Dal 10 febbraio 2027 i certificati Let's Encrypt scenderanno a 64 giorni. Le PMI devono aggiornare i processi di rinnovo per evitare blocchi ai siti web e ai servizi aziendali.
Il 7 ottobre 2026, l'organizzazione non profit Internet Security Research Group (ISRG), responsabile della gestione dell'autorità di certificazione Let's Encrypt, ha comunicato un cambiamento strutturale per le infrastrutture web. A partire dal 10 febbraio 2027, la durata predefinita dei certificati digitali TLS e SSL scenderà dagli attuali 90 giorni a 64 giorni. Questa modifica per Let's Encrypt validità 64 giorni impatta direttamente i server delle PMI, i siti web, le piattaforme di commercio elettronico e i gestionali ERP accessibili da remoto. Se i processi di rinnovo automatico non verranno aggiornati per tempo, i browser bloccheranno la navigazione restituendo errori specifici come "SEC_ERROR_EXPIRED_CERTIFICATE" e "NET::ERR_CERT_DATE_INVALID". Per prevenire l'interruzione dei servizi, i responsabili IT devono aggiornare i client ACME e rimuovere i parametri fissi dagli script di automazione.
Sintomi del mancato rinnovo e messaggi d'errore
Nelle aziende italiane, i certificati gratuiti vengono spesso implementati su centralini VoIP, reti VPN e server web con logiche di tipo "imposta e dimentica". Il problema principale di questo approccio emerge quando il processo di rinnovo fallisce. Let's Encrypt ha recentemente dismesso l'invio delle notifiche e-mail di avviso di scadenza. Questo significa che è stato eliminato ogni allarme preventivo per chi non monitora costantemente la propria infrastruttura IT. Il risultato per l'azienda è il blocco immediato dell'accesso ai servizi da parte di clienti e dipendenti. Quando un utente tenta di accedere a un servizio con certificato scaduto, i browser impediscono il caricamento della pagina. Su Mozilla Firefox compare il messaggio "SEC_ERROR_EXPIRED_CERTIFICATE", mentre Google Chrome e Microsoft Edge mostrano l'avviso "NET::ERR_CERT_DATE_INVALID". Senza un intervento tecnico, il servizio rimane inaccessibile.
Chi è coinvolto dal cambio del profilo "classic"
La transizione riguarda i sistemi che utilizzano il protocollo ACME (Automated Certificate Management Environment) e i client di gestione più diffusi, tra cui Certbot, acme.sh, Lego, Caddy e Traefik, oltre alle appliance firewall e ai NAS a marchio Synology. Il cambio di validità si applica unicamente al profilo di certificato predefinito, denominato "classic". I profili opzionali già operativi, ovvero "tlsserver" (con validità di 45 giorni) e "shortlived" (con validità di 6 giorni), resteranno invece invariati.
Il rischio operativo per le PMI deriva dalla matematica dei rinnovi. Se uno script sul server è programmato per tentare il rinnovo ogni 60 giorni, oppure 30 giorni prima della scadenza dei vecchi 90 giorni, con la nuova durata a 64 giorni la finestra di recupero si riduce a soli 4 giorni. In questo margine ristretto, qualsiasi inconveniente temporaneo rischia di far scadere il certificato prima del successivo tentativo pianificato. Tra gli imprevisti più comuni figurano un errore DNS, le credenziali API scadute o un riavvio fallito del server web, come Nginx o Apache. Inoltre, il periodo di riutilizzo dell'autorizzazione del dominio (authorization reuse) passa da 30 a 10 giorni.
Cosa fare per gestire la validità a 64 giorni
Per evitare disservizi, è necessario intervenire sui processi di rinnovo seguendo questi passaggi verificabili:
- Aggiornare i client ACME: La soluzione definitiva consiste nell'aggiornare software come Certbot alle versioni che implementano l'estensione ARI (ACME Renewal Information). Con ARI, è l'infrastruttura stessa di Let's Encrypt a indicare al client il momento esatto in cui richiedere il rinnovo. Questo meccanismo esenta inoltre la richiesta dai limiti di frequenza (rate limit).
- Modificare le logiche di controllo: Configurare l'automazione in modo che la verifica avvenga su base percentuale, precisamente a circa due terzi della durata del certificato. Su un ciclo di 64 giorni, il rinnovo dovrebbe scattare intorno al 42° giorno, abbandonando l'uso di date fisse.
- Ispezionare gli script (soluzione temporanea): Se i software o le appliance in uso non supportano ancora ARI, è necessario ispezionare gli script personalizzati e le attività pianificate (cron job, script Bash o PowerShell). Utilizzando il comando
grep -rnw, l'amministratore deve cercare parametri fissi o valori hardcoded come "60", "80" o "83", che rappresentano i giorni di attesa o le soglie prima della scadenza, e rimuovere queste condizioni rigide. - Aumentare la frequenza di esecuzione: Impostare l'esecuzione automatica del comando di verifica (ad esempio
certbot renew) due volte al giorno o quotidianamente. In questo modo, sarà il client a gestire correttamente la finestra di rinnovo standard quando il certificato si avvicina alla scadenza.
Calendario e test in ambiente staging
Le aziende hanno tempo per adeguare i propri sistemi prima dell'entrata in vigore definitiva. Dal 14 ottobre 2026, la validità a 64 giorni sarà attiva nell'ambiente di collaudo (staging). È fondamentale testare la procedura puntando l'ambiente di prova verso gli endpoint di staging di Let's Encrypt per confermare la corretta emissione e il riavvio del servizio. Il passaggio in produzione avverrà il 10 febbraio 2027, e l'ultimo certificato a 90 giorni scadrà l'11 maggio 2027. La riduzione a 64 giorni rappresenta un passaggio intermedio: il 16 febbraio 2028 è programmato il dimezzamento a 45 giorni, conforme ai futuri standard di settore stabiliti dal CA/Browser Forum. In quella data, il riutilizzo delle autorizzazioni scenderà ulteriormente a 7 ore, annullando di fatto la necessità del controllo separato noto come "CAA rechecking".
