Ballot SC-081v3 des CA/Browser Forums, angenommen am 11. April 2025, legt den Zeitplan nach Ausstellungsdatum fest: 398 Tage vor dem 15. März 2026; 200 Tage ab dem 15. März 2026; 100 Tage ab dem 15. März 2027; 47 Tage ab dem 15. März 2029. Daten der Domain-Validierung dürfen 200 Tage lang wiederverwendet werden, später 100 und ab dem 15. März 2029 nur noch 10 Tage; Daten zur Identität der Organisation 398 Tage. Bei der Gültigkeit zählen beide Enden mit, und eine zusätzliche Sekunde zählt als ganzer Tag.
Zur Geschichte: 2012 wurden die Laufzeiten auf 60 Monate begrenzt, danach auf 39 Monate (2015), 825 Tage (2018) und 398 Tage (September 2020, zuerst von Apple durchgesetzt). Dahinter stehen eine schnellere Schlüsselrotation, das raschere Aussortieren fehlerhafter Validierungen und das Ziel, den Widerruf weniger wichtig zu machen.
Für die Praxis heißt das: Eine manuelle Erneuerung einmal im Jahr ist nicht mehr praktikabel, ACME oder eine API des Anbieters schon. Let's Encrypt plant, sein Standardprofil classic am 10. Februar 2027 von 90 auf 64 Tage und am 16. Februar 2028 auf 45 Tage zu verkürzen. Der Laufzeitrechner für Zertifikate zeigt die Grenze, die für ein bestimmtes Ausstellungsdatum gilt.