Les Baseline Requirements définissent un certificat d’abonné de courte durée comme un certificat valide au plus 10 jours (864 000 secondes) s’il est émis à partir du 15 mars 2024, et au plus 7 jours (604 800 secondes) s’il est émis le 15 mars 2026 ou après. Ces certificats n’ont pas à figurer dans les CRL ni dans OCSP et peuvent omettre les pointeurs de révocation, car l’exposition après une compromission de clé est bornée par l’expiration.
Let’s Encrypt a mis son profil ACME shortlived, proposé sur option (160 heures, un peu plus de six jours), en disponibilité générale le 15 janvier 2026, et l’impose pour les certificats d’adresse IP. Les PKI privées utilisent depuis longtemps des certificats valables une heure ou une journée pour les charges de travail, par exemple les identités SPIFFE, les certificats utilisateur SSH et Fulcio de Sigstore, dont les certificats de signature de code sont valides 10 minutes.
Des durées de vie courtes ne fonctionnent qu’avec une automatisation qui renouvelle bien avant l’expiration et gère les échecs ; les informations de renouvellement ACME (ACME Renewal Information) permettent à l’AC d’indiquer aux clients quand renouveler. Le décalage d’horloge des clients compte davantage à mesure que les durées de vie raccourcissent.