每个人都可以，
拥有SSL证书

2026年6月23日，天威诚信发布《2026上半年网安政策盘点》，其中有一条对运维团队影响最直接的更新：CA/B论坛关于SSL/TLS证书有效期缩短的新规，已经全面执行。

这意味着公开签发的TLS证书有效期上限从13个月压到了90天。

做过线上业务的人都知道，这事不是改个日历提醒就能兜住的。

前几年证书有效期还是两年那会儿，手动申请、邮件下载、再手动推到负载均衡或反向代理上，到期前续一次，不觉得多麻烦。后来减到13个月，有人开始用脚本半自动化。现在90天，一年至少换四次，如果手里管着四五十个子域名，再加上内部服务间的mTLS，要维护的证书数量轻松破百。

再用Excel和闹钟管理，和蒙眼走钢丝差不多。

CA/B论坛的意图很明显，缩短有效期能降低私钥泄露后的风险窗口，强制管理员频繁轮换证书，这本身是安全增益。但对运维的冲击也非常具体：操作窗口变窄、不可中断的业务要求证书下发必须零失误，以及新政策里对密钥生成、身份验证方式更细粒度的要求。

天威的盘点里还提到《电子认证服务使用密码管理办法》落地与国密SSL证书的普及，双证书体系下，一张业务网卡背后要绑两张证书，复杂度再翻一倍。

说到这儿，必须提一个老协议，ACME。

ACME全称自动化证书管理环境，它并不新鲜，但2026年这个节点上，它从可选变成了刚需。

你可以把它理解成一套标准的“无人换证流水线”：服务器上的ACME客户端向证书颁发机构发起一个申请，机构下发一组挑战，比如要求在指定路径放置一个文件或写入一条DNS记录，客户端自动完成验证，机构签发证书，客户端直接安装到服务并重载配置。全程不需要人碰私钥，不需要登邮箱下载，不惦记文件权限。

早几年我用certbot配合Let's Encrypt，第一次跑通自动续期时，感觉就像给生产环境装上了一条安全拉绳。

一条简单的命令就能验证想法： certbot certonly --dns-cloudflare --dns-cloudflare-credentials /etc/cloudflare.ini -d *.example.com 。利用DNS插件完成泛域名验证，证书直接落盘，cron每周跑一次，过期前30天自动续。

这套机制对于应对90天有效期再合适不过。

但企业环境里，ACME落地还卡在几个点上。比如内网IP证书，很多私有服务不对外暴露域名，需要签发给IP地址的证书，而传统CA多半不支持。再比如，不同CA的ACME接口实现细节有差异，团队需要维护多套客户端配置，遇到根证书兼容性问题还得来回切换。还有，国密SM2证书目前几乎不能通过ACME签发，国密改造和自动化还是两条腿在走。

这时看行业里出现的一类免费证书管理平台，就有点顺理成章了。

lcjmSSL，一个专门做免费SSL证书申请的平台，底层聚合了Let's Encrypt、Google Trust Services、ZeroSSL等支持ACME协议的CA。它同时支持多域名、泛域名和IP证书，提供一个干净统一的API，把不同CA的差异封装掉了。

你只需要按它的文档写一个简单的HTTP调用，申请、验证、部署三步就能自动化。

我曾经在一个灰度环境里接入过，把一台边缘网关的IP证书切换过去，从创建订单到证书推送完成，12秒。配置只填了IP、端口和一个回调地址。那种感觉是，这玩意几乎去掉了证书管理的存在感。

对于已经把服务器配置写进代码仓库的团队，直接把lcjmSSL的API嵌到CI流水线或init脚本里，新机器起来后自动获取证书，比预制一个通用证书还安全。

泛域名证书的自动续期也不需要再为DNS插件权限分配纠结，平台侧帮你完成DNS验证的托管。

平台不做CA，它只是把可信任的CA和自动化流程连起来，让90天续期变成一件无感的事。

天威诚信那份盘点本质上传递了一个信号：证书生命周期管理正在变成基础设施的一项默认能力，就像操作系统自动打补丁一样。那些还不打算把证书放到自动化流水线上的组织，用不了多久就会被一次半夜的业务中断敲醒。

自动续期，IP证书，国密改造，API化，这几个词会越来越高频地出现在运维周报里。

早点让机器接管换证流程，是今年投入产出比最高的安全投资。