Guida completa alla transizione ai certificati TLS da 64 giorni di Let’s Encrypt

Let’s Encrypt, l’autorità di certificazione gratuita e open source ampiamente utilizzata per proteggere i siti web con HTTPS, ha annunciato che ridurrà la validità predefinita dei suoi certificati TLS da 90 a 64 giorni a partire dal 10 febbraio 2027. Questo cambiamento mira a migliorare la sicurezza del web riducendo il tempo durante il quale certificati compromessi o emessi erroneamente possono essere utilizzati.

La riduzione della validità dei certificati è utile per gli amministratori di siti web che desiderano mantenere un elevato livello di sicurezza. In particolare, questa modifica è rilevante per chi gestisce siti web e utilizza certificati TLS per garantire connessioni sicure.

• Amministratori di siti web: Per chi gestisce siti web, questa guida è essenziale per prepararsi alla transizione verso certificati più brevi, garantendo che i siti rimangano sicuri e accessibili.
• Sviluppatori: Per chi sviluppa soluzioni di sicurezza web, comprendere questi cambiamenti è cruciale per aggiornare le configurazioni e garantire che i certificati siano rinnovati tempestivamente.
• Esperti di sicurezza informatica: Per chi si occupa di sicurezza informatica, questa guida fornisce le informazioni necessarie per valutare l’impatto dei certificati a vita più breve e adattare le strategie di sicurezza di conseguenza.

Prerequisiti

• Sistema operativo: Un sistema operativo compatibile con l'utilizzo di Let's Encrypt, come Linux, Windows o macOS.
• ACME client: Un client ACME supportato, come Certbot, per gestire i certificati TLS.
• Autorizzazione di dominio: Accesso amministrativo ai domini per cui si desidera ottenere i certificati.
• Ambiente di staging: Accesso all'ambiente di staging di Let's Encrypt per testare le configurazioni prima del passaggio alla produzione.
• Strumenti di automazione: Strumenti per l'automatizzazione del rinnovo dei certificati, come cron jobs o script personalizzati.

Procedura per prepararsi alla riduzione della validità dei certificati Let's Encrypt

Alla fine di questa guida, sarai in grado di preparare il tuo sistema per la riduzione della validità dei certificati Let's Encrypt da 90 a 64 giorni.

• Verifica se il tuo client ACME supporta ACME Renewal Info (ARI). Se lo supporta, non saranno necessarie ulteriori azioni.
• Se il tuo client ACME non supporta ARI, aggiorna il tuo client ACME all'ultima versione.
• Se utilizzi cron jobs o script con intervalli di rinnovo hardcoded, esegui i seguenti passaggi:

• Apri i tuoi script di rinnovo o i file di configurazione.
• Cerca valori hardcoded come 83, 80 o 60 giorni.
• Sostituisci questi valori con un intervallo di rinnovo basato su due terzi della validità del certificato.

• Se il tuo ACME client dipende dal riutilizzo di autorizzazioni di dominio precedenti, preparati a modificare la tua configurazione per adattarti alla riduzione del periodo di riutilizzo da 30 giorni a 10 giorni.
• Testa il tuo setup di rinnovo nell'ambiente di staging di Let's Encrypt prima del 14 ottobre 2026.

Verifica e Troubleshooting

Testare il funzionamento

• Verifica l'ambiente di staging: A partire dal 14 ottobre 2026, utilizza l'ambiente di staging di Let's Encrypt per testare il rinnovo dei certificati da 64 giorni. Questo ti permetterà di verificare che il tuo setup sia pronto per la transizione.
• Controlla i certificati esistenti: Assicurati che i certificati attualmente in uso siano validi fino alla loro data di scadenza. I certificati emessi prima del 10 febbraio 2027 manterranno la loro validità originale.
• Verifica l'automazione del rinnovo: Se utilizzi strumenti di rinnovo automatico, controlla che funzionino correttamente e che siano configurati per gestire certificati con una validità più breve.

Risoluzione dei problemi

• Configurazioni hardcoded: Se utilizzi cron jobs o script con intervalli di rinnovo fissi, aggiorna le configurazioni per rinnovare i certificati dopo circa due terzi della loro validità. Controlla e rimuovi valori hardcoded come 83, 80 o 60 giorni.
• ACME Renewal Info (ARI): Assicurati che il tuo client ACME supporti ARI. Questo ti permetterà di ricevere notifiche quando i certificati devono essere rinnovati, invece di dipendere da schemi fissi.
• Autorizzazioni di dominio: Se il tuo client ACME dipende dal riutilizzo di autorizzazioni di dominio precedenti, preparati a gestire il cambio di validità da 30 giorni a 10 giorni (e poi a 7 ore nel 2028).
• Monitoraggio e log: Verifica i log dei rinnovi per identificare eventuali errori o avvisi. Assicurati che i rinnovi avvengano senza interruzioni e che i certificati siano emessi correttamente.

Se riscontri problemi durante il test o il rinnovo, consulta la comunicazione ufficiale di Let's Encrypt per ulteriori dettagli e supporto.

Sintesi didattica e invito alla pratica

Alla fine di questa guida, avrai compreso le modifiche imminenti ai certificati Let’s Encrypt e i passi necessari per adattare la tua infrastruttura.

• Preparazione immediata: Verifica se il tuo ACME client supporta ACME Renewal Info per semplificare il processo di rinnovo.
• Aggiornamento delle configurazioni: Controlla e modifica eventuali cron jobs o script con intervalli di rinnovo fissi, sostituendoli con un approccio basato su due terzi della validità del certificato.
• Monitoraggio futuro: Tieni d’occhio le ulteriori riduzioni della validità dei certificati previste per il 2028, che porteranno la durata a 45 giorni.

Inizia ora a pianificare le modifiche necessarie per garantire una transizione fluida e mantenere la sicurezza del tuo sito web.