nel 2029 con certificati validi solo 47 giorni.
L'impatto immediato per le organizzazioni
La riduzione della validità dei certificati TLS ha un impatto significativo sulle operazioni IT. Secondo una ricerca di DigiCert in collaborazione con Omdia, il 47% delle organizzazioni continua a utilizzare metodi manuali come fogli Excel per tracciare le scadenze dei certificati. Questo approccio non è più sostenibile con cicli di rinnovo che si accorciano drasticamente.
Cinque passi cruciali per prepararsi ai certificati da 47 giorni
Per affrontare questa sfida, le organizzazioni devono seguire una checklist specifica. Il primo passo è realizzare un inventario completo di tutti i certificati, inclusi domini e siti associati. Questo inventario deve includere informazioni su chi è responsabile del rinnovo di ciascun certificato.
Automazione della validazione del dominio
La validazione manuale del dominio diventa insostenibile con un ciclo di rinnovo di 10 giorni. La soluzione è l'automazione della validazione tramite CNAME. Questo metodo non solo semplifica il processo, ma lo rende continuo. Imperva, ad esempio, richiede già una revalidazione del dominio ogni 99 giorni per i suoi certificati gestiti.
Identificazione del traffico non-SNI
Server Name Indication (SNI) è un'estensione TLS che consente al server di identificare il nome host richiesto dal client. I client che non supportano SNI, come librerie HTTP obsolete o strumenti di monitoraggio mal configurati, non possono essere serviti con certificati di sito. Questo problema deve essere affrontato prima di passare alla modalità SNI-only.
Isolamento del blast radius
Condividere un certificato tra più siti significa che un problema di rinnovo può causare interruzioni su larga scala. La soluzione è utilizzare certificati dedicati per ciascun sito, come quelli offerti da Imperva. Questa pratica non solo riduce il rischio di interruzioni, ma semplifica anche la gestione dei certificati.
Integrazione con sistemi di gestione esistenti
Se i certificati sono gestiti tramite una piattaforma di Certificate Lifecycle Management (CLM) o un PKI interno, è fondamentale collegare questi sistemi direttamente al WAF. Imperva, ad esempio, supporta l'integrazione con DigiCert Trust Lifecycle Manager e Keyfactor Command, facilitando la gestione centralizzata dei certificati.
Le azioni già intraprese da Imperva
Imperva ha anticipato le scadenze industriali, riducendo la validità dei certificati gestiti a 90 giorni con rinnovo e distribuzione completamente automatizzati. Inoltre, la transizione del root GlobalSign da R3 a R46 è gestita tramite un certificato incrociato, garantendo la continuità per i clienti legacy fino al 2029.
La direzione futura della gestione dei certificati
La riduzione della validità dei certificati TLS rappresenta una svolta nella gestione della sicurezza informatica. Le organizzazioni devono adottare un approccio proattivo, configurando sistemi automatizzati che eliminino la necessità di interventi manuali mensili. Questo cambiamento non solo migliora la sicurezza, ma riduce anche il rischio di interruzioni operative.
Domande Frequenti
Quando entreranno in vigore i certificati TLS da 47 giorni?
I certificati TLS da 47 giorni entreranno in vigore dal 15 marzo 2029. Il CA/Browser Forum ha stabilito una transizione graduale con tappe intermedie a 200 giorni (marzo 2026) e 100 giorni (marzo 2027).
Quanto spesso sarà necessario validare il dominio?
La validazione del dominio seguirà lo stesso calendario di riduzione della validità dei certificati: 200 giorni dal marzo 2026, 100 giorni dal marzo 2027 e 10 giorni dal marzo 2029. L'automazione della validazione tramite CNAME è essenziale per gestire questo processo in modo efficiente.
Cosa è necessario fare per i certificati gestiti da Imperva?
Imperva rinnova e distribuisce automaticamente i certificati gestiti, che hanno già una validità di 90 giorni. Gli utenti devono assicurarsi che la validazione del dominio sia automatizzata, spostare i siti SNI da certificati condivisi a certificati dedicati e aggiornare il trust store se si fa pinning a un certificato root specifico.
Cosa accade ai client che non supportano SNI?
I client che non supportano SNI non possono essere serviti con certificati di sito e verranno respinti una volta che il sito passa alla modalità SNI-only. Per identificare questi client prima della transizione, è possibile configurare una regola personalizzata con il filtro hasSNI == false, impostata su Alert.
Nota Editoriale e Disclaimer
Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.
GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.
Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.
Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.