ใบรับรอง SSL/TLS อายุสั้นลงเหลือ 47 วัน: ไทม์ไลน์ 2026-2029 และต้องทำอะไร

ใบรับรอง SSL/TLS ที่ทำให้เว็บขึ้นแม่กุญแจกำลังอายุสั้นลงเป็นขั้น ๆ จาก 398 วันเหลือ 47 วันในปี 2029 ตามมติของ CA/Browser Forum ที่ผ่านเมื่อเมษายน 2025 ขั้นแรกเริ่มไปแล้วเมื่อ 15 มีนาคม 2026 ใครที่ยังต่ออายุด้วยมือปีละครั้ง จะต้องทำถี่ขึ้นเรื่อย ๆ จนทำด้วยมือไม่ไหว บทความนี้สรุปตารางเวลา สิ่งที่ Let’s Encrypt เปลี่ยน และวิธีเช็กว่าเครื่องเราต่ออายุเองจริง

ตรวจข้อเท็จจริงกับ: ประกาศ Ballot SC-081v3 ของ CA/B Forum, บล็อก DigiCert และประกาศของ Let’s Encrypt ณ ตุลาคม 2026 คำสั่งเขียนสำหรับ Ubuntu 24.04 กับ certbot

ทำไมต้องสั้นลง

เหตุผลที่ระบุในมติ SC-081 คือลดความเสี่ยงจากใบที่ออกผิดหรือข้อมูลยืนยันที่เก่าแล้ว และทำให้เปลี่ยนอัลกอริทึมเข้ารหัสได้เร็วขึ้นเมื่อจำเป็น ใบอายุยาวหมายความว่าถ้า key หลุดหรือออกผิด ใบนั้นยังใช้ได้อีกเป็นปี ใบสั้นจึงจำกัดช่วงเวลาที่ใบเสียใช้งานได้

มติผ่านเมื่อ 11 เมษายน 2025 ฝั่งผู้ออกใบ 25 เสียงเห็นด้วย 0 ไม่เห็นด้วย 5 งดออกเสียง ฝั่งเบราว์เซอร์ 4 เสียงเห็นด้วยทั้งหมด

ไทม์ไลน์ SC-081

มีผลตั้งแต่	อายุใบสูงสุด	ใช้ผลยืนยันโดเมนซ้ำได้นานสุด
ก่อน 15 มี.ค. 2026	398 วัน	398 วัน
15 มี.ค. 2026	200 วัน	200 วัน
15 มี.ค. 2027	100 วัน	100 วัน
15 มี.ค. 2029	47 วัน	10 วัน

คอลัมน์ขวาสำคัญไม่แพ้กัน “ผลยืนยันโดเมน” (domain control validation, DCV) คือการพิสูจน์ว่าเราคุมโดเมนนั้นจริง เช่น วางไฟล์บนเว็บหรือใส่ TXT record ใน DNS ปี 2029 ใช้ผลยืนยันซ้ำได้แค่ 10 วัน แปลว่าเกือบทุกครั้งที่ต่อใบ ต้องยืนยันโดเมนใหม่ด้วย ถ้าขั้นนี้ยังทำด้วยมือ ก็ต้องทำอัตโนมัติเหมือนกัน

ตารางนี้เป็นเพดานของทุก CA สาธารณะ ใบที่ซื้อจาก CA แบบเสียเงินก็โดนเหมือนกัน

Let’s Encrypt เปลี่ยนอะไรบ้าง

Let’s Encrypt ออกใบ 90 วันมานานแล้ว ต่ำกว่าเพดานอยู่แล้ว แต่ก็ประกาศลดต่อ

วันที่	profile	อายุใบ	ใช้ผลยืนยันซ้ำ
ปัจจุบัน	classic (ค่าเริ่มต้น)	90 วัน	30 วัน
13 พ.ค. 2026	tlsserver (เลือกใช้เอง)	45 วัน	ไม่ได้ระบุ
10 ก.พ. 2027	classic	64 วัน	10 วัน
16 ก.พ. 2028	classic	45 วัน	7 ชั่วโมง

ฝั่ง staging จะเปลี่ยนก่อน production ราวหนึ่งเดือน และเราจะเห็นใบสั้นลงในรอบต่ออายุแรกหลังแต่ละวันที่

อีกเรื่องที่ใหม่คือ ตั้งแต่ 15 มกราคม 2026 ใบอายุสั้น (profile shortlived) และใบสำหรับ IP address เปิดให้ทุกคนใช้แล้ว

• ใบ shortlived มีอายุ 160 ชั่วโมง หรือราว 6 วันกว่า ต้องเลือกใช้เอง Let’s Encrypt บอกว่ายังไม่มีแผนทำเป็นค่าเริ่มต้น
• ใบสำหรับ IP address (ทั้ง IPv4 และ IPv6) ต้องเป็นใบ shortlived เท่านั้น
• certbot ขอใบ IP ได้ตั้งแต่ 5.3 (webroot ต้อง 5.4 ขึ้นไป) แต่ยังติดตั้งเข้า nginx ให้อัตโนมัติไม่ได้ ต้องชี้ไฟล์ใน /etc/letsencrypt/live/<ip>/ เอง

# ตัวอย่างจาก Let's Encrypt: ขอใบ IP บน staging ก่อน (certbot 5.4+)
sudo certbot certonly --staging \
  --preferred-profile shortlived \
  --webroot --webroot-path /var/www/html \
  --ip-address 192.0.2.10

ตัวอย่างคำนวณ: ต้องต่อกี่ครั้งต่อปี

สมมติดูแลเว็บ 10 โดเมน ต่อด้วยมือครั้งละ 30 นาที (ขอใบ ยืนยันโดเมน ติดตั้ง reload) และใช้กติกาเดียวกันทุกแบบ คือต่อเมื่อใช้ไปราวสองในสามของอายุ (ตัวเลขที่ Let’s Encrypt บอกว่ารับได้)

1. 398 วัน: ต่อทุก 398 × 2/3 ≈ 265 วัน → 365 ÷ 265 ≈ 1.4 ครั้งต่อปีต่อโดเมน
2. 200 วัน (ตอนนี้): ต่อทุก ≈ 133 วัน → 365 ÷ 133 ≈ 2.7 ครั้ง
3. 100 วัน (2027): ต่อทุก ≈ 67 วัน → 365 ÷ 67 ≈ 5.4 ครั้ง
4. 47 วัน (2029): ต่อทุก ≈ 31 วัน → 365 ÷ 31 ≈ 11.8 ครั้ง หรือราว เดือนละครั้ง

รวม 10 โดเมนตอนใบ 47 วัน: 11.8 × 10 = 118 ครั้งต่อปี × 30 นาที = 59 ชั่วโมงต่อปี เทียบกับตอน 398 วัน: 1.4 × 10 × 0.5 = 7 ชั่วโมง งานเดิมโตขึ้นราว 8 เท่า และแค่ลืมครั้งเดียว เว็บก็ขึ้นหน้าเตือนสีแดง

ใบ 6 วันยิ่งชัด 160 × 2/3 ≈ 107 ชั่วโมง คือต่อทุก 4 วันกว่า ไม่มีทางทำด้วยมือ

อายุใบไม่ใช่ปัญหา การต่อด้วยมือคือปัญหา ถ้าเครื่องต่อเองได้ ใบ 47 วันกับ 398 วันแทบไม่ต่างกันในชีวิตจริง

เช็กว่าเครื่องเราต่อเองจริง

บน Ubuntu ถ้าติดตั้ง certbot ด้วย snap หรือ apt จะมี systemd timer ต่ออายุให้ (ชื่อ snap.certbot.renew.timer หรือ certbot.timer แล้วแต่วิธีติดตั้ง) เช็กสามอย่าง

# 1) มี timer และรันล่าสุดเมื่อไร
systemctl list-timers | grep -i certbot

# 2) ลองต่ออายุจริงกับ staging โดยไม่เปลี่ยนใบ
sudo certbot renew --dry-run

# 3) ใบที่เว็บเสิร์ฟอยู่ หมดอายุวันไหน
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -enddate

ข้อ 3 สำคัญกว่าที่คิด ใบในดิสก์ต่อแล้ว ไม่ได้แปลว่าเว็บเสิร์ฟใบใหม่ ถ้า nginx ไม่ได้ reload ใบเก่ายังอยู่ในหน่วยความจำ ให้ certbot reload ให้ทุกครั้งที่ต่อสำเร็จ

# ตั้ง deploy hook ให้ใบที่มีอยู่ (ทำครั้งเดียว ค่าถูกเก็บใน renewal config)
sudo certbot reconfigure --cert-name example.com \
  --deploy-hook "systemctl reload nginx"

แล้วตั้งแจ้งเตือนเมื่อใบเหลือน้อยกว่า 14 วัน ใช้วิธีเดียวกับ บอทเฝ้าเซิร์ฟเวอร์ส่ง Telegram ได้ เอาคำสั่งข้อ 3 ไปคำนวณจำนวนวันที่เหลือ ถ้าเลยเกณฑ์ให้ส่งข้อความ ใบต่ออายุไม่สำเร็จจะเงียบเสมอ จนวันที่มันหมด

งานที่ต้องเตรียมก่อนปี 2029

• ย้ายการยืนยันโดเมนเป็นอัตโนมัติ ถ้าใช้ DNS-01 ต้องให้เครื่องแก้ TXT record เองผ่าน API ของผู้ให้บริการ DNS Let’s Encrypt บอกว่ากำลังทำวิธีใหม่ชื่อ DNS-PERSIST-01 ร่วมกับ CA/B Forum และ IETF ตั้ง TXT ครั้งเดียวไม่ต้องแก้ทุกรอบ คาดว่าจะมีในปี 2026
• เลิก cron ที่ต่อทุก 60 วันตายตัว Let’s Encrypt บอกตรง ๆ ว่ารอบแบบนี้จะไม่พอเมื่อใบเหลือ 45 วัน ใช้ client ที่รองรับ ACME Renewal Information (ARI) หรือต่อเมื่อใช้ไปสองในสามของอายุ
• นับใบที่ติดตั้งด้วยมือ ใบที่ copy ไปวางบน load balancer, อุปกรณ์ network, หรือแอปที่ไม่ได้อ่านจาก /etc/letsencrypt คือจุดที่จะหมดอายุเงียบ ๆ

เมื่อ HTTPS ต่ออายุเองได้แล้ว อย่าลืมตั้ง HSTS และหัวความปลอดภัยอื่น ดูใน security headers บน nginx

ข้อผิดพลาดที่เจอบ่อย

• ต่อใบแล้วไม่ reload ใบใหม่อยู่ในดิสก์ แต่เว็บยังเสิร์ฟใบเก่าจนหมดอายุ
• ทดสอบกับ production ซ้ำ ๆ จนชน rate limit ใช้ --dry-run หรือ --staging ตอนทดลอง
• ไม่มีใครได้อีเมลเตือน อีเมลที่ลงทะเบียนตอนขอใบเป็นของคนที่ลาออกไปแล้ว ตั้งแจ้งเตือนของเราเองดีกว่า
• ใบสำหรับ IP แล้วใช้ปลั๊กอิน nginx ณ ตุลาคม 2026 certbot ยังติดตั้งใบ IP ให้ nginx/apache ไม่ได้ ต้องใช้ certonly แล้วตั้ง path เอง
• ลืมว่า staging เปลี่ยนก่อน ถ้าระบบทดสอบใช้ staging จะเจอใบสั้นลงก่อน production ราวเดือนหนึ่ง เป็นโอกาสดีที่จะเห็นปัญหาก่อน

แหล่งอ้างอิง

• Ballot SC081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods — CA/Browser Forum
• 6-day and IP Address Certificates are Generally Available — Let’s Encrypt
• Decreasing Certificate Lifetimes to 45 Days — Let’s Encrypt
• Six-Day and IP Address Certificates Available in Certbot — Let’s Encrypt
• TLS Certificate Lifetimes Will Officially Reduce to 47 Days — DigiCert
• CA/Browser Forum and 47 Days: Everything you need to know — AppViewX