ÃÛÌÒTV

Il CA/Browser Forum ha ufficialmente per impostare un programma per accorciare sia la durata dei certificati TLS che la riutilizzabilità delle informazioni convalidate CA nei certificati. Gli impatti dei primi utenti della votazione avverranno nel marzo 2026.

La votazione è stata a lungo discussa nel CA/Browser Forum e ha attraversato diverse versioni, integrando il feedback delle autorità di certificazione e dei loro clienti. Il periodo di votazione si è concluso l’11 aprile 2025, chiudendo un capitolo fortemente contestato e consentendo al mondo dei certificati di pianificare ciò che verrà in seguito.

Il nuovo programma per la durata del certificato TLS

La nuova votazione ha come obiettivo la validità del certificato di 47 giorni, rendendo ±ô’a³Ü³Ù´Ç³¾²¹³ú¾±´Ç²Ô±ð essenziale. Prima di questa proposta avanzata da Apple, Google ha promosso una durata massima di 90 giorni, ma hanno votato a favore della proposta di Apple quasi immediatamente dopo l’inizio del periodo di votazione.

Ecco il programma:

• La durata massima del certificato viene ridotta:

  • Da oggi fino al 15 marzo 2026, la durata massima per un certificato TLS è di 398 giorni.
  • A partire dal 15 marzo 2026, la durata massima per un certificato TLS sarà di 200 giorni.
  • A partire dal 15 marzo 2027, la durata massima per un certificato TLS sarà di 100 giorni.
  • A partire dal 15 marzo 2029, la durata massima per un certificato TLS sarà di 47 giorni.

  Ìý

• Il periodo massimo durante possono essere riutilizzate il quale le informazioni di convalida del dominio e dell’indirizzo IP si riduce:

  • da oggi fino al 15 marzo 2026, il periodo massimo durante il quale le informazioni di convalida del dominio possono essere riutilizzate è di 398 giorni.
  • A partire dal 15 marzo 2026, il periodo massimo durante il quale le informazioni di convalida del dominio possono essere riutilizzate è di 200 giorni.
  • A partire dal 15 marzo 2027, il periodo massimo durante il quale le informazioni di convalida del dominio possono essere riutilizzate è di 100 giorni.
  • A partire dal 15 marzo 2029, il periodo massimo durante il quale le informazioni di convalida del dominio possono essere riutilizzate è di 10 giorni.

• A partire dal 15 marzo 2026, le validazioni delle informazioni sull’identità del soggetto (SII) possono essere riutilizzate solo per 398 giorni, in calo rispetto a 825. SII è il nome della società e altre informazioni che si trovano in un certificato OV (Organization Validated) o EV (Extended Validation), ovvero tutto tranne il nome di dominio o l’indirizzo IP protetto dal certificato. Ciò non influisce sui certificati DV (Domain Validated), che non dispongono di SII.

  Ìý

Perché 47 giorni?

47 giorni potrebbero sembrare un numero arbitrario, ma è una semplice diminuzione:

• 200 giorni = 6 mesi massimi (184 giorni) + 1/2 mese di 30 giorni (15 giorni) + 1 giorno per avere margine di manovra
• 100 giorni = 3 mesi massimi (92 giorni) + ~1/4 di un mese di 30 giorni (7 giorni) + 1 giorno per avere margine di manovra
• 47 giorni = 1 mese massimo (31 giorni) + 1/2 mese di 30 giorni (15 giorni) + 1 giorno per avere margine di manovra

La giustificazione di Apple per il cambiamento

Nella scheda elettorale, Apple adduce molte argomentazioni a favore dei cambiamenti, una delle quali merita di essere evidenziata. Afferma che il CA/B Forum ha dichiarato al mondo per anni, riducendo costantemente la durata massima, che ±ô’a³Ü³Ù´Ç³¾²¹³ú¾±´Ç²Ô±ð è essenzialmente obbligatoria per una gestione efficace del ciclo di vita dei certificati.

Nella votazione si sostiene che le validità più brevi sono necessarie per molte ragioni, la più importante è questa: le informazioni nei certificati stanno diventando sempre meno affidabili nel tempo, un problema che può essere mitigato solo con la riconvalida frequente delle informazioni.

Nella votazione si sostiene inoltre che il sistema di revoca che utilizza CRL e OCSP è inaffidabile. In effetti, i browser spesso ignorano queste funzionalità. La votazione prevede una lunga sezione sui fallimenti del sistema di revoca del certificato. Una validità più breve riduce gli effetti dell’utilizzo di certificati potenzialmente revocati. Nel 2023, il CA/B Forum ha portato questa filosofia a un altro livello approvando certificati di breve durata, che scadono entro 7 giorni e che non richiedono il supporto di CRL o OCSP.

Chiarire la confusione sulle nuove regole

Due punti sulle nuove regole potrebbero causare confusione:

1. i tre anni per i cambiamenti delle regole sono il 2026, il 2027 e il 2029, ma vi è un divario di due anni tra la seconda serie di anni.
2. A partire dal 15 marzo 2029, la validità massima per un certificato TLS sarà di 47 giorni, ma il periodo massimo durante il quale le informazioni di convalida del dominio possono essere riutilizzate è di soli 10 giorni. Sarà ancora tecnicamente possibile effettuare la riconvalida manuale, ma ciò comporterebbe un rischio di fallimento e di interruzioni.

In qualità di autorità di certificazione, una delle domande più comuni che i nostri clienti ci rivolgono è se la sostituzione dei certificati con maggiore frequenza comporti un costo maggiore. La risposta è no. Il costo si basa su un abbonamento annuale e ciò che abbiamo imparato è che, una volta che gli utenti adottano ±ô’a³Ü³Ù´Ç³¾²¹³ú¾±´Ç²Ô±ð, spesso si spostano volontariamente verso cicli di sostituzione dei certificati più rapidi.

Per questo motivo, poiché anche le riduzioni dei certificati a 100 giorni applicata nel 2027 renderanno insostenibili le procedure manuali, prevediamo una rapida adozione del±ô’a³Ü³Ù´Ç³¾²¹³ú¾±´Ç²Ô±ð molto prima delle modifiche del 2029.

La dichiarazione di Apple sulla gestione automatizzata del ciclo di vita dei certificati è indiscutibile, ma è qualcosa a cui ci stiamo preparando da tempo. ÃÛÌÒTV offre molteplici soluzioni di automazione attraversoÌýTrust Lifecycle ManagerÌýeÌýCertCentral, incluso il supporto per ACME.ÌýL’ACME di ÃÛÌÒTV consente ±ô’a³Ü³Ù´Ç³¾²¹³ú¾±´Ç²Ô±ð dei certificati DV, OV ed EV; inoltre, include il supporto per le informazioni di rinnovo ACME (ARI).

Contattaci per ulteriori informazioni su come sfruttare al meglio ±ô’a³Ü³Ù´Ç³¾²¹³ú¾±´Ç²Ô±ð.

Gli ultimi sviluppi della Digital Trust

Desideri maggiori informazioni su argomenti come la gestione dei certificati, ±ô’a³Ü³Ù´Ç³¾²¹³ú¾±´Ç²Ô±ð e TLS/SSL? Iscriviti al blog di ÃÛÌÒTV per conoscere sempre le ultime novità.