Certificati SSL/TLS più brevi: nel 2026 la durata massima scende a 200 giorni

La durata dei certificati SSL nel 2026 è cambiata. Dal 15 marzo 2026 un certificato TLS pubblicamente trusted non può avere una validità superiore a 200 giorni, contro i 398 giorni consentiti in precedenza.

Ma questo è soltanto il primo passaggio.

Dal 15 marzo 2027 la durata massima scenderà a 100 giorni e dal 15 marzo 2029 arriverà ad appena 47 giorni.

Il cambiamento interessa Certificate Authority, provider hosting, sysadmin, sviluppatori e aziende che gestiscono grandi quantità di domini.

Per l’utente finale, però, la conseguenza più importante è un’altra: il rinnovo manuale dei certificati TLS sta diventando progressivamente meno sostenibile.

Automazione, ACME e sistemi come AutoSSL diventano quindi componenti sempre più importanti dell’infrastruttura web.

Durata certificati SSL 2026: cosa cambia dal 15 marzo

Le nuove regole sono contenute nei Baseline Requirements del CA/Browser Forum, l’organizzazione che definisce i principali requisiti applicabili ai certificati TLS pubblicamente riconosciuti dai browser.

La riduzione avviene in tre fasi:

Il limite riguarda i nuovi certificati emessi a partire dalle rispettive date.

Un certificato già emesso prima dell’entrata in vigore della nuova soglia non viene improvvisamente accorciato: continuerà a essere valido fino alla propria data di scadenza.

200 giorni è un limite massimo, non la nuova durata standard

Questo punto è fondamentale.

Dire che nel 2026 i certificati possono durare al massimo 200 giorni non significa che tutti i certificati dureranno 200 giorni.

Una Certificate Authority può scegliere una validità inferiore.

Let’s Encrypt, per esempio, utilizza storicamente certificati con una durata standard di 90 giorni.

Nel 2026 questi certificati sono quindi già ampiamente al di sotto del nuovo limite massimo previsto dal CA/Browser Forum.

La vera differenza si nota soprattutto per le CA e per i workflow che in passato utilizzavano certificati prossimi a un anno di validità.

Perché i certificati SSL stanno diventando più brevi?

La riduzione della durata fa parte di una tendenza iniziata da diversi anni.

In passato era possibile utilizzare certificati con validità di più anni.

Successivamente il limite è stato progressivamente ridotto fino a circa 13 mesi e ora il settore sta procedendo verso certificati ancora più brevi.

Uno dei principali vantaggi è la riduzione della finestra temporale durante la quale un certificato compromesso, configurato in modo errato o associato a informazioni non più valide può continuare a essere utilizzato.

Certificati più brevi permettono inoltre di aggiornare più rapidamente l’ecosistema crittografico.

Quando cambiano algoritmi, requisiti o informazioni di validazione, una durata inferiore permette di sostituire più velocemente le vecchie emissioni.

Dal 2027 il limite scenderà a 100 giorni

Il passaggio del 2026 rappresenta soltanto una fase intermedia.

Dal 15 marzo 2027 i certificati TLS pubblicamente trusted non potranno superare i 100 giorni.

A quel punto anche organizzazioni abituate a certificati semestrali dovranno aumentare notevolmente la frequenza dei rinnovi.

Un certificato rinnovato manualmente una volta all’anno diventa quindi un modello operativo sempre meno realistico.

Dal 2029 il limite sarà di soli 47 giorni

Il cambiamento più rilevante arriverà il 15 marzo 2029.

Da quella data il massimo previsto dai Baseline Requirements sarà:

47 giorni.

Questo significa che un certificato potrebbe dover essere sostituito più di sette volte in un anno.

A quel punto l’automazione non sarà più soltanto una comodità.

Diventerà praticamente una necessità operativa per qualsiasi infrastruttura che gestisce un numero significativo di domini.

La validazione del dominio diventa più frequente

Non cambia soltanto la durata del certificato.

Anche il periodo durante il quale una precedente Domain Control Validation può essere riutilizzata viene progressivamente ridotto.

È interessante notare che dal 2029 i due valori non saranno uguali:

• certificato → massimo 47 giorni;
• riutilizzo della validazione → massimo 10 giorni.

Questo significa che la dimostrazione del controllo del dominio dovrà essere effettuata con maggiore frequenza.

Cos’è la Domain Control Validation

La Domain Control Validation, spesso abbreviata in DCV, è il processo attraverso il quale la Certificate Authority verifica che chi richiede il certificato controlli realmente il dominio.

La verifica può avvenire attraverso differenti metodi, per esempio:

• HTTP;
• DNS;
• meccanismi ACME;
• altri metodi ammessi dai requisiti della CA.

Se la validazione fallisce, il certificato non può essere emesso o rinnovato.

Su Xlogic abbiamo una guida specifica dedicata all’errore AutoSSL DCV failed in cPanel.

Perché ACME diventa sempre più importante

ACME, Automatic Certificate Management Environment, è il protocollo utilizzato per automatizzare emissione e rinnovo dei certificati.

Il concetto è semplice.

Invece di:

generare manualmente una CSR
↓
richiedere il certificato
↓
attendere la validazione
↓
scaricare il certificato
↓
installarlo
↓
ripetere tutto alla scadenza

un client ACME può gestire automaticamente il ciclo:

richiesta
↓
validazione
↓
emissione
↓
installazione
↓
rinnovo

Quando i certificati duravano molti mesi, un processo manuale poteva ancora essere gestibile per pochi domini.

Con certificati da 100 o 47 giorni questo approccio diventa molto più fragile.

AutoSSL e cPanel

Negli ambienti cPanel la gestione può essere automatizzata attraverso AutoSSL.

AutoSSL controlla periodicamente i certificati presenti sugli account e tenta di sostituirli prima della scadenza.

La documentazione ufficiale cPanel descrive AutoSSL come il sistema che installa automaticamente certificati Domain Validated e ne gestisce il rinnovo.

Su cPanel moderno il provider AutoSSL utilizzato nelle versioni recenti è Let’s Encrypt.

Questo significa che l’utente non deve normalmente ricordarsi manualmente la data di scadenza di ogni singolo certificato.

Per controllare lo stato è possibile utilizzare:

cPanel → Security → SSL/TLS Status

La documentazione ufficiale è disponibile nella Guide to SSL di cPanel.

Cosa cambia per chi usa AutoSSL?

Per un sito ospitato su un’infrastruttura nella quale il rinnovo è già completamente automatizzato, il passaggio a certificati più brevi dovrebbe essere molto meno traumatico rispetto a un sistema manuale.

L’automazione continuerà a:

• monitorare i certificati;
• eseguire la validazione;
• richiedere una nuova emissione;
• installare il nuovo certificato;
• sostituire quello precedente.

Il proprietario del sito deve però assicurarsi che la validazione possa continuare a funzionare.

Un certificato automatico non può essere rinnovato se DNS, CAA o configurazioni esterne impediscono alla CA di verificare il dominio.

Certificati più brevi significano più rinnovi

Riducendo la durata aumenta naturalmente il numero delle emissioni.

Con un certificato da circa un anno poteva essere sufficiente un rinnovo annuale.

Con 100 giorni possono essere necessarie diverse emissioni ogni anno.

Con 47 giorni il numero cresce ulteriormente.

Questo rende molto più importante verificare che il processo di rinnovo sia realmente autonomo.

Un sistema che funziona soltanto quando un tecnico esegue manualmente un comando non può essere considerato completamente automatizzato.

Let’s Encrypt e la transizione verso certificati da 45 giorni

Let’s Encrypt ha già annunciato un proprio percorso di riduzione della durata.

La CA prevede di portare progressivamente i certificati standard dagli attuali 90 giorni a 45 giorni.

Il piano annunciato prevede:

• 45 giorni già disponibili attraverso profili ACME specifici per early adopter;
• 64 giorni per il profilo standard dal febbraio 2027;
• 45 giorni per il profilo standard dal febbraio 2028.

In questo modo Let’s Encrypt arriverà al nuovo modello prima dell’obbligo generale dei 47 giorni previsto per marzo 2029.

Il piano completo è disponibile nell’articolo ufficiale Decreasing Certificate Lifetimes to 45 Days.

Perché Let’s Encrypt passa a 45 giorni se il limite sarà 47?

Il limite del CA/Browser Forum rappresenta il massimo consentito.

Una CA può scegliere una durata inferiore.

Utilizzare 45 giorni invece di 47 lascia inoltre un piccolo margine operativo rispetto al limite massimo previsto dagli standard.

Lo stesso principio vale già oggi: i requisiti consentono fino a 200 giorni, ma Let’s Encrypt continua normalmente a utilizzare certificati molto più brevi.

ACME Renewal Information: rinnovi più intelligenti

Aumentando la frequenza dei rinnovi diventa importante evitare che milioni di client provino a rinnovare contemporaneamente.

Per questo l’ecosistema ACME sta adottando anche ACME Renewal Information, spesso abbreviato in ARI.

ARI permette alla Certificate Authority di suggerire al client una finestra temporale appropriata nella quale effettuare il rinnovo.

Il client può quindi distribuire meglio le richieste nel tempo.

Let’s Encrypt sta utilizzando ARI anche per rendere più affidabile la gestione di infrastrutture che amministrano quantità molto elevate di certificati.

Cosa succede se il rinnovo automatico fallisce?

Certificati più brevi riducono anche il tempo disponibile per accorgersi di un problema.

Le cause tipiche di un rinnovo fallito possono comprendere:

• DNS errati;
• record A verso un altro server;
• record AAAA non corretto;
• CAA che non autorizza la CA;
• Cloudflare o proxy configurato in modo errato;
• redirect incompatibili con la validazione;
• firewall;
• dominio non più presente nel virtual host;
• DNSSEC non valido.

Xlogic ha pubblicato una procedura dedicata ad AutoSSL che non si rinnova: DNS, CAA e Cloudflare.

CAA e rinnovo dei certificati

Il record DNS CAA permette al proprietario del dominio di indicare quali Certificate Authority sono autorizzate a emettere certificati.

Se il record è configurato in modo incompatibile con la CA utilizzata dal sistema AutoSSL, l’emissione può fallire.

Per esempio, un dominio che utilizza Let’s Encrypt deve consentire la CA prevista dalla propria configurazione.

Prima di modificare CAA bisogna però capire quali servizi stanno utilizzando certificati sul dominio.

Rimuovere record alla cieca non è una procedura consigliata.

Cloudflare sostituisce il certificato del server?

Non necessariamente.

Quando un dominio utilizza il proxy Cloudflare esistono normalmente due collegamenti TLS differenti:

Visitatore
↓ HTTPS
Cloudflare
↓ HTTPS
Server origin

Cloudflare presenta un certificato al visitatore.

Il server origin deve comunque avere una configurazione TLS corretta quando viene utilizzata una modalità come Full (strict).

Questo significa che un certificato valido sulla rete Cloudflare non elimina automaticamente la necessità di gestire correttamente quello presente sul server origin.

Certificati commerciali: cosa cambia?

La riduzione della durata riguarda anche i certificati pubblicamente trusted emessi dalle CA commerciali soggette ai Baseline Requirements.

Il cambiamento non riguarda quindi soltanto Let’s Encrypt.

Chi acquista certificati con durata commerciale annuale potrebbe continuare a sottoscrivere un servizio pluriennale, ma questo non significa che venga emesso un singolo certificato tecnicamente valido per più anni.

Il servizio può comprendere riemissioni periodiche entro i limiti consentiti.

Bisogna quindi distinguere:

durata del contratto commerciale

da:

durata tecnica del singolo certificato.

Un certificato più breve rende HTTPS più veloce?

No.

La durata del certificato non rende direttamente TLS più veloce.

Le prestazioni HTTPS dipendono da altri fattori, per esempio:

• TLS 1.3;
• session resumption;
• HTTP/2;
• HTTP/3;
• latency;
• rete;
• CPU;
• configurazione del web server.

Abbiamo approfondito l’evoluzione del trasporto nella guida Xlogic dedicata a HTTP/3 e QUIC nel 2026.

Durata breve e revoca dei certificati

Una validità inferiore riduce il periodo durante il quale un certificato può continuare a essere utilizzato senza essere sostituito.

Questo è particolarmente interessante nei casi in cui:

• una chiave privata viene compromessa;
• il dominio cambia proprietario;
• una configurazione non è più valida;
• la CA deve modificare le proprie procedure;
• cambiano requisiti crittografici.

Certificati più brevi non eliminano completamente la necessità dei meccanismi di revoca, ma riducono la finestra temporale nella quale un certificato rimane utilizzabile.

Sysadmin e provider: cosa bisogna controllare

Per chi gestisce server con centinaia o migliaia di domini il cambiamento richiede soprattutto un controllo dell’automazione.

È utile verificare:

1. quali certificati vengono ancora installati manualmente;
2. quali domini utilizzano AutoSSL o ACME;
3. quali certificati hanno renewal automatico funzionante;
4. eventuali certificati wildcard;
5. CAA;
6. DNS esterni;
7. Cloudflare e reverse proxy;
8. monitoraggio delle scadenze;
9. alert in caso di fallimento;
10. procedure di rinnovo dei certificati dei servizi interni.

L’obiettivo dovrebbe essere eliminare progressivamente i workflow che dipendono dalla memoria di un operatore.

Cosa cambia per il normale proprietario di un sito?

Se il sito utilizza un hosting nel quale SSL viene già gestito automaticamente, probabilmente cambierà molto poco dal punto di vista quotidiano.

Il browser continuerà a mostrare HTTPS.

Il certificato continuerà a essere sostituito periodicamente.

La frequenza delle emissioni aumenterà, ma il processo avverrà dietro le quinte.

Il problema nasce quando l’automazione non funziona.

Con certificati sempre più brevi, lasciare irrisolto un problema di rinnovo per settimane diventerà molto più rischioso.

SSL gratuito sugli hosting Xlogic

Sugli hosting Xlogic compatibili, i certificati SSL vengono gestiti automaticamente attraverso l’infrastruttura prevista dal servizio.

Per maggiori informazioni è disponibile la guida della Knowledge Base su come ottenere un certificato SSL gratuito.

Il vantaggio di un sistema automatico diventerà ancora più evidente man mano che la durata massima dei certificati continuerà a ridursi.

Checklist per prepararsi ai certificati più brevi

1. Verifica che tutti i certificati pubblici vengano rinnovati automaticamente.
2. Controlla periodicamente SSL/TLS Status.
3. Verifica A, AAAA e nameserver.
4. Controlla eventuali CAA.
5. Verifica configurazioni Cloudflare.
6. Controlla che la DCV funzioni.
7. Configura alert sui fallimenti di rinnovo.
8. Evita procedure basate esclusivamente su rinnovi manuali.
9. Utilizza ACME quando disponibile.
10. Controlla certificati di hostname, mail e altri servizi.

Conclusioni

La durata dei certificati SSL nel 2026 è entrata in una nuova fase.

Dal 15 marzo 2026 il limite massimo per i certificati TLS pubblicamente trusted è sceso da 398 a 200 giorni.

Dal 15 marzo 2027 scenderà a 100 giorni.

Dal 15 marzo 2029 arriverà a soli 47 giorni.

Parallelamente verranno ridotti anche i periodi durante i quali la validazione del dominio può essere riutilizzata.

Il risultato è chiaro: il futuro dei certificati TLS è basato sull’automazione.

ACME, AutoSSL, monitoraggio e rinnovi automatici non sono più soltanto strumenti utili per semplificare il lavoro.

Stanno diventando il modello normale con cui il Web gestirà HTTPS.

Per chi utilizza già un’infrastruttura completamente automatizzata il passaggio potrà essere quasi invisibile.

Per chi installa ancora manualmente certificati e ricorda la scadenza attraverso il calendario, invece, è il momento di cambiare approccio.

Domande frequenti sulla durata dei certificati SSL 2026

Quanto dura un certificato SSL nel 2026?

Dal 15 marzo 2026 un certificato TLS pubblicamente trusted può avere una validità massima di 200 giorni. Una Certificate Authority può comunque emettere certificati con durata inferiore.

Tutti i certificati SSL dureranno 200 giorni?

No. 200 giorni rappresenta il limite massimo. Let’s Encrypt, per esempio, continua nel 2026 a utilizzare prevalentemente certificati standard da 90 giorni.

Quanto dureranno i certificati SSL nel 2027?

Dal 15 marzo 2027 la durata massima prevista dai Baseline Requirements sarà di 100 giorni.

Quanto dureranno i certificati SSL nel 2029?

Dal 15 marzo 2029 la durata massima sarà di 47 giorni.

Let’s Encrypt passerà a certificati da 47 giorni?

Let’s Encrypt ha annunciato un proprio passaggio a certificati standard da 45 giorni, quindi leggermente inferiori al massimo di 47 giorni previsto dal CA/Browser Forum.

Devo rinnovare manualmente il certificato ogni 47 giorni?

No, se utilizzi un sistema automatico come ACME o AutoSSL. Il rinnovo dovrebbe avvenire automaticamente prima della scadenza.

Cos’è ACME?

ACME è un protocollo progettato per automatizzare richiesta, validazione, emissione e rinnovo dei certificati TLS.

AutoSSL rinnova automaticamente i certificati?

Sì. cPanel AutoSSL controlla i certificati e tenta di sostituirli automaticamente prima della scadenza, purché la Domain Control Validation possa essere completata correttamente.

Perché AutoSSL può non rinnovare un certificato?

Tra le cause più frequenti ci sono DNS errati, CAA incompatibili, record AAAA non corretti, Cloudflare, redirect, firewall o problemi durante la Domain Control Validation.

Il limite di 200 giorni riguarda anche i certificati commerciali?

Sì, se sono certificati TLS pubblicamente trusted emessi da una Certificate Authority soggetta ai Baseline Requirements. Un contratto commerciale pluriennale può però prevedere riemissioni periodiche del certificato.