数字证书的有效期由其接受组织确定，通常符合 CA/浏览器论坛、证书颁发机构 (CA)、Internet 浏览器软件供应商和使用 X.509 v.3 的其他应用程序的供应商的自愿团体给出的建议 SSL/TLS、代码签名和 S/MIME 的数字证书。

这些有效期已随时间调整，并且很可能会继续更改。当软件或网站收到过期的证书时，将无法对其进行身份验证并拒绝接受，从而导致严重的运营中断。

下面，我们将介绍什么是数字证书、它的好处、有效期、如何知道它们何时过期、如何修复过期的证书等等。

什么是数字证书？

数字证书是一种文件，它通过使用公钥密码术和公钥基础设施 (PKI) 来证明电子系统（例如设备、服务器或用户）的真实性。

通过为设备和用户建立这种识别方法，组织可以确保其网络安全。一种流行的数字证书类型是 SSL 证书，它用于向 Web 浏览器确认网站的真实性。

数字证书包含可识别信息，例如域名、组织、位置和设备信息（例如 IP 地址或序列号）。它们包含与证书持有者的数字签名相对应的公钥副本。这必须与相应的私钥相匹配，以验证它是真实的以及证书中的信息是准确的。

证书颁发机构 (CA) 基于此密钥对颁发的公钥证书用于签署证书以验证请求设备或用户的身份。没有正确的加密密钥，这种配对是不可能的。

您可能知道的两种常见数字证书是：

• TLS/SSL 证书
• 代码签名证书

除非另有说明，否则本文将讨论 TLS/SSL 证书。

好处及其使用方法

数字证书对想要提高网络安全并满足任何必要法规的多种类型的实体都是有益的。这些证书的主要用户可以分为个人、组织和网站等类别。

要颁发这些证书，CA 需要通过证书签名请求向他们提供某些信息。一旦此信息得到验证，就会使用密钥对其进行签名，并将证书颁发给请求者。

然后可以使用此证书来验证所有者的身份，确保所有者在客户端身份验证期间实际拥有公钥，或提供网站的凭据。这对于许多类型的数字交易都很重要。消费者更有可能将他们的信用卡信息提供给可以向其浏览器/端点证明其身份的网站。他们隐含地理解他们的敏感信息受到保护，并且该网站正在加密私人数据。

数字签名证书也有助于保护物联网 (IoT) 设备。这些设备连接到许多不同的网络服务器和网站，以完成消费者依赖它们的自动化操作。证书证明了这些设备的身份，因此它们无需人工输入即可完成任务。

数字证书会过期吗？

数字证书的有效期对于每种证书都是特定的。目前，代码签名证书的有效期最长为三年，而 SSL 证书的有效期仅为一年多一点。

什么决定有效期

最终，接受证书的组织确定有效期。这些通常与 CA/浏览器论坛的建议一致。

CA/浏览器论坛开会就各种问题进行投票，通常侧重于一组颁发可信数字证书的基线要求。 CA/浏览器论坛不是管理机构，没有执法能力。接受者有最终决定权，可以比组织提出的建议更严格或更不严格。

数字证书的一个有趣方面是证书的生命周期，包括最长有效期，不是由颁发者而是由接受者决定的，接受者的关注点和政策通过投票过程由 CA/浏览器论坛反映。接受者是构建事物的组织，例如操作系统和浏览器。他们专注于保护最终用户信息而不是组织流程。因此，微软和谷歌等公司更愿意直接拒绝不符合其标准的证书并暂时拒绝访问，而不是简单地接受所有证书。

TLS/SSL 证书有效期

从 2020 年 9 月开始，传输层安全 (SSL/TLS) 证书的签发期限不得超过 13 个月（397 天）。 Apple 在 CA/Browser 论坛上首先宣布了这一变化。

2015年之前，您可以获得有效期最长为五年的证书。这在 2015 年减少到三年，然后在 2018 年减少到两年。在 2019 年底，CA/浏览器论坛提出了一项将有效期减少到一年的投票，但被否决了。次年，Apple 改变了政策，否决了这一决定。

传统上，扩展验证 (EV) 证书与域验证 (DV) 或组织验证 (OV) 证书具有不同的到期日期和证书管理流程，但 SSL 证书的有效期是相同的。

我如何知道我的 TLS/SSL 证书何时到期？

受信任的公共 CA 颁发的所有 SSL 证书将在其颁发日期后 397 天后过期。在它们过期之前更新它们中的任何一个是很重要的。等待会对组织及其客户造成严重的干扰。证书到期日期由其颁发者明确传达，每个证书都有自己的证书更新过程。

CA 通常会在到期日期之前提供通知，因此最好在收到第一个通知时更新您的证书，以防止证书中断。

通常，证书更新申请人需要重新验证旧证书中包含的他们希望在新证书中看到的部分信息。此过程类似于原始发行过程。

证书过期如何修复？

证书颁发机构具有撤销过期证书的机制。这是通过所谓的证书撤销列表 (CRL) 完成的，它允许 CA 跟踪已过期或因任何原因被撤销的证书。

要更新您的证书，您可能需要重新验证信息，这通常可以通过 WoTrus 的证书管理器等 CA 平台来完成。

较短有效期的好处

较短的有效期允许算法更改产生更大的影响。例如，几年前，SHA-1 已被弃用，取而代之的是 SHA-2。当时的证书有效期为数年，通常为三年或更长时间。由于散列算法是在生成证书而不是使用证书时选择的，这意味着某些证书需要数年时间才能使用新的、更安全的算法。使用过时的算法加密数据可能会暴露关键信息。

较短的有效期为这个问题提供了一个很好的解决方法，因为算法更改可以在续订时自动实施，从而使采用的等待时间可以忽略不计。