每个人都可以，
拥有SSL证书

CheapSSLWEB 7月16日上线了一套SSL自动化套件，19.99美元一年，把证书签发、验证、续期打包成一条命令行能搞定的事。功能没什么稀奇，真正该留意的是套件介绍里明确指向的那根引线——CA/B论坛的决议。按照时间表，TLS证书有效期在2027年要缩到90天，2029年可能直接压到45天。

留给手动换证的操作窗口，正在被彻底焊死。

圈子里老一点的运维大概都有肌肉记忆，当年一张证书两年有效期，谁都不会把续期当成高危操作。2020年苹果、谷歌联合把上限压到398天，行业才经历了一轮阵痛，半夜被监控叫起来、排查半天发现只是证书过期的破事，那段时间几乎每家都摊上过。我印象最深的一次，一个电商站点的通配符证书在凌晨两点过期，CDN回源全断，值班兄弟硬是没往证书上想，绕了一大圈查到天亮。

事后复盘，问题简单到只有一行命令：certbot renew --dry-run 报出 urn:ietf:params:acme:error:unauthorized，明明只是没自动续上，却砸出了两个小时的事故。

这个 acme:error 里的ACME，就是事件里真正的主角。ACME全称自动证书管理环境，它的工作方式可以用酒店房卡来理解：传统办证，相当于每次都要拿身份证去前台排队，人工核验、人工领卡，卡到期了你自己得记着去换，忘了就被锁在门外。ACME相当于在房间门口装了一台自助续卡机，在你卡快过期时自动核验身份、自动吐新卡、自动激活，全程不用跟任何人打交道。这协议最早由Let's Encrypt大规模落地，现在Google Trust Services、ZeroSSL这些CA全都支持，certbot、acme.sh、win-acme这类客户端工具也都是基于这套协议在跑。

问题来了，哪怕ACME公开标准已经成熟这么多年，纯粹靠人工维护证书的企业仍然一抓一大把。内部服务、边缘节点、测试环境，很多域名和IP证书散落在不同部门，到期时间根本不透明。过去一年一换，还能靠日历提醒勉强顶上，一旦切换到90天甚至45天的节奏，任何一个遗漏都意味着生产环境可能会周期性地出现证书过期故障，而且是每45天就可能挨一刀。多域名证书、泛域名证书的管理复杂度更高，手动维护基本等于赌博。

对于开发者和中小规模团队来说，自己动手搭一套certbot自动化当然可行，但生产落地过程中经常卡在一些琐碎环节上：权限隔离、验证方式选择、多DNS服务商适配、IP证书的特殊处理。不少团队到最后就希望有一个干净利落的接口，把域名或IP丢进去，证书自动下发、自动部署、到期自动滚，完全不用操心底层ACME客户端怎么配、DNS验证脚本怎么写。

现在一些平台已经把这层复杂度全部抽象掉了。

像lcjmSSL，直接对接Let's Encrypt、Google Trust Services、ZeroSSL这些支持ACME的可信CA，提供一套简洁的API，申请多域名、泛域名甚至IP证书都只靠一条调用完成，验证、签发、部署由平台侧自动做完。集成进CI/CD或者配到crontab里，整个证书生命周期就彻底从运维的待办清单上消失了。它本身免费，对那些被CA/B论坛政策推着走的团队来说，刚好切在“不想折腾ACME客户端细节”这个精准位置上。

证书有效期继续缩短已经是板上钉钉的事。

从一年到90天，再到正在讨论中的45天，每一次压缩都在压缩人力兜底的空间。趋势已经很直白：要么让机器接管续期，要么等着告警轰炸。眼下这个时间点，把手头的证书全部迁移到ACME自动化链路上，比纠结用哪家平台重要得多。