每个人都可以，
拥有SSL证书

DigiCert这份数字信任与合规规划日历，把原本散在CA/B论坛、浏览器厂商和行业组织里的强制节点拼成了一条时间线。

2026年2月24日起公共TLS证书有效期先降到199天，比CA/B论坛的强制日期还早了三周。到2027年3月15日直接压到99天，2029年再降到47天。

短周期不是唯一的变化。日历里还有几项更让运维头疼的条目。2026年4月15日Chrome和Mozilla移除公共G1根证书，5月15日吊销G2/G3多用途中间CA和G5交叉根。

2026年6月1日起Chrome强制所有公共TLS证书记录证书透明度日志，DV、OV、EV甚至测试证书都跑不掉。多视角签发佐证MPIC在6月从3个远程视角升到4个，12月升到5个。

这些条件堆在一起，手动维护证书的窗口基本被关掉了。

ACME协议在这个背景下绕不过去。可以把它理解成证书版的自动代扣协议。水电费如果每个月手动去营业厅交，偶尔忘一次还能补交。一旦改成每47天就要跑一趟，还要带不同的验证材料，没人能靠脑子和日历撑住。

ACME干的就是这件事：客户端向CA证明你对域名有控制权，CA验证通过后签发证书，客户端再把证书部署到服务端，全程不用人介入。

常见的命令大概是这样：

certbot certonly --webroot -w /var/www/html -d example.com -d www.example.com

acme.sh --issue -d example.com --dns dns_cf

报错也不少见：

urn:ietf:params:acme:error:rateLimited

too many certificates already issued for exact set of domains

在证书有效期199天、99天的节奏下，重签频率成倍上升，速率限制、DNS传播延迟、验证路径失效这些问题会被同步放大。

以前一年一次手工续期时，这些问题可能只是偶发。现在一个业务域名一年要签三四次甚至更多，任何一次失败都可能导致线上证书过期。

企业侧的麻烦还不止续期本身。CT日志强制后，每次签发都要确认SCT时间戳落在日志里。

MPIC升级到4到5个远程视角，意味着CA需要从多个网络位置独立验证申请，老旧的单点验证流程会被迫改造。根证书和中间CA的移除更直接，如果业务系统里还固定信任旧交叉根，或者证书链夹着被吊销的G2/G3中间CA，访问时就会报出x509: certificate signed by unknown authority这类错误。这些问题跟证书有效期缩短叠加，手工脚本、表格台账、邮件提醒的方式基本失效。

lcjmSSL这类平台做的事正好对着这些坑。它把Let's Encrypt、Google Trust Services、ZeroSSL这些支持ACME协议的CA接到统一接口上，支持多域名、泛域名和IP证书。自动申请、验证、部署都通过API和ACME客户端完成，不需要在每台机器上分别维护各家CA的配置。

我自己的用法是把ACME客户端指向lcjmSSL的API，证书到期前自动续期安装，人工只留监控告警。对短周期证书来说，这种自动化的价值不在省下几分钟，而是把续期从人肉任务变成流水线步骤。

DigiCert这份日历更像一个提醒。

公共TLS证书47天的时代已经在路线图上，浏览器和CA/B论坛的强制日期不会等人。ACME协议以前被不少团队当成可选优化，等证书有效期压到两位数天数，自动化签发、CT日志记录、多视角验证这些环节都得进流水线，不然证书过期会从年度事故变成高频故障。