Redução do prazo dos certificados SSL continua avançando

A era dos certificados SSL/TLS com validade de um ano está com os dias contados. Em abril de 2025, o CA/Browser Forum — o consórcio que reúne autoridades certificadoras e os principais fabricantes de navegadores, como Apple, Google, Mozilla e Microsoft — aprovou por unanimidade um cronograma que vai encurtar progressivamente o tempo de vida desses certificados até chegar a apenas 47 dias em 2029.

A proposta, batizada de Ballot SC-081v3, partiu da Apple e recebeu apoio imediato de Google, Mozilla e Microsoft, numa votação de 25 votos a favor e nenhum contra. O resultado prático é que o que hoje é uma renovação anual de rotina vai se transformar, nos próximos anos, em um processo quase mensal.

O cronograma da mudança

A redução acontece em etapas, dando tempo para empresas e provedores se adaptarem:

• Até 15 de março de 2026: validade máxima permanece em 398 dias.
• A partir de 15 de março de 2026: cai para 200 dias.
• A partir de 15 de março de 2027: reduz para 100 dias.
• A partir de 15 de março de 2029: chega ao mínimo de 47 dias.

Certificados emitidos antes de cada data de corte continuam válidos até a expiração original — a nova regra vale apenas para emissões feitas a partir de cada marco do calendário. Algumas autoridades certificadoras, como a DigiCert, optaram por antecipar os prazos em um dia (por exemplo, 397 em vez de 398) como margem de segurança para não ultrapassar o limite permitido.

A reutilização da validação de domínio (DCV) e da validação de dados da organização (usada em certificados OV e EV) segue o mesmo ritmo de redução, indo de um ciclo anual para semestral, depois trimestral, até praticamente mensal em 2029.

Por que essa mudança está acontecendo

O racional por trás da decisão é reduzir a chamada “janela de exploração” em caso de comprometimento. Se a chave privada de um certificado for roubada ou vazada, um invasor pode explorá-la até a expiração do certificado. Com um certificado de 398 dias, essa janela pode passar de um ano; com um certificado de 47 dias, ela cai para menos de sete semanas.

Há também um motivo estrutural: os mecanismos tradicionais de revogação de certificados, como CRL e OCSP, são lentos e nem sempre são verificados corretamente pelos navegadores, o que gera sobrecarga numa infraestrutura global com bilhões de certificados ativos. Certificados mais curtos reduzem a dependência desses mecanismos, já que simplesmente expiram antes que a revogação se torne necessária.

Vale lembrar que essa não é a primeira redução da história. O ciclo de vida dos certificados públicos já foi de até quatro anos, caiu para três, depois para 825 dias em 2018, e para 398 dias em 2020. A mudança atual é apenas o próximo capítulo de uma tendência que já dura mais de uma década.

O que muda na prática para empresas

Para o usuário final, a navegação não muda em nada — sites continuarão exibindo o cadeado normalmente. O impacto real recai sobre times de TI e infraestrutura, que precisarão:

• Migrar de processos manuais de emissão e instalação para fluxos automatizados, usando protocolos como o ACME (o mesmo usado pelo Let’s Encrypt).
• Revisar a gestão de certificados OV e EV, já que a validação da organização também precisará ser refeita com mais frequência.
• Monitorar prazos de expiração com mais rigor, já que uma falha na renovação — que antes dava uma folga de meses — passará a ter uma margem de erro muito menor.

Empresas que ainda dependem de planilhas ou lembretes manuais para controlar renovações tendem a sentir o maior impacto operacional. Quem já usa automação (via ACME, por exemplo) praticamente não notará diferença, já que o processo de emissão e instalação passa a ocorrer de forma transparente e recorrente.

Conclusão

A redução do prazo dos certificados SSL/TLS é uma tendência consolidada e sem volta: o cronograma já está definido oficialmente pelo CA/Browser Forum, com apoio unânime dos principais navegadores do mercado. Qualquer autoridade certificadora que não cumprir essas regras corre o risco de ter sua confiança removida dos navegadores, o que tornaria todos os seus certificados inválidos automaticamente — um forte incentivo para que toda a cadeia se adapte dentro do prazo.

Para empresas e administradores de sistemas, a mensagem é clara: a automação da emissão e renovação de certificados deixou de ser um “nice to have” e se tornou um requisito básico de operação a partir de 2026.

admin