Let's Encrypt: תעודות HTTPS של 6 ימים ותעודות לכתובות IP זמינות לכולם
ב-15 בינואר 2026 הודיעה Let's Encrypt שתעודות בתוקף של 160 שעות ותעודות לכתובות IP זמינות לכולם. הן אופציונליות, ודורשות אוטומציה אמינה של חידוש.
TL;DR בקצרה
- Let's Encrypt הודיעה ב-15 בינואר 2026 שתעודות בנות 160 שעות, כשישה ימים, ותעודות לכתובות IP זמינות לכולם.
- בוחרים בהן דרך הפרופיל shortlived בלקוח ה-ACME. אין תוכנית להפוך אותן לברירת מחדל.
- תעודות IP חייבות להיות קצרות, ומאומתות רק ב-HTTP-01 או ב-TLS-ALPN-01.
- ברירת המחדל של 90 ימים תרד ל-64 ימים ב-10 בפברואר 2027, ול-45 ימים ב-16 בפברואר 2028.
ב-15 בינואר 2026 הודיעה Let's Encrypt, בפוסט הרשמי שלה, שתעודות HTTPS בנות 160 שעות ותעודות לכתובות IP זמינות לכולם. האפשרות כבויה כברירת מחדל. מי שרוצה בה בוחר בפרופיל shortlived בלקוח ה-ACME שלו. Let's Encrypt מדגישה שאין לה תוכנית להפוך את התעודות האלה לברירת המחדל.
מה Let's Encrypt הוסיפה ב-15 בינואר
תעודה קצרת טווח תקפה 160 שעות, קצת מעל שישה ימים. הלקוח צריך לתמוך בפרופילי תעודה, תכונה שמתוארת בטיוטת IETF. בלי תמיכה כזאת אי אפשר לבחור את הפרופיל.
התעודות החדשות מכסות גם כתובות IP, IPv4 ו-IPv6. הן חייבות להשתמש בפרופיל הקצר, כי כתובות IP משתנות בתדירות גבוהה מזו של שמות דומיין. בפרופיל classic, ברירת המחדל, התעודה נשארת בת 90 ימים.
לפי הפוסט המקדים מ-16 בינואר 2025, הבעלות על כתובת IP מוכחת רק ב-HTTP-01 או ב-TLS-ALPN-01. אין אפשרות ל-DNS-01, כי DNS לא משתתף באימות של כתובות IP. אין גם בדיקת CAA לכתובות IP. בפועל, Let's Encrypt צריכה להגיע אל הכתובת מהאינטרנט.
למה Let's Encrypt מעדיפה תעודות קצרות
הסיבה היא ביטול תעודות. Let's Encrypt מגדירה אותו כמערכת לא אמינה. תעודה שנגנבה נשארת סיכון עד שהיא פגה, ועד 90 ימים. בתעודה של שישה ימים החלון הזה מצטמצם. בפוסט המקדים הכותבים מוסיפים שתעודות קצרות מחייבות אוטומציה, ורואים בכך יתרון אבטחה.
במקביל, אורך החיים בברירת המחדל יירד בשנים הקרובות מ-90 ימים ל-45. בלוח שפרסמה Let's Encrypt בדצמבר 2025, ב-13 במאי 2026 הפרופיל tlsserver יקבל תעודות של 45 ימים, כאפשרות לבחירה. ב-10 בפברואר 2027 ברירת המחדל תעבור ל-64 ימים, וב-16 בפברואר 2028 ל-45 ימים. כך דורשות הדרישות הבסיסיות של CA/Browser Forum.
מה צריך לדעת לפני המעבר לתעודות של 6 ימים
Ivan Ristić מ-Feisty Duck כתב ב-29 בינואר 2026 שתעודה של שישה ימים מתחדשת אחרי כארבעה ימים. מרווח הטעות קטן. בבדיקה יומית יש כשלושה ניסיונות חידוש לפני הפקיעה, לעומת כ-30 בתעודה של 90 ימים. לדבריו, צריך כיסוי גם בסופי שבוע.
גם Google Trust Services מנפיקה תעודות קצרות, לפי Help Net Security. עוד אזהרה מ-Ristić: מכשירים עם שעון שגוי עלולים להיכשל, והתעודות הקצרות מחמירות את זה.
הוא מציין גם פער בלקוחות. Certbot 5.2.2 עדיין לא תמך בתעודות IP, והוא השתמש ב-lego עם הפרמטר –profile shortlived. מה קרה מאז: ב-11 במרץ 2026 הוסיפה Let's Encrypt לפוסט עדכון שמפנה למדריך ייעודי ל-Certbot.
מה זה אומר עבורכם
- אל תעברו בכל האתרים: התחילו באתר אחד שהחידוש שלו אוטומטי לגמרי ומנוטר. Let's Encrypt עצמה מגדירה את הפרופיל כלא מתאים לכולם.
- בדקו את הלקוח: הוא צריך לתמוך בפרופילים, ובתעודות IP אם אתם צריכים אותן. ב-29 בינואר 2026 Certbot 5.2.2 עדיין לא תמך בהן.
- הגדירו התראות פקיעה: עם חלון של ימים ספורים, כשל חידוש אחד מספיק כדי להפיל אתר.
- לתעודת IP צריך כתובת נגישה: האימות הוא ב-HTTP-01 או ב-TLS-ALPN-01, ולכן הכתובת צריכה להיות פתוחה לאינטרנט.
- תכננו ל-45 ימים: גם מי שנשאר בפרופיל classic יעבור ל-64 ימים ב-10 בפברואר 2027.
מקורות והרחבה
- 6-day and IP address certificates are now generally availableLet's Encrypt
- Decreasing certificate lifetimes to 45 daysLet's Encrypt
- Plans for 6-day and IP address certificatesLet's Encrypt
- Let's Encrypt rolls out 6-day and IP-based certificatesHelp Net Security
- Feisty Duck Cryptography & Security Newsletter 133: Let's Encrypt's six-day certificates generally availableFeisty Duck
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
