Let's Encrypt 默认证书的 64 天有效期

Let's Encrypt 10 月 7 日公告，2027 年 2 月 10 日起签发与续期的证书，默认有效期从 90 天缩短为 64 天。最后一张 90 天证书预计 2027 年 5 月 11 日到期，现有的有效证书不会被吊销。公告只对搭建网站与自建服务的人提出要求，没有针对一般访问者的说明。

测试环境（staging）10 月 14 日先改发 64 天证书，Let's Encrypt 建议正式生效前先在这里测试。依 2025 年 12 月的公告，2028 年 2 月 16 日默认有效期会再缩短为 45 天。想提早改用的人，现在就可以选 45 天或 6 天的证书类型（profile，申请时指定的一组证书规格）。

Let's Encrypt 写明缩短有效期是为了降低密钥泄露与证书误签发的风险。CA/Browser Forum（证书机构与浏览器厂商共同制定证书规范的组织）2025 年 4 月通过的决议，把证书有效期上限从 398 天逐步缩短，2026 年 3 月 15 日起 200 天、2027 年 3 月 15 日起 100 天、2029 年 3 月 15 日起 47 天。64 天比 2027 年的上限更短，本文依两份公告的时间表推论，这是 Let's Encrypt 在 2029 年 47 天上限之前自定的中间阶段。

导读观点

证书用来证明「这个网站就是它声称的那一个」，密钥泄露或被误签发的证书，在到期之前都可能被拿来冒充网站。有效期越短，出事之后能被冒用的时间就越短（依 Let's Encrypt 2015 年的说明，这也是当初选择 90 天的理由之一）。代价是续期变得更频繁，Let's Encrypt 2 月的说明预期有效期缩到 45 天时每天的续期请求会翻倍。2025 年 12 月的公告写明不建议手动续期，10 月的公告也写明速率限制不受影响。

负责申请与续期证书的程序称为 ACME 客户端，例如 Certbot。已经自动续期、而且客户端支持 ARI（ACME Renewal Information，让证书机构告诉客户端何时该续期的机制，2025 年成为 RFC 9773）的人，依公告不必做任何改动，Certbot 从 2025 年 6 月的 4.1.0 版起默认会检查 ARI。把续期时间写死在固定天数的人，Let's Encrypt 建议改成在有效期约三分之二时续期。不确定有没有写死的，可以在定时任务、脚本与运维手册里找 83、80、60 这类数字。

第三方监测网站 GreatFire 的页面（10 月 12 日查阅，最近一次测试在 9 月中旬，9 月几次连接被拒绝已不再算作封锁的证据）显示，letsencrypt.org 与签发证书用的 ACME 接口在中国大陆都可以连接。2015 年修订的《电子认证服务管理办法》规范电子签名认证，条文没有写是否适用网站的 TLS 证书。截至 10 月 12 日，本文也没有找到针对境外机构签发 TLS 证书的明文规定。中国大陆的证书机构 iTrusChina、SHECA、TrustAsia 在 CA/Browser Forum 那次投票中都投了赞成票。

用 Let's Encrypt 搭建网站的读者现在可以先确认客户端是否支持 ARI，10 月 14 日之后用测试环境执行一次续期，并照公告的建议加上续期失败的通知。只能通过网页界面手动上传证书的设备，公告没有专门的说明。依本文推算，每张证书用满 64 天一年也要换 6 次，照公告建议在约三分之二时更换约要 9 次。Let's Encrypt 的客户端列表页说明不列浏览器内的 ACME 客户端，理由是它们鼓励手动续期，会增加漏掉续期的风险。