每个人都可以，
拥有SSL证书

这个全球最大的免费证书颁发机构正在推动一场深刻的变革——默认证书有效期将从当前的90天缩短至未来的45天，同时引入全新的信任层级，并逐步淘汰部分传统服务功能。

01 核心变革：缩短生命周期与架构升级

Let’s Encrypt近期宣布的变革方案将对全球数百万网站和服务的证书管理方式产生深远影响，这场变革的核心在于推进互联网安全向更短周期、更高自动化和更精准用途的方向演进。

证书有效期缩短的实施路线图已经明确。自2026年起，Let’s Encrypt将开始提供可选的45天有效期证书。从2027年开始，默认证书有效期将从90天缩短至64天。

最终在2028年，默认有效期将进一步统一为45天。这意味着大多数网站需要将证书续期频率提高整整一倍。

在信任层级方面，Let’s Encrypt正在引入全新的“Generation Y”证书信任层级，包含全新的根证书和中级证书，逐步取代现有的“Generation X”体系。

02 功能调整：服务精简与能力扩展

随着新信任层级的推出，Let’s Encrypt正在对证书功能进行有选择性的精简与扩展。新证书将不再包含TLS客户端认证功能，这个变化主要影响依赖双向TLS认证的内部系统与物联网设备。

同时，Let’s Encrypt的服务范围却在扩展。现已支持签发有效期仅为6天的短期证书，并正式提供IP地址证书，为物联网设备、内部系统等无需域名的场景提供轻量级加密方案。

在服务支持方面，Let’s Encrypt已经终止了证书到期邮件通知服务，并正逐步淘汰对OCSP协议的支持，鼓励用户转向更高效的CRL列表或OCSP Stapling技术。

03 影响分析：自动化与管理挑战

这些变革对不同用户群体产生的影响差异显著，核心变量在于系统的自动化程度。

对于已经实现高度自动化的用户，尤其是使用ACME协议配合Certbot、acme.sh等工具或云平台集成方案的用户，这些变化几乎不会带来额外负担，他们的系统会自动处理更频繁的续期流程。

对于仍依赖手动或半自动脚本管理证书的用户，45天甚至6天的有效期将构成显著挑战。他们需要立即审查并升级续期流程，确保其足够健壮和及时。

任何配置错误都可能在更短的周期内迅速导致服务中断。依赖双向TLS认证的用户则需要在2026年5月前完成迁移，转向其他商业证书颁发机构或构建私有PKI方案。

04 行动指南：为过渡做准备

为确保平稳过渡至新的证书管理体系，系统管理员应该立即采取一系列行动措施。全面审计与自动化是基础步骤，需要立即盘点所有使用Let’s Encrypt证书的服务和域名。

确保它们都已接入可靠的自动化续期工具，并测试续期流程的健壮性，特别是应对DNS延迟或网络故障的容错能力。

强化监控与告警变得至关重要，因为官方已取消到期邮件通知。需要建立主动的外部监控体系，不仅检查证书是否过期，还需验证续期后证书链的一致性。

以防CDN、负载均衡器等组件更新不同步。对于依赖mTLS的用户，需要立即开始评估当前架构，制定迁移计划，寻找合适的替代方案。

05 行业趋势：机器身份与自动化安全

Let's Encrypt的变革不是孤立的行业调整，而是反映了互联网安全范式的深刻转变。机器身份的自动化管理正成为现代基础设施安全的关键环节。

从容器化的微服务到物联网设备，需要加密通信的实体数量呈指数级增长，传统人工管理模式已无法适应这一规模。

更短证书周期的背后，是行业内对快速响应安全事件能力的追求。如果证书私钥泄露，攻击者有45天的窗口期进行恶意活动，这比90天缩短了一半。

这意味着更短的有效期不仅能减少潜在攻击窗口，还能推动组织建立更成熟的证书生命周期管理流程。

物联网设备的LED灯在数据中心稳定闪烁，6天证书的自动轮换在后台悄然完成，负载均衡器上的新证书链已生效。技术团队已习惯于这种动态更新机制——证书不再是一种需要精心维护的静态资产。

在Let’s Encrypt的推动下，机器身份的管理正成为现代基础设施中隐形却不可或缺的环节，而更短的生命周期只是这场安全演进的开始。