HTTPS免费证书为啥只能用3个月？是抠门还是另有隐情？

浏览器地址栏的“小绿锁”——这是HTTPS加密的标志，背后靠SSL/TLS证书支撑。如各位站长所见，免费证书大多只有3个月有效期，到期就得续期，这到底是为啥？规则又是谁定的？今天一次性说透。

3个月有效期是“抠门”还是安全刚需

很多人觉得“有效期短=麻烦”，但对互联网安全来说，这反而是重要保障，核心原因有三个：

1. 缩小风险窗口，出事能及时止损
   证书就像网站的“加密身份证”，一旦私钥泄露或证书被恶意滥用，黑客就能伪造网站窃取信息。3个月有效期能大幅缩短风险时间——就算证书出问题，最多3个月就会失效，不会长期被滥用。当年“心脏出血”漏洞爆发时，短有效期证书的网站就能更快完成替换，减少损失。

2. 倒逼自动化，告别“忘续期”尴尬
   手动续期很容易忘——不少站长曾因漏续期导致网站显示“不安全”，用户直接流失。3个月有效期强制大家搭建自动续期机制（比如用Certbot工具），一次配置终身省心，反而比一年续期一次更稳妥。

3. 免费证书的“成本控制术”
   免费证书不用人工审核身份，谁都能申请。短有效期能降低虚假申请、恶意使用的概率，毕竟频繁续期会增加恶意使用者的成本，这是免费证书提供商的核心运营逻辑。

规则制定者

3个月有效期不是某家公司拍脑袋定的，背后有个权威组织——CA/Browser Forum（CA/浏览器论坛）。

这个组织由谷歌（Chrome）、苹果（Safari）、 Mozilla（Firefox）等主流浏览器厂商，以及全球知名证书颁发机构（CA）联合组成，专门制定SSL/TLS证书的行业标准，所有被浏览器信任的证书都得遵守它的规则。

• 2020年9月起，所有公开信任的证书（含免费、商业）最长有效期不得超过397天（约13个月），这是强制标准；

• 免费证书（如Let's Encrypt）自愿采用更严格的90天有效期，这种模式因安全高效被全行业效仿——不是强制要求，但成了免费证书的“默认操作”。

总结

HTTPS免费证书的3个月有效期，是“安全需求+行业标准+运营逻辑”共同作用的结果——不是限制，而是保护。对普通用户来说，看到“小绿锁”就放心逛；对站长来说，花10分钟配置自动续期，就能享受免费又安全的加密服务。