為什麼 TLS／SSL 憑證有效期縮短至 200 → 100 → 47 天？

廢止機制不可靠且不即時，所以只能讓憑證短命（瀏覽器廠商說法）

憑證是一張離線也能驗證的保證書：憑證簽發之後，CA 無法收回已經發布的「保證聲明」（即憑證本身）。雖然憑證有廢止機制（憑證廢止清冊、OCSP等），但實務上瀏覽器為了效能與隱私，往往不做嚴格的即時檢查，如果瀏覽器查不到憑證目前狀態就會放行客戶端連線。也就是說，一張被不當使用的憑證即使已被廢止，仍會有相當長的時間繼續被瀏覽器接受。既然「收回」機制不可靠，剩下的終極手段就只剩縮短憑證的有效期，使憑證頻繁更新才能讓資訊維持在最新狀態（瀏覽器廠商說法）。

第二個理由是資訊會過期。網域會轉手、公司會改名或結束營業、當初驗證通過的控管權可能早已不成立。憑證有效期越長，記載的內容與現實脫節的機就會越大。

第三個理由是憑證生態系（PKIX）的升級速度。演算法與憑證欄位規範一直在演進（例如後量子演算法的對抗機制），而憑證生態系中有效期最長的憑證，就是任何新規定要完全上路所需等待的時間。憑證有效期 398 日意味著新規定要等待一年多才會全面生效；縮短憑證有效期至 47 日，則代表這段政策上路的等待期被壓縮至一個半月。

範例

一台伺服器主機在年初被入侵、私密金鑰被複製，管理者三個月後才發現並重建主機，但沒有申請憑證廢止（或已廢止憑證，但訪客的瀏覽器並未即時反應）。若私鑰遭破解（複製）的憑證有效期是 398 日，則攻擊者竊取而來的私鑰還有將近十個月可用來架設「憑證完全合法」的假網站；若憑證有效期只剩 47 日，則憑證很快就會失效，相關傷害也能降至最低。

對 CA 而言，最直接的影響就是憑證續約作業從一年一次的例行工作，變成兩個月一次、最終每個月就要做一次。這也是為什麼憑證業界一邊縮短憑證有效期、又一邊推動自動憑證更新環境（Automated Certificate Management Environment，ACME）這類自動更新機制取代現有的人工作業，因為人工作業的憑證更新頻率已經跟不上業界的強迫性規定。當用戶抱怨「為什麼才買不久又要更新憑證」時，業界希望 CA 能引導用戶改用 ACME 自動憑證更新工具，以達成憑證資訊隨時維持在最新狀態的偉大目標。

《基本要求》的規定

第 6.3.2 節把用戶憑證的最長有效期分四個階段逐步縮短：

同節另有兩個容易忽略的細節：每個階段都同時給了「不宜（SHOULD NOT）超過」與「不得（MUST NOT）超過」兩個數字（如現行為 199 日與 200 日）；計算時 1 日以 86,400 秒計，超過即多算 1 日，因此憑證有效期不宜預設就能用滿上限天數。