تغييرات Let's Encrypt في 2025-2026: انتهاء OCSP وملفات تعريف جديدة وشهادات 64 يوماً من فبراير 2027

تغيّر الكثير في Let's Encrypt منذ أواخر 2024. معظم هذه التغييرات لا يُلاحظ إذا كان التجديد مؤتمتاً والعميل حديثاً بشكل معقول، لكن بعضها يتطلب إجراءً: فترات التجديد الثابتة في السكربتات، والبرمجيات التي تتوقع وجود OCSP، وكل من يستخدم شهادات Let's Encrypt لمصادقة العميل في TLS.

نستعرض فيما يلي ما تغيّر ومتى وما الذي يجب فحصه، استناداً إلى إعلانات Let's Encrypt ووثائقها الرسمية.

تغييرات سرت في 2025

توقف رسائل التذكير بانتهاء الصلاحية (4 يونيو 2025)

أوقفت Let's Encrypt رسائل التذكير في 4 يونيو 2025 وحذفت العناوين التي كانت محفوظة مع بيانات الإصدار. إذا كانت تلك الرسائل شبكة الأمان لديك، فأنت بحاجة الآن إلى مراقبة خاصة بك لتواريخ الانتهاء.

إيقاف OCSP (6 أغسطس 2025)

أصبحت معلومات الإلغاء تُنشر عبر قوائم الإلغاء (CRL) فقط. وفق إعلان ديسمبر 2024: بدأت طلبات امتداد OCSP Must-Staple بالفشل للحسابات الجديدة في 30 يناير 2025 ولجميع الحسابات في 7 مايو 2025، وهو التاريخ نفسه الذي أزيلت فيه روابط OCSP من الشهادات الجديدة، ثم أُطفئت خوادم OCSP في 6 أغسطس 2025. لم تتأثر المتصفحات، لكن بعض البرمجيات غير المتصفحة (مثل بعض عملاء VPN والأجهزة المدمجة) التي تشترط وجود رابط OCSP قد تتأثر. إعدادات OCSP stapling في Nginx أو Apache لا تجد ما تُرفقه مع شهادات Let's Encrypt الحالية؛ يمكن إبقاؤها أو حذفها، لكن لا تتوقع منها فائدة مع هذه الشهادات.

ملفات تعريف الشهادات (profiles)

صار بإمكان عميل ACME طلب ملف تعريف محدد. الملف classic هو الافتراضي، والملف tlsserver يحذف حقولاً لم تعد المتطلبات الأساسية توصي بها ويصدر منذ 13 مايو 2026 شهادات بعمر 45 يوماً، أما shortlived فيصدر شهادات صالحة 160 ساعة (ما يزيد قليلاً على ستة أيام).

تغييرات 2026

شهادات الستة أيام وشهادات عناوين IP (15 يناير 2026)

أصبحت متاحة للجميع الشهادات قصيرة العمر والشهادات الخاصة بعناوين IPv4 وIPv6، ويجب أن تستخدم شهادات عناوين IP ملف التعريف shortlived. كلاهما اختياري، ولا توجد خطة لجعل شهادات الستة أيام هي الافتراضية. في Certbot تحتاج شهادات IP إلى الخيار --ip-address (الإصدار 5.3) وإلى الإصدار 5.4 أو أحدث لوضع webroot، بحسب إعلان Certbot.

انتهاء مصادقة العميل في TLS

بسبب اشتراط برنامج جذور Chrome الفصل بين مصادقة العميل ومصادقة الخادم، توقف الملف classic عن تضمين استخدام Client Authentication في 11 فبراير 2026، وبقي الملف المؤقت tlsclient متاحاً حتى 8 يوليو 2026 فقط. إذا كنت تستخدم شهادات Let's Encrypt لمصادقة عميل أمام خادم (TLS المتبادل أو بعض إعدادات VPN والأجهزة)، فانقل ذلك إلى جهة إصدار خاصة.

جذور وشهادات وسيطة جديدة "الجيل Y"

أنشأت Let's Encrypt جذرين جديدين هما ISRG Root YR (RSA) وISRG Root YE (ECDSA)، مع شهادات وسيطة من YR1 إلى YR3 ومن YE1 إلى YE3 لا يمكنها إصدار شهادات مصادقة العميل. وتذكر صفحة الشهادات أن YE1 وYE2 وYR1 وYR2 في التداول النشط، وأن السلاسل الافتراضية موقّعة تقاطعياً وصولاً إلى ISRG Root X1، وأن الجذور الجديدة لم تُضم بعد إلى مخازن الثقة. القاعدة العملية: قدّم السلسلة الكاملة التي يعطيك إياها عميل ACME (في Certbot الملف fullchain.pem)، ولا تثبّت أي شهادة وسيطة، فـLet's Encrypt تختار واحدة عشوائياً لكل شهادة عن قصد.

تحدي DNS-PERSIST-01

تعمل Let's Encrypt على تطبيق DNS-PERSIST-01، وهي طريقة تحقق عبر DNS تنشر فيها سجل TXT واحداً طويل الأمد عند _validation-persist.<domain> يسمّي جهة الإصدار وحساب ACME الخاص بك، بدلاً من تغيير سجل TXT مع كل تجديد. اعتُمدت الطريقة في المتطلبات الأساسية بالقرار SC-088v3 في أكتوبر 2025، وكان المخطط إتاحتها في بيئة الاختبار مطلع 2026 وفي الإنتاج خلال الربع الثاني. تحقق من الوثائق قبل الاعتماد عليها، وتذكّر أن مفتاح حساب ACME يصبح هو ما يجب حمايته.

القادم: 64 يوماً ثم 45 يوماً

بحسب إعلان 7 أكتوبر 2026:

• 14 أكتوبر 2026: بدأت بيئة الاختبار (staging) إصدار شهادات بعمر 64 يوماً.
• 10 فبراير 2027: يصدر الملف الافتراضي classic شهادات بعمر 64 يوماً، وتنخفض مدة إعادة استخدام التفويض من 30 يوماً إلى 10 أيام. لن تُلغى الشهادات القائمة، ويُتوقع أن تنتهي آخر شهادات التسعين يوماً نحو 11 مايو 2027.
• 16 فبراير 2028: شهادات بعمر 45 يوماً افتراضياً مع إعادة استخدام للتفويض لا تتجاوز 7 ساعات (وفق خطة ديسمبر 2025).

لن تتغير حدود المعدل، فالتجديدات مستثناة من حدود الشهادات الجديدة بحسب إعلان حدود المعدل، ولا تتأثر نقاط الوصول وسلاسل الإصدار بتغيير العمر.

افحص العميل والسكربتات

توصي Let's Encrypt بالتجديد عند ثلثي العمر تقريباً أو باستخدام عميل يدعم ACME Renewal Information (ARI)، وبالبحث في مهام cron والسكربتات وأدلة التشغيل عن أرقام ثابتة مثل 60 أو 80 أو 83 يوماً.

بالنسبة إلى Certbot من حزم التوزيعة: يأتي Debian 12 (bookworm) بالإصدار 2.1.0 الذي يجدد قبل الانتهاء بثلاثين يوماً ولا يدعم ملفات التعريف ولا ARI، ويأتي Debian 13 (trixie) بالإصدار 4.0.0 الذي يجدد عندما يتبقى ثلث العمر ويدعم --preferred-profile. وقد أضيف دعم ARI في Certbot 4.1.0 بحسب سجل تغييرات Certbot. وكلا الإصدارين يجدد في الوقت المناسب لشهادات 64 يوماً ما دام المؤقِّت يعمل.

certbot --version
sudo certbot certificates
systemctl list-timers certbot.timer
sudo grep -rn -e certbot -e acme /etc/cron* /etc/systemd/system 2>/dev/null

يكشف الأمر الأخير مهام التجديد المخصصة التي قد تتجاوز المؤقِّت الافتراضي. أما التشغيل التجريبي فيختبر الآن بيئة staging التي تصدر بالفعل شهادات 64 يوماً:

sudo certbot renew --dry-run

وعلى المدى الأبعد، تخطط Let's Encrypt لشهادات مقاومة للحوسبة الكمية مبنية على Merkle Tree Certificates، مستهدفةً بيئة اختبار أواخر 2026 والإنتاج في 2027، دون أي تغيير على الشهادات الحالية.

ما الذي ينبغي فعله

• أعدّ مراقبة خاصة بك لتواريخ الانتهاء، فـLet's Encrypt لم تعد ترسل التذكير.
• احذف مهام التجديد ذات الفترات الثابتة، وجدّد عند ثلثي العمر تقريباً أو استخدم عميلاً يدعم ARI.
• اختبر الآن بالأمر certbot renew --dry-run مقابل شهادات 64 يوماً في بيئة الاختبار.
• انقل أي استخدام لمصادقة العميل إلى جهة إصدار خاصة.
• قدّم السلسلة الكاملة ولا تثبّت الشهادات الوسيطة أو الجذور.
• تأكد من أن أجهزة VPN والأجهزة الأخرى التي تستخدم هذه الشهادات تعمل دون OCSP.

المصادر

• letsencrypt.org/2026/10/07/64-day-certs
• letsencrypt.org/2025/12/02/from-90-to-45
• letsencrypt.org/2026/02/24/rate-limits-45-day-certs
• letsencrypt.org/2025/06/26/expiration-notification-service-has-ended
• letsencrypt.org/2024/12/05/ending-ocsp
• letsencrypt.org/2025/08/06/ocsp-service-has-reached-end-of-life
• letsencrypt.org/docs/profiles
• letsencrypt.org/2026/01/15/6day-and-ip-general-availability
• letsencrypt.org/2026/03/11/shorter-certs-certbot
• letsencrypt.org/2025/05/14/ending-tls-client-authentication
• letsencrypt.org/2025/11/24/gen-y-hierarchy
• letsencrypt.org/certificates
• letsencrypt.org/2026/02/18/dns-persist-01
• letsencrypt.org/2026/06/03/pq-certs
• github.com/certbot/certbot/blob/main/certbot/CHANGELOG.md
• packages.debian.org/bookworm/certbot
• packages.debian.org/trixie/certbot