主机圈「Let’s Encrypt」宣布在 2025 年推出 6 天和 IP 地址证书选项
今年，我们将继续履行提高 Web PKI 安全性的承诺，推出获取具有 6 天生命周期的证书（“短期证书”）的选项。除了域名之外，我们还将添加对 IP 地址的支持。我们有效期较长的证书目前的有效期为 90 天，将继续与我们的 6 天产品一起提供。订阅者将能够通过添加到 ACME API 的证书配置文件机制来选择使用短期证
书。
较短的证书生命周期有利于安全性
当与证书关联的私钥泄露时，建议始终是吊销证书，以便人们知道不要使用它。遗憾的是，证书吊销效果不佳。这意味着密钥被盗用（或其他问题）的证书可以继续使用，直到它们过期。证书的生存期越长，使用有问题的证书的可能性就越长。
短期证书的主要优点是，它们大大缩短了潜在的泄露窗口，因为它们的过期时间相对较快。这减少了对证书吊销的需求，而证书吊销在历史上是不可靠的。我们的六天证书将不包含 OCSP 或 CRL URL。此外，短期证书实际上需要自动化，我们认为自动颁发证书对于安全性非常重要。
用于保护其他用例的 IP 地址支持
我们将支持将 IP 地址作为主题备用名称包含在我们的六天证书中。这将启用具有公开信任证书的安全 TLS 连接，以连接到通过 IP 地址提供的服务，而无需域名。
IP 地址验证的工作方式与域名验证大致相同，但验证将仅限于 http-01 和 tls-alpn-01 质询类型。dns-01 质询类型将不可用，因为 DNS 不参与验证 IP 地址。此外，没有检查 IP 地址的 CAA 记录的机制。
时间线
我们预计将在今年 2 月向我们自己颁发第一批有效的短期证书。在 4 月左右，我们将为一小部分早期采用的订阅者启用短期证书。我们希望在 2025 年底之前正式提供短期证书。
我们颁发的最早的短期证书可能不支持 IP 地址，但我们打算在短期证书正式发布时启用 IP 地址支持。
如何获取 6 天证书和 IP 地址证书
一旦您可以选择短期证书，您将需要使用支持 ACME 证书配置文件的 ACME 客户端并选择短期证书配置文件（其名称将在以后发布）。
一旦您可以选择 IP 地址支持，在证书中请求 IP 地址将自动选择短期证书配置文件。
展望未来
准备利用短期证书的最佳方法是确保您的 ACME 客户端以自动方式可靠地续订证书。如果这运行良好，那么切换到短期证书应该不会产生任何费用。
如果您对我们的计划有任何疑问或意见，请随时在我们的社区论坛上告诉我们。
关于 Let’s Encrypt
Let’s Encrypt 是一家免费、开放、自动化的公益性证书颁发机构（CA）， 由互联网安全研究组（ISRG）运作。
来源：Announcing Six Day and IP Address Certificate Options in 2025