Quanti certificati TLS rinnovi ancora a mano, con un promemoria in calendario? Oggi, con una durata massima di 398 giorni, è una seccatura annuale. Fra quattro anni diventerà un lavoro mensile, e chi non si organizza prima finirà per scoprirlo da un browser che mostra una pagina di errore ai clienti.
Ad aprile il CA/Browser Forum, che riunisce autorità di certificazione e produttori di browser, ha approvato senza voti contrari il ballot SC-081, che riduce per gradi la durata massima dei certificati TLS pubblici:
- dal 15 marzo 2026, massimo 200 giorni;
- dal 15 marzo 2027, massimo 100 giorni;
- dal 15 marzo 2029, massimo 47 giorni, con il riutilizzo della validazione del dominio ridotto a 10 giorni.
In pratica ogni certificato andrà rinnovato circa una volta al mese e il controllo del dominio andrà ripetuto spesso. A mano non è realistico.
Il segnale di Let’s Encrypt
Let’s Encrypt, che emette certificati da 90 giorni, dal 4 giugno ha smesso di inviare le email di avviso sulla scadenza. Il motivo dichiarato è che la grande maggioranza degli utenti ha già un rinnovo automatico affidabile. Se contavi su quelle email come rete di sicurezza, la rete non c’è più.
Su ogni server serve un client ACME, come certbot o acme.sh, con il rinnovo programmato e verificato. Non basta rinnovare: web server, proxy e server di posta devono caricare il nuovo certificato senza che nessuno li riavvii a mano. Poi ci sono i certificati sparsi, quelli che nessuno ricorda: bilanciatori, appliance, pannelli di gestione, dispositivi di rete. Per i certificati wildcard serve la validazione DNS, quindi un provider DNS con API.
L’automazione, però, può fallire in silenzio. Una regola del firewall cambiata, un record DNS spostato, un servizio che non si riavvia, e il rinnovo salta senza che nessuno se ne accorga. Un controllo esterno che verifichi la scadenza dei certificati esposti e ti avvisi con anticipo resta indispensabile.
Per le prossime settimane, prova così. Fai l’inventario di tutti i certificati, interni ed esterni, e segna quelli rinnovati a mano: sono i primi da automatizzare. Poi forza un rinnovo su un server di prova e guarda se tutti i servizi prendono il nuovo certificato da soli. Se devi intervenire tu, hai trovato il prossimo lavoro da fare.
