Die Baseline Requirements definieren ein kurzlebiges Subscriber-Zertifikat als ein Zertifikat, das höchstens 10 Tage (864.000 Sekunden) gültig ist, wenn es ab dem 15. März 2024 ausgestellt wurde, und höchstens 7 Tage (604.800 Sekunden), wenn es am oder nach dem 15. März 2026 ausgestellt wurde. Solche Zertifikate müssen weder in CRLs noch in OCSP erscheinen und dürfen die Verweise auf Widerrufsinformationen weglassen, weil der Ablauf das Risiko nach einer Schlüsselkompromittierung begrenzt.
Let's Encrypt hat sein optionales ACME-Profil shortlived (160 Stunden, etwas mehr als sechs Tage) am 15. Januar 2026 allgemein verfügbar gemacht und verlangt es für Zertifikate für IP-Adressen. Private PKIs nutzen schon lange Zertifikate mit Laufzeiten von Stunden oder Tagen für Workloads, etwa SPIFFE-Identitäten, SSH-Benutzerzertifikate und Fulcio von Sigstore, dessen Codesignatur-Zertifikate 10 Minuten gültig sind.
Kurze Laufzeiten funktionieren nur mit einer Automatisierung, die deutlich vor dem Ablauf erneuert und mit Fehlschlägen umgehen kann; mit ACME Renewal Information teilt die CA den Clients mit, wann sie erneuern sollen. Je kürzer die Laufzeiten werden, desto stärker fallen Uhrenabweichungen auf Clients ins Gewicht.