ベースライン要件は、短期の加入者証明書を、2024年3月15日以降に発行されたものでは有効期間が最長 10 日（864,000 秒）、2026年3月15日以降に発行されたものでは最長 7 日（604,800 秒）の証明書と定義しています。こうした証明書は CRL や OCSP に掲載する必要がなく、失効情報の参照先を省略できます。鍵が危殆化した後のリスクは、有効期限によって限定されるからです。
Let's Encrypt は、オプトイン方式の ACME プロファイル shortlived（160 時間、6 日強）を 2026年1月15日に一般提供し、IP アドレス証明書にはこのプロファイルを必須としています。プライベート PKI では以前から、ワークロード向けに有効期間が数時間や数日の証明書が使われてきました。たとえば SPIFFE の ID、SSH のユーザー証明書、そしてコード署名証明書の有効期間が 10 分である Sigstore の Fulcio です。
有効期間を短くできるのは、期限切れのかなり前に更新し、失敗にも対処する自動化がある場合だけです。ACME 更新情報を使うと、CA は更新すべき時期をクライアントに伝えられます。有効期間が短くなるほど、クライアント側の時刻のずれが問題になります。