Calcolatore: quante emissioni extra con il riuso DCV di Let's Encrypt a 10 giorni

Dal 10 febbraio 2027 chi usa Let's Encrypt con il profilo classic (quello di default, usato dalla gran parte degli hoster) vedrà il riuso della domain control validation (DCV) scendere da 30 a 10 giorni. Non è una previsione lontana: è la Fase 2 di un calendario già pubblicato. Per chi gestisce pochi domini il cambio passa inosservato. Per chi ne gestisce decine o centinaia, si traduce in un numero preciso di chiamate ACME in più all'anno, e quindi in più margine di errore se l'automazione non è solida.

Cosa cambia, con le date

La fonte è la tabella delle fasi pubblicata da dotcom-monitor.com nel suo blog tecnico. Il 13 maggio 2026 (Fase 1) il profilo opt-in tlsserver emette certificati di 45 giorni con riuso dell'autorizzazione invariato a 30 giorni, per chi fa da apripista. Il 10 febbraio 2027 (Fase 2) il profilo classic di default passa a certificati di 64 giorni con riuso ridotto a 10 giorni, per tutti gli utenti non su tlsserver o shortlived. Il 16 febbraio 2028 (Fase 3) il profilo classic di default arriva a certificati di 45 giorni con riuso ridotto a 7 ore.

Il punto che conta per chi fa pianificazione è questo: il periodo di riuso dell'autorizzazione passerà da 30 giorni a sole 7 ore entro il 2028, rendendo l'automazione ACME affidabile obbligatoria, non opzionale. La Fase 2 di febbraio 2027, con il riuso a 10 giorni, è lo scalino intermedio che la maggior parte degli hoster incontrerà per primo sul profilo di default.

Il calcolo: emissioni extra all'anno

Con riuso a 30 giorni un dominio normalmente non ripete la DCV a ogni rinnovo: il client ACME riutilizza l'autorizzazione finché resta nella finestra. In pratica, con cicli di rinnovo organizzati sui 30 giorni di validità dell'autorizzazione, un dominio arriva a circa 12 cicli di emissione/rinnovo l'anno (365 / 30 ≈ 12,2). Con il riuso tagliato a 10 giorni, la finestra utile per riusare la stessa validazione si restringe a un terzo: lo stesso dominio arriva a circa 36 cicli l'anno (365 / 10 ≈ 36,5).

Domini gestiti	Emissioni/anno con riuso 30gg	Emissioni/anno con riuso 10gg	Differenza
10	~122	~365	+243
50	~610	~1.825	+1.215
200	~2.440	~7.300	+4.860

Il conteggio è una stima basata sulla sola finestra di riuso descritta da dotcom-monitor e dal CA/Browser Forum: il numero reale di chiamate dipende da come è configurato il client ACME (cron, systemd timer, intervallo fisso o basato su ACME Renewal Information) e da quanti SAN condividono la stessa pratica di validazione.

Cosa verificare prima di febbraio 2027

• Controllare che il client ACME in uso (certbot, acme.sh, lego, o il modulo integrato nel pannello di hosting) supporti il profilo classic aggiornato e non ragioni con intervalli di rinnovo fissi tipo "ogni 60 giorni", perché con un ciclo di 64 giorni e riuso di 10 quell'intervallo salta.
• Verificare i rate limit dell'API ACME di Let's Encrypt per l'account in uso: più emissioni annue per dominio significano più chiamate che vanno a sommarsi al totale mensile dell'account.
• Programmare un controllo di monitoraggio esterno sulla scadenza dei certificati, perché con cicli più fitti un rinnovo silenziosamente fallito si trasforma in downtime visibile molto più in fretta.

La tabella delle fasi, aggiornata al 15 luglio 2026, è consultabile sul blog di dotcom-monitor.com; il calendario generale di riduzione della validità dei certificati e del riuso DCV per l'intero settore è nel Ballot SC-081v3 del CA/Browser Forum.