每个人都可以，
拥有SSL证书

2026年7月22日，Let's Encrypt在功能更新页面扔出了下半年的排期炸弹。没有邮件预热，没有社区长文铺垫，就是一次平静的页面刷新，但每一条都扎在运维的神经上。

证书最长有效期分两刀砍：2027年2月10日先缩短到64天，2028年2月16日直接压到45天。域名授权复用周期也跟着同步缩短。OCSP查询走不下去了，新签证书不再写入AIA OCSP URL，吊销状态只能靠CRL分发点。跟OCSP一起告别舞台的，还有TLS客户端认证证书的签发，以及那个经常被当救命稻草的到期邮件通知服务，已正式停用。

运维群当天就吵开了。“45天一换，我之前的crontab算是废了”“没OCSP，那OCSP Stapling不是直接残了”。还有人翻出三年前写的证书监控脚本，发现里面还硬编码着90天有效期的判断阈值。

这些反应恰恰暴露了一个旧伤疤。

哪怕自动化工具已经普及这么多年，相当多团队对证书管理的认知还停留在“90天换一次，每年换四次，撑死改个cron表达式”的水平。Let's Encrypt这轮调整，直接把容忍空间压缩到零。

跟没接触过证书自动化的同行解释ACME协议，我最常用的比喻是自助洗车。

你想洗车，过去得把钥匙交给洗车店，约时间、排队、交钱，折腾一圈。ACME协议相当于你在自己车位边上装了一套自动洗车设备，车开进去，感应器识别，喷水打泡沫吹干一气呵成。证书申请、验证、签发、部署这四件事，ACME帮你串成一根筋，你只要告诉它域名在哪、验证方式选哪个，其余的事机器比人靠谱。

举个真实的命令行交互。你用acme.sh给一个泛域名签发证书，验证方式走DNS API，脚本自动在你的DNS托管商那插入一条TXT记录，Let's Encrypt校验通过后证书落地，整个过程不出十秒。再配合一个reload钩子，Nginx重载完后新证书已经生效了。

你的Shell历史里留的是一行 acme.sh --issue --dns dns_cf -d example.com -d '*.example.com'，而不是一长串openssl命令加上手搓CSR的回忆。

问题在于，自建ACME客户端这件事看着简单，跑起来全是坑。DNS厂商的API兼容性参差不齐，国内某些云解析的权限模型能把自动化卡死；证书部署跨多台负载节点时，私钥分发和文件权限管理稍微疏忽就挂掉一片服务；OCSP Stapling失效后，你得重新梳理证书吊销检查链路，浏览器不再实时查询OCSP响应了，全量CRL下载、缓存、更新策略得自己搭。

再叠加45天的有效期，出错窗口被压缩得极其狭窄。以前90天过期，中间哪怕漏掉一次续期告警，还有几周缓冲。现在一个节假日、一个变更冻结窗口、一个API限频误判，证书就静悄悄过期了。没有OCSP快速查询通道，终端用户感知到的不是“证书有问题”，而是直接连接失败。

我在去年帮一个电商团队处理过线上事故。

起因是运维离职，他个人账号注册的Let's Encrypt证书到期，公司邮箱没收到告警，泛域名证书失效，整个商品详情页的静态资源CDN全部断开。当时业务线负责人说了一句让我记到现在的话：“我觉得证书这东西就不应该让人类来记住。”

这句话放到45天时代，已经不是感叹，是刚需。

行业里自动化证书管理的方案其实已经很成熟。lcjmSSL这类平台走的就是把ACME能力封装成一条简洁API的道路，从申请、验证、部署到续期做成闭环。

你不用关心底层对接的是Let's Encrypt、Google Trust Services还是ZeroSSL，也不用自己维护一套分布式私钥分发机制。多域名、泛域名、IP证书都能走统一接口，验证环节提供DNS和HTTP两种模式，部署阶段直接下发证书和私钥，回调钩子打通Nginx、Apache、Caddy这些主流服务器的重载动作。

对一个三五人的小团队来说，以前得有人专门抽半天排查“为什么ACME验证失败，是不是TXT记录没生效”，现在一台边缘节点的Agent跑起来，证书到期前十天内自动轮换，业务完全无感知。

不是魔法，只是把本该自动化的东西真正自动化了。

Let's Encrypt的这纸公告，很多同行只读出了“有效期变短”这一个信息。更深层的信号是整个Web PKI体系在推动短生命周期证书和CRL优先的吊销模式。OCSP是过去十几年里一个折中方案，隐私问题、性能问题、单点故障问题从来没真正解决过。砍掉它，行业不得不转向更简洁也更粗暴的CRL分发。而短有效期证书，则是从根上缩小私钥泄露的爆破窗口，让每张证书变成一个短命令牌。

这个趋势不会停在Let's Encrypt一家。商业CA迟早跟进，基线要求摆在那里，只是执行时间表的问题。

早年间“证书配好就忘”的好日子彻底结束了。

未来运维的及格线不再是“会不会签发证书”，而是“能不能让证书的存在对业务透明”。那套手写Shell、单机部署、人脑记忆续期的玩法，该归档进/var/log/obsolete/了。