摘要：公开信任SSL/TLS证书有效期的缩短，涉及CA/Browser Forum基线要求与浏览器等信任方政策，不是某一家CA单独决定。企业应区分行业最长有效期、厂商实际签发期限和商务订阅周期，并据此调整验证、续期与部署，避免把47天误当成当前所有证书的有效期。
买了一年的证书服务，为什么拿到的证书只能用几个月？这类疑问里，通常混着两个期限：购买服务的订阅期，以及某一张证书本身的有效期。
公开信任 TLS 证书的有效期确实在缩短，但不能因此理解为所有 CA 都在自行减少服务。决定行业边界的规则、CA 的实际签发政策和企业订单中的商务安排，需要分开看。
行业规则由谁制定 又由谁执行
CA/Browser Forum 是由证书颁发机构、浏览器及其他相关参与方组成的行业论坛，其服务器证书基线要求规定了公开信任 TLS 证书的相关要求。浏览器等信任方通过自己的根计划和政策，将适用规则纳入对 CA 的信任要求。
CA 在这些要求与自身证书政策下签发证书，也可以采用更短的实际期限。企业购买产品后，能够拿到多长有效期的证书，还需查看相应产品的当前政策，而不是只看行业允许的最大数字。
这套公开信任 TLS 规则不能直接套到所有数字证书。代码签名、邮件证书，以及企业私有 PKI，有各自适用的政策和要求。把一项网站证书变化写成“所有证书都只能用47天”，会误导采购与实施安排。
先看时间表 再看产品实际值
依据当前基线要求，相关阶段的最长有效期如下。表中日期指相应签发日期区间，不是要求所有存量证书在该日立即失效。
| 新签发日期 | 行业最长有效期 |
| 2026年3月15日起 至2027年3月15日前 | 200天 |
| 2027年3月15日起 至2029年3月15日前 | 100天 |
| 2029年3月15日起 | 47天 |
基线要求同时建议采用略低于这些上限的期限，因此会出现199 天与 200 天等不同数字。GlobalSign 中国官网的产品说明列有实际阶段安排；企业应把行业上限与具体产品期限标清楚，不能把两者视为冲突，也不能把某款产品的199天写成全行业统一的硬性上限。
同理，买了一年或更长的订阅，不代表签发一张同样期限的证书。订阅期内如何重新签发、续期以及完成验证，应按产品与合同安排执行。商务服务覆盖一年，线上证书也仍可能需要在这一年里多次更新。
为什么要缩短
证书中的信息和所依赖的安全条件都会变化。域名可能转让，组织资料可能变化，密钥也可能暴露。更短的有效期可以促使系统更频繁地取得更新证书，并减少旧证书长期留在环境中的时间。
但缩短有效期不能替代撤销。如果发现私钥泄露或其他应当撤销的情况，应按要求处理，不能等证书自然到期。它也不会自动修复旧系统和错误部署，更新能力仍然需要企业建立。
需要关注的还不只是证书期限。域名或IP 控制验证资料的允许复用时间，也有相关阶段变化。因此，能够连续完成签发的系统，必须持续具备验证条件。第一次验证成功，不代表以后每一次更新都能跳过验证。
企业真正增加的是更新工作
过去按一年一次安排的申请、审批和部署，不能原封不动地继续使用。证书文件需要更频繁地更新，但采购付款未必需要逐次重复；应把财务订阅与技术更新分开设计。
可以先找出哪些步骤仍依赖特定人员。DNS 验证由谁操作，申请凭据如何维护，新证书经过哪些节点，服务怎样重载，失败由谁接手，都是安排续期频率前需要明确的问题。只把到期提醒提前，无法减少这些重复工作。
管理范围适中的团队，可以评估 TLS Connect 的相应清单与自动化能力；需要集中签发和管理授权的环境，可结合 Atlas 与适用订阅方式安排。具体方案应以实际可接入的服务器和验证流程测试，不能把“支持自动续期”理解为所有设备都会自动更新。
对于暂时不能自动化的系统，应保留可执行的人工更新计划，并在业务窗口允许时完成演练。提前识别例外，比等到期限进一步缩短后才发现有人仍在手工传递文件更有意义。
现在该怎样和业务部门说明
对业务部门，可以明确解释：服务没有因为单张证书变短就只能用几个月，但企业必须持续更新线上证书；实际订阅安排需要核对订单。对技术部门，则要明确每次更新后的验收条件，避免把签发成功当成上线完成。
管理层需要看到的是环境是否已经具备稳定更新能力。可以先选择一类系统执行完整更新，确认验证、签发、部署及访问复测均有人负责，再扩大范围。这样准备的是后续每一次更新，而不仅是应对某一个日期。
FAQ
Q1：现在签发的公开信任TLS证书都只有47天吗？
A：不是。当前规则按签发日期分阶段收紧，47天上限对应2029年3月15日起的阶段。实际证书可能更短，应以产品政策与证书字段为准。
Q2：为什么有人说200天，有人说199天？
A：行业硬性上限与建议或实际签发期限可能不同。基线要求规定该阶段不超过200天，同时建议不超过199天；产品实际值应另行核对。
Q3：买一年订阅，能不能申请一张一年有效的证书？
A：不能仅凭订阅时长判断。单张证书必须符合适用的有效期要求，订阅服务则可按方案覆盖其中多次签发或更新。
Q4：有效期短了，私钥泄露时是否不用撤销？
A：仍要按要求处理撤销和密钥更换。自然到期不能替代已经触发的安全处置义务。
GlobalSign的订阅与更新安排
GlobalSign 提供 SSL/TLS 证书、SAN License 订阅及相应管理方案。企业可以结合实际域名使用和维护环境，分别确认订阅覆盖、证书签发期限以及更新路径；对于已接入管理工具的服务，应持续验证任务执行与线上证书状态，确保商务采购和技术运行衔接。
资料来源
CA/Browser Forum TLS服务器证书基线要求
https://cabforum.org/working-groups/server/baseline-requirements/requirements/
GlobalSign SSL/TLS产品期限说明
https://www.globalsign.cn/shop/organization-ssl