公開TLS証明書の有効期間は、決まったスケジュールで大きく短くなっていきます。最大有効期間はかつて398日でしたが、2026年3月から200日になり（現在ここ）、2027年3月に100日、2029年3月には47日になります。決めたのは2025年4月のCA/Browser Forumで、Appleが提案しSectigo・Google Chrome・Mozillaが賛同したballot SC-081v3が、認証局25票賛成・反対0で可決されました。
単純計算で、年1回だった更新は年8回程度になります（365 ÷ 47 ≈ 7.8。実際には期限より前に更新するのでもう少し多くなります）。更新のたびに何かが静かに失敗する機会があるので、運用リスクも同じ倍率で増えます。
スケジュールの全体像
短くなるのは証明書の有効期間だけではありません。見落とされがちですが、ドメイン検証の再利用期間も同じスケジュールで短縮されます。
| 適用日 | 最大有効期間 | ドメイン検証の再利用期間 |
|---|---|---|
| 〜2026年3月14日 | 398日 | 398日 |
| 2026年3月15日〜（現在） | 200日 | 200日 |
| 2027年3月15日〜 | 100日 | 100日 |
| 2029年3月15日〜 | 47日 | 10日 |
この再利用期間の短縮は、影響が小さくありません。現在は、ドメインの管理権をいちど証明すれば、認証局はその結果を後続の発行に再利用できます。2029年3月以降は再利用が10日までになるため、実質的に発行のたびにドメイン検証をやり直すことになります。6週間ごとにDNSレコードを手で置いたりチャレンジファイルを設置したりする運用は現実的ではないので、更新だけでなく検証そのものの自動化が必要になります（なお、OV証明書の組織情報については別枠で、再利用期間が825日から398日に短縮されます）。
業界がこれを進める理由
鍵の漏洩や誤発行への公式な対処は失効（revocation）ですが、ブラウザの規模ではCRLもOCSPもベストエフォートでしか機能しないのが実情です。有効期間を短くするのは力技ですが確実な代替手段で、何が起きても短期間で自然に無効になります。アルゴリズムやポリシーの変更をエコシステム全体に速く行き渡らせられる利点もあります。賛否はあるにせよ、認証局25対0・ブラウザ全会一致で可決済みで、上の日付どおりに進みます。
各段階で何が壊れるか
200日（現在）の時点で、年1回の更新スケジュールはすでに成立しません。年2回の手動更新なら、まだ対応できます。ただ、更新通知が退職者宛てのままだった、一部の証明書だけ自動化から漏れていた、更新は成功したのにデプロイが失敗していた、といった定番の失敗を踏む機会は単純に倍になります。
100日（2027年3月〜）では、更新が四半期ごとのルーチンになります。手作業がたまのイベントではなく日常の雑務になり、ミスも起きやすくなります。
47日+検証再利用10日（2029年3月〜）では、手動運用は実質的に終わりです。ネットワークアプライアンスや、証明書を手動で入れているロードバランサ、長年誰も触っていない社内ツールのような自力で更新できないものは、置き換えるか自動化の仕組みの背後に移さない限り、定期的に止まるようになります。
移行チェックリスト
- 棚卸しをする。外部からTLSを提供している全エンドポイント（サブドメイン、メールサーバー、API）をスキャンし、内部・組み込みの証明書も加える。事故は「存在を忘れられていた証明書」から起きます
- 発行を自動化する。可能な場所はACME、無理な場所はプラットフォーム管理の証明書（CDN・ロードバランサ・PaaS）。どちらもできない機器は、置き換えるか手前に終端プロキシを立てる計画を
- デプロイも自動化する。証明書の取得と配信は別物です。リロード、各インスタンスへの配布、CDNの切り替えまで含めて自動化が必要です
- パイプラインの外から監視する。更新ジョブの成功ログは、ユーザーに実際に配信されている証明書について何も保証しません。外形チェック、段階的なアラート、通知先は個人ではなくチームのチャンネルに
- マイルストーンをエンジニアリングの締め切りとして扱う。2027年3月と2029年3月は、個人のカレンダーではなくインフラのロードマップに入れる項目です
Certly の場合
Certly はこのうち監視の部分を担当します。サーバーが実際に配信している証明書を外からチェックし、期限の30/14/7/1日前にメール・Slack・Discord・Webhookへ段階的に通知します。有効期間が短くなっても独立した外形チェックの価値は変わりません。むしろ更新回数が増えるぶん、パイプラインが静かに壊れる瞬間も増えます。登録不要の無料チェッカーで、いまの証明書の残り日数を確認できます。
関連記事
- 証明書運用のプロでも期限切れは起こる — nii.ac.jp の事例 — 国内で最も証明書運用に詳しい機関のひとつで起きた期限切れ
- gigafile.nu はなぜ突然消えたのか — ドメインは別の壊れ方をし、期限監視ではそれも捕捉できない