Safari 9月1日起將拒絕效期超過398天的新網站SSL憑證

蘋果於上周宣布，自9月1日起，Safari瀏覽器將不再接受憑證效期超過398天的新網站憑證。

蘋果是在憑證機構瀏覽器論壇（Certification Authority Browser Forum，CA/Browser）大會上宣布這項新政策，而由The Register首先報導。CA/B Forum是憑證機構（CA）與瀏覽器業者、軟體公司參加的業界論壇，在新政策下，新網站若包含效期超過13個月的憑證將被Safari、以及在iPhone、iPad及Mac電腦上視為不安全。但是Safari仍然會接受9月1日以前發出，即效期825天的SSL/TLS憑證。

其實這在SSL憑證界已經是討論已久的話題。憑證效期過長，可能發生憑證有安全漏洞時，網站未能及時更新而給了網路罪犯可乘之機，例如2015年賽門鐵克誤發上百個Google.com的延伸驗證（EV）憑證，惡意網站可能冒充Google網域下的合法網站。縮短SSL/TLS憑證效期可加速新的、更安全的憑證部署，進而降低網站用戶風險。但是另一方面，也有人批評頻繁更新，將增加網站管理員的作業負擔以及成本。

一些免費憑證供應商如Let’s Encypt，其憑證90天後便到期，但可經由該公司提供的工作自動更新。

過去10年來，瀏覽器業者已經將SSL憑證效期，由最早的8年、砍成5年、39個月，去年3月再縮減到現行的27個月效期。

蘋果並非唯一鼓吹再縮短憑證效期的瀏覽器廠商。Google和Mozilla去年6月提案從2020年3月1日起，將SSL憑證效期，由現在的825天縮減為397天，並將交付大會表決，不過迄今似乎尚無結果。