Marzec 2026 przynosi szereg istotnych zmian dotyczących certyfikatów SSL/TLS oraz certyfikatów Code Signing. Skrócenie okresów ważności certyfikatów, nowe zasady walidacji organizacji (OV) oraz weryfikacja DNSSEC. Wszystkie te zmiany wchodzą w życie niemal jednocześnie. Zebraliśmy najważniejsze informacje w jednym miejscu, żebyś wiedział, co sprawdzić i kiedy podjąć działania.
1. Certyfikaty SSL/TLS — harmonogram skracania ważności do 47 dni
Największą zmianą 2026 roku w obszarze certyfikatów SSL/TLS jest radykalne skrócenie maksymalnych okresów ważności certyfikatów publicznych. CA/Browser Forum przyjęło uchwałę SC-081v3, która wprowadza stopniowy harmonogram skracania ważności certyfikatów TLS — docelowo do zaledwie 47 dni.
Zmiany wdrażane są etapami: od marca 2026 r. maksymalny okres ważności certyfikatu TLS wynosi 200 dni, od 2027 r. — 100 dni, a od marca 2029 r. — docelowe 47 dni. Krótsze okresy ważności certyfikatów SSL/TLS oznaczają konieczność znacznie częstszego odnawiania, dlatego dla wielu organizacji automatyzacja stanie się w praktyce niezbędna.
Temat ten opisaliśmy szerzej w osobnym artykule: Skrócenie ważności certyfikatów SSL — co musisz wiedzieć o zmianach od 2026 roku.
2. Certyfikaty Code Signing — krótszy okres ważności od 24 lutego 2026
Maksymalny okres ważności certyfikatów Code Signing to teraz 459 dni
24 lutego 2026 roku DigiCert wprowadził nowy, skrócony cykl życia certyfikatów podpisujących kod. Maksymalny okres ważności certyfikatów Code Signing wynosi teraz 459 dni — zarówno dla standardowych certyfikatów Code Signing, jak i dla certyfikatów EV Code Signing. Oznacza to radykalne skrócenie w porównaniu do wcześniejszego limitu 39 miesięcy (około 3 lat).
Zmiana wynika z uchwały CA/Browser Forum Ballot CSC-31, która obniża maksymalny okres ważności certyfikatów Code Signing do 460 dni. DigiCert zastosował limit o jeden dzień krótszy, aby mieć pewność, że nigdy nie zostanie przekroczony maksymalny limit ważności obowiązujący w branży — stąd 459, a nie 460 dni.
Co to oznacza w praktyce? W systemie CertCentral zniknęły opcje 2- i 3-letnie. Pełny okres ważności certyfikatu można uzyskać tylko wybierając: 1 rok, niestandardową datę wygaśnięcia w limicie 459 dni lub niestandardowy okres do 459 dni. Firmy posiadające aktywne certyfikaty z dłuższymi okresami ważności nie muszą podejmować natychmiastowych działań — zmiany dotyczą nowych zamówień oraz ponownego wydawania certyfikatów (reissue).
Sectigo — podobne zmiany, dwie ścieżki zamawiania
Sectigo również wprowadza zmiany w zakresie krótszych okresów ważności certyfikatów Code Signing. Dostępne są dwie ścieżki:
• Certyfikaty Code Signing na 2 lub 3 lata możesz nadal zamówić, ale wyłącznie gdy klucz prywatny przechowywany jest na sprzętowym module HSM. Nawet wówczas certyfikat musi być ponownie wydawany (reissue) co roku.
• Przy korzystaniu z tokena sprzętowego (bez HSM) maksymalny okres ważności certyfikatu to wyłącznie 1 rok.
Jeśli Twoja firma regularnie podpisuje oprogramowanie lub sterowniki, konieczności corocznego odnawiania lub ponownego wydawania certyfikatu nie da się uniknąć — niezależnie od tego, którą ścieżkę wybierzesz. Warto zaplanować automatyczne odnawianie lub wdrożyć automatyzację przypominającą o terminach, żeby przerwa w podpisywaniu kodu nie zaskoczyła Cię w nieodpowiednim momencie.
Certyfikaty Code Signing dostępne w MSERWIS, to:
3. Walidacja organizacji OV — okres ważności skrócony z 825 do 397 dni
Kolejna zmiana, która weszła w życie 24 lutego 2026, dotyczy certyfikatów TLS z walidacją organizacyjną (OV). DigiCert skrócił okres ponownego wykorzystania walidacji organizacji dla publicznych certyfikatów OV TLS — z 825 dni do zaledwie 397 dni. To oznacza, że poprzednia weryfikacja organizacji ważna była ponad dwa razy dłużej niż nowa.
Zmiana wynika z uchwały CA/Browser Forum Ballot SC081v3, która wprowadza skrócony harmonogram ważności certyfikatów TLS oraz danych walidacyjnych. Zgodnie z uchwałą, obowiązujący po 15 marca 2026 maksymalny okres ponownego użycia walidacji OV to 398 dni. DigiCert zastosował limit 397 dni — o jeden dzień mniej, żeby zachować margines bezpieczeństwa.
Kogo dotyczy zmiana — sprawdź datę swojej poprzedniej walidacji
Szczególnie istotna jest kwestia dotychczas przeprowadzonych walidacji:
• Organizacje, których walidacja OV została przeprowadzona 23 stycznia 2025 lub wcześniej, utraciły możliwość ponownego wykorzystania tej walidacji 24 lutego 2026 roku. Poprzednia weryfikacja wygasła natychmiast — konieczna jest ponowna weryfikacja organizacji przed zamówieniem nowego certyfikatu.
• Organizacje zwalidowane 24 stycznia 2025 lub później zachowały ważność walidacji, jednak ich termin wygaśnięcia uległ skróceniu w stosunku do pierwotnie przyznanego okresu 825 dni.
Jeśli korzystasz z certyfikatów OV TLS, sprawdź, kiedy przeprowadzona była ostatnia walidacja Twojej organizacji. Przeterminowana walidacja może uniemożliwić wystawienie nowego certyfikatu. Przygotuj się na regularne potwierdzanie danych organizacyjnych, teraz co około 13 miesięcy.
4. DigiCert weryfikuje DNSSEC podczas sprawdzania rekordów CAA
Czwarta zmiana, wprowadzona 3 marca 2026, dotyczy konfiguracji DNS. Od tego dnia DigiCert przeprowadza weryfikację domeny z uwzględnieniem rozszerzeń DNSSEC — zarówno podczas standardowej walidacji kontroli domeny, jak i podczas sprawdzania rekordów CAA. Zmiana obejmuje wszystkie produkty wymagające walidacji domeny: certyfikaty TLS (DV, OV i EV), certyfikaty S/MIME, certyfikaty QWAC oraz szereg innych.
Działanie wynika z uchwały CA/Browser Forum Ballot SC-085v2, która nakazuje urzędom certyfikacji weryfikację DNSSEC (jeśli jest skonfigurowany) podczas sprawdzania kontroli domeny i rekordów CAA. Przed marcem 2026 r. urzędy certyfikacji mogły ignorować błędnie skonfigurowany DNSSEC — od teraz błędy w DNSSEC mogą zablokować wystawienie certyfikatu.
Czy musisz coś zrobić?
Ważna informacja: używanie DNSSEC nie jest obowiązkowe. Jeśli Twoja domena nie ma skonfigurowanego DNSSEC, nie musisz podejmować żadnych działań — DigiCert wyda certyfikat standardową ścieżką. Problem dotyczy wyłącznie domen, na których DNSSEC jest skonfigurowany, ale zawiera błędy. W takim przypadku weryfikacja domeny może się nie powieść i certyfikat TLS nie zostanie wystawiony.
Aby sprawdzić poprawność konfiguracji DNSSEC, DigiCert udostępnił bezpłatne narzędzie diagnostyczne: dnssec.health. Jeśli korzystasz z DNSSEC lub planujesz jego wdrożenie, warto zweryfikować konfigurację przed złożeniem kolejnego zamówienia na certyfikaty SSL/TLS.
Podsumowanie: lista kontrolna po zmianach w SSL/TLS, Code Signing, OV i DNSSEC
Wszystkie trzy zmiany weszły w życie niemal jednocześnie — w lutym i marcu 2026 r. To dobry moment na przegląd portfolio certyfikatów SSL/TLS i Code Signing. Sprawdź te kwestie:
Czy podpisujesz oprogramowanie?
Sprawdź, czy Twój certyfikat Code Signing jest aktualny. Skrócony cykl życia certyfikatów podpisujących kod oznacza, że od teraz maksymalny okres ważności certyfikatu wynosi niespełna 15 miesięcy — warto zaplanować odnowienie z odpowiednim wyprzedzeniem.
Czy masz certyfikat OV TLS?
Zweryfikuj datę ostatniej walidacji organizacji. Jeśli walidacja OV była przeprowadzona przed 24 stycznia 2025 roku, poprzednia weryfikacja wygasła z dniem 24 lutego 2026 — certyfikat może nie zostać wystawiony bez ponownego przejścia przez proces walidacji organizacyjnej.
Czy używasz DNSSEC?
Sprawdź poprawność konfiguracji narzędziem dnssec.health — od 3 marca 2026 r. błędy w DNSSEC mogą uniemożliwić wystawienie certyfikatu przez DigiCert i inne urzędy certyfikacji wdrażające wymogi CA/Browser Forum.
W razie pytań lub wątpliwości — nasz zespół jest do dyspozycji. Certyfikaty Code Signing oraz certyfikaty SSL/TLS znajdziesz w ofercie MSERWIS.pl.
Już od kilku lat zajmuję się planowaniem, koordynacją i realizacją działań marketingowych w MSERWIS.pl i Domeny.tv. Jestem odpowiedzialny za promowanie usług, produktów i oprogramowań mojej firmy. Aby jak najlepiej zrozumieć ich funkcje i zalety współpracuję z zespołem programistów i Biurem Obsługi Klienta. Wykorzystuję różnorodne taktyki i kanały marketingowe, żeby dotrzeć do potencjalnych klientów i przekonać ich do zakupu lub subskrypcji. Moje działania obejmują m.in. tworzenie kampanii marketingowych, pisanie materiałów marketingowych, zarządzanie mediami społecznościowymi oraz marketingiem e-mailowym i analizowanie rynku w celu zrozumienia potrzeb i preferencji docelowych odbiorców. Rozumiem technologię i potrafią przekazywać złożone koncepcje techniczne odbiorcom nietechnicznym. Mam doświadczenie w obszarach takich jak content marketing, SEO i generowaniu leadów. Potrafię skutecznie mierzyć i analizować wyniki działań marketingowych, aby stale ulepszać swoje strategie.
Polub nas na Facebooku
Komentarze