Kısa ömürlü sertifikalar güvenliği artırır, uzun ömürlüler ise operasyonu kolaylaştırır; ancak bu tartışma giderek kısa ömür lehine sonuçlanıyor. Tarayıcıların ve CA/B Forum'un kabul ettiği azami sertifika ömrü kademeli olarak düşürülüyor (398 günden 200, 100 ve ileride 47 güne doğru planlanan takvim). Kesin tarihleri sertifikanızın sipariş sayfasından ve sağlayıcı duyurularından kontrol edin.
Karşılaştırma
| Kriter | 90 gün | 1 yıl (uzun) |
|---|---|---|
| Anahtar ele geçirilme penceresi | Daha dar | Daha geniş |
| Manuel yönetim yükü | Yüksek (otomasyon şart) | Düşük |
| İptal (revocation) bağımlılığı | Daha az | Daha fazla |
| Yenileme unutma riski | Otomasyonsuz yüksek | Düşük ama sonuçları ağır |
Kısa ömrün avantajları
- Çalınan anahtarın kullanılabileceği süre kısalır.
- Kriptografik çeviklik: algoritma ve zincir değişiklikleri daha hızlı yayılır.
- Otomasyon kültürü oluşur.
Uzun ömrün avantajları
- Otomasyon kuramayan eski sistemlerde (ağ cihazları, bazı cihaz yazılımları) daha az dokunuş.
- Kurum içi onay ve değişiklik penceresi kısıtlıysa daha öngörülebilir.
Ne yapmalı?
- Envanter çıkarın ve hangi sistemlerin otomatik yenilenemeyeceğini belirleyin.
- Otomatikleştirilebilenleri ACME ile yenileyin.
- Geri kalanlar için hatırlatma ve kurulum süreci yazın.
openssl x509 -in cert.pem -noout -dates
Ticari sertifikalarda müşteri 1 yıllık bir dönem satın alsa bile, sertifika dosyasının kendisi daha kısa süreli olup dönem içinde yeniden düzenlenebilir (reissue). Seçenekler için SSL sertifikaları ve karar desteği için SSL seçim rehberine bakabilirsiniz.
Sonuç: yön kısa ömre doğru; hazırlık bugünden otomasyonla yapılır.
Geçiş için hazırlık
Sertifika ömrü ne olursa olsun, yenileme sürecini adım adım belgeleyin: kim sorumlu, hangi komut çalışıyor, hata olursa kime haber verilecek. Bu belge, sürenin kısalmasıyla artacak yenileme sayısında ekibi korur. Aynı zamanda sertifika sağlayıcınızın tek sipariş içinde birden fazla düzenlemeye izin verip vermediğini öğrenin.