Certificados Let's Encrypt de 45 Dias: Cronograma e Como se Preparar

Introdução#

A Let's Encrypt está reduzindo a validade de seus certificados de 90 para 45 dias. A mudança será implementada gradualmente entre 2026 e 2028, e não é apenas uma decisão da Let's Encrypt: o CA/Browser Forum já votou para limitar todos os certificados TLS de confiança pública a 47 dias até março de 2029. Para equipes que gerenciam centenas ou milhares de domínios, a renovação deixa de ser uma tarefa periódica e passa a ser algo que precisa funcionar sozinho.

Se sua equipe ainda faz renovações de SSL manualmente, vocês estão prestes a sentir a pressão. O que eram quatro ciclos de renovação por ano passa a ser oito. O que era uma tarefa trimestral administrável torna-se um fardo operacional contínuo. O cronograma já está em andamento, e as equipes de infraestrutura que se prepararem agora navegarão pela transição sem problemas. As que não se prepararem enfrentarão maior risco de indisponibilidade e uma sobrecarga operacional crescente.

Este guia cobre as datas exatas, o que muda nas renovações, como a automação ACME se compara ao gerenciamento manual de certificados e uma lista de verificação para domínios de redirecionamento e estacionados, que são os certificados mais frequentemente esquecidos.

O anúncio: a Let's Encrypt passa de certificados de 90 dias para 45 dias#

Em dezembro de 2025, a Let's Encrypt anunciou que reduzirá a validade dos certificados de 90 para 45 dias em etapas, além de encurtar por quanto tempo uma validação de domínio (autorização) pode ser reutilizada. As mudanças se aplicam aos certificados emitidos recentemente, então você verá a validade menor na sua próxima renovação após cada data.

A Let's Encrypt emite certificados de 90 dias desde seu lançamento, numa época em que a maioria dos certificados comerciais durava um ano ou mais. Validades curtas tinham o objetivo de levar todos à automação. A mudança para 45 dias dá continuidade a isso e segue o cronograma setorial abaixo.

O impacto prático é simples: todo domínio protegido pela Let's Encrypt precisará renovar o certificado com o dobro da frequência. Para organizações que já automatizaram o processo de renovação, a transição pode ser tranquila. Para equipes que dependem de processos manuais ou fluxos de trabalho semiautomatizados, o impacto operacional será significativo.

Por que isso está acontecendo: melhor prática de segurança — limitar a janela de comprometimento#

Validades mais curtas de certificados são, fundamentalmente, uma melhoria de segurança. Cada certificado TLS representa um possível vetor de ataque. Se a chave privada de um certificado for comprometida, um invasor pode se passar pelo domínio legítimo até o certificado expirar ou ser revogado. Quanto maior a validade do certificado, maior permanece essa janela de comprometimento.

Certificados de quarenta e cinco dias reduzem essa janela pela metade em comparação com o padrão atual de 90 dias. Se uma chave for comprometida no primeiro dia, a exposição máxima é de 45 dias em vez de 90. Na prática, a exposição costuma ser menor, mas o limite importa — especialmente para organizações que talvez não detectem um comprometimento imediatamente.

Também há o argumento da revogação. A revogação de certificados por meio de CRLs e OCSP historicamente tem sido pouco confiável. Os navegadores nem sempre verificam o status de revogação de forma consistente, e certificados revogados às vezes continuam sendo confiáveis. Prazos de validade mais curtos reduzem a dependência da infraestrutura de revogação. Se um certificado só vive 45 dias, revogá-lo se torna menos crítico — ele expirará em breve de qualquer forma.

Há muito tempo a comunidade de segurança defende prazos de validade mais curtos para certificados. A mudança da Let's Encrypt coloca em prática o que pesquisadores de segurança vêm recomendando há anos.

Não é só a Let's Encrypt: a regra de 47 dias do CA/Browser Forum#

Em 2025, o CA/Browser Forum, o órgão de autoridades certificadoras e fabricantes de navegadores que define as regras para certificados TLS públicos, adotou a proposta SC-081v3. Ela reduz, em três etapas, o tempo máximo de validade de todo certificado de confiança pública, de qualquer CA, incluindo DigiCert, Sectigo e GlobalSign, e encurta por quanto tempo a validação de domínio pode ser reutilizada:

Portanto, se você comprar hoje certificados comerciais de um ano, eles já estão limitados a 200 dias e seguirão a mesma trajetória até 47. Prazos de validade curtos agora são a regra para toda a web, não uma peculiaridade de uma única CA gratuita.

Cronograma da Let's Encrypt: as datas que importam#

Cada mudança chega ao ambiente de staging do Let's Encrypt cerca de um mês antes da produção, para que você possa testar primeiro sua configuração nele.

A reutilização de autorização por 7 horas é a mudança que pega as pessoas de surpresa. Hoje, um domínio validado uma vez pode ser reemitido por semanas sem validar novamente. A partir de 2028, quase toda renovação precisará de uma nova validação, então o registro DNS ou o desafio HTTP ainda precisa funcionar no momento da renovação, e não apenas no dia em que você configurou o domínio.

O Let's Encrypt também oferece um perfil de curta duração com certificados de 6 dias para equipes que querem ir além.

O prazo prático é o seu cronograma de renovação. O Let's Encrypt diz que um intervalo fixo de renovação de 60 dias já não é suficiente. Use o ACME Renewal Information (ARI) se o seu cliente o suportar, pois ele permite que a CA lhe diga quando renovar; se não suportar, renove por volta de dois terços da vida útil do certificado.

O que 45 dias realmente significam: 8 ciclos de renovação por ano vs. 4 atualmente#

A matemática é simples, mas o impacto operacional não é. Mudar de certificados de 90 dias para 45 dias significa:

A frequência de renovação dobra. Em vez de quatro ciclos de renovação por ano por domínio, você estará lidando com oito. Para uma equipe que gerencia 100 domínios, isso representa 800 eventos de renovação por ano em vez de 400. Para equipes que gerenciam milhares de domínios, os números se tornam inadministráveis sem automação total.

As janelas de renovação encolhem. Com certificados de 90 dias, renovar 30 dias antes da expiração deixa uma margem confortável. Com certificados de 45 dias, renovar com dois terços da vida útil deixa cerca de 15 dias para perceber e corrigir uma falha.

A tolerância a falhas diminui. Com certificados de 90 dias, uma falha na renovação lhe dá semanas para investigar e resolver antes da expiração. Com certificados de 45 dias, você tem dias. Cada falha de renovação é mais urgente, e seu monitoramento precisa ser mais responsivo.

O rate limiting passa a ser uma preocupação. O Let's Encrypt impõe limites de taxa na emissão de certificados. Dobrar a frequência de renovação significa consumir o dobro do orçamento de limite de taxa. Equipes próximas dos seus limites com certificados de 90 dias podem atingi-los com certificados de 45 dias e precisar ajustar seus padrões de emissão.

Em resumo: processos de renovação manuais ou semiautomatizados que mal funcionavam com 90 dias falharão com 45 dias. A automação total já não é opcional.

Quem Isso Afeta Mais: Equipes que Gerenciam 100+ Domínios com Processos Manuais de SSL#

A era dos certificados de 45 dias não afeta toda a gente da mesma forma. Veja quem sente o maior impacto:

Investidores de domínios e gestores de portefólios. Equipas que gerem centenas ou milhares de domínios estacionados, redirecionados ou monetizados enfrentam a maior carga operacional. Cada domínio precisa do seu próprio certificado. A renovação manual nesta escala já era penosa aos 90 dias. Aos 45 dias, não é viável.

Agências que gerem domínios de clientes. As agências digitais ხშირად gerem SSL para dezenas ou centenas de domínios de clientes. Cada cliente pode usar infraestrutura diferente, processos de renovação diferentes e níveis de automação diferentes. O prazo de 45 dias amplifica todas as inconsistências nos seus fluxos de renovação.

Plataformas de e-commerce com várias lojas. Operações de e-commerce com várias marcas executam domínios পৃথ distintos para cada marca, cada região e cada campanha. A quantidade de certificados multiplica-se rapidamente, e a carga de renovação também.

Plataformas SaaS com domínios personalizados. Produtos SaaS que permitem aos clientes trazer os seus próprios domínios normalmente tratam do provisionamento de SSL como parte do onboarding. Com certificados de 45 dias, a infraestrutura de renovação precisa de ser impecável — uma falha de renovação para o domínio de um cliente significa que o site mostrará um aviso de segurança.

Equipas com renovação totalmente automatizada baseada em ACME podem nem sentir a mudança. A vida útil do certificado fica abstraída pela infraestrutura que renova automaticamente. A linha divisória é a automação — se o seu processo de renovação envolve uma pessoa a verificar um painel ou a executar um script, está do lado errado disso.

A Lacuna de Prontidão Empresarial#

Muitas equipas automatizaram certificados há anos e nunca mais olharam para isso. As lacunas aparecem nos mesmos sítios:

certificados acompanhados numa folha de cálculo em vez de monitorizados, scripts de renovação que alguém tem de acionar, alertas de expiração a irem para uma caixa de entrada que ninguém lê e domínios que apenas redirecionam, por isso ninguém pensa neles como tendo um certificado sequer.

A lacuna de prontidão é maior nas organizações que adotaram o Let's Encrypt cedo, mas nunca automatizaram totalmente o seu pipeline de renovação. Configuraram o Certbot em alguns servidores há cinco anos, adicionaram uma tarefa cron e não voltaram a rever a configuração desde então. Essas tarefas cron podem correr a cada 60 dias — o que não será frequente o suficiente para certificados de 45 dias.

Audite agora, enquanto ainda tem certificados de 90 dias como margem de segurança: liste todos os certificados, confirme que cada um é renovado automaticamente e teste o que acontece quando uma renovação falha.

ACME vs gestão manual de certificados#

Checklist para redirecionamento e domínios estacionados#

Domínios que apenas redirecionam são fáceis de esquecer, mas um visitante que digita https:// ainda precisa de um certificado válido antes que o redirecionamento possa acontecer. Antes das datas de 2027 e 2028:

1. Liste todos os domínios que redirecionam, incluindo marcas antigas, domínios com erros de digitação e domínios de campanha, além da raiz e do www.
2. Para cada um, anote quem emite o certificado e como ele é renovado. "O encaminhamento do registrador" muitas vezes significa nenhum HTTPS.
3. Verifique se cada cliente ACME suporta ARI ou renova em dois terços da vida útil, e não em um cronômetro fixo de 60 dias.
4. Certifique-se de que a validação ainda funciona no momento da renovação: o DNS ainda aponta para onde o desafio HTTP é respondido, ou as credenciais do desafio DNS ainda funcionam.
5. Configure o monitoramento de expiração para enviar alertas a um canal compartilhado, não à caixa de entrada de uma única pessoa.
6. Teste com o ambiente de testes do Let's Encrypt antes de cada alteração em produção.

Ou retire totalmente os domínios de redirecionamento da sua lista, migrando-os para uma plataforma de redirecionamento que emite e renova HTTPS para cada domínio que atende.

Conclusão#

A era dos certificados de 45 dias está chegando, e não se trata apenas de uma mudança de política do Let's Encrypt — é uma mudança em todo o setor rumo a períodos de validade mais curtos, impulsionada pelas melhores práticas de segurança. Para equipes corporativas, a linha divisória entre as que sentirão o impacto e as que não sentirão é simples: automação.

Se o seu pipeline de renovação de SSL for totalmente automatizado por meio do ACME — se os certificados renovarem, instalarem e verificarem sem intervenção humana — você talvez nem perceba a mudança, além de atualizar um parâmetro de configuração. Se o seu processo de renovação envolver etapas manuais, planilhas ou scripts acionados por pessoas, o cronograma de 45 dias exporá todas as falhas da sua infraestrutura.

Os passos práticos são diretos: audite seu inventário de certificados, verifique a cobertura de automação, teste cenários de falha na renovação e garanta que o monitoramento detecte expirações antes que os usuários vejam avisos do navegador. As equipes que fizerem isso agora — antes que o prazo diminua — atravessarão a transição sem incidentes.

Gerencia domínios de redirecionamento? Veja como redirecionar um domínio via HTTPS sem erros de certificado.