VPS
圈内最新资讯与活动分享

「Let's Encrypt」宣布推出 6 天证书选项

「Let’s Encrypt」宣布在 2025 年推出 6 天和 IP 地址证书选项

今年,我们将继续履行提高 Web PKI 安全性的承诺,推出获取具有 6 天生命周期的证书(“短期证书”)的选项。除了域名之外,我们还将添加对 IP 地址的支持。我们有效期较长的证书目前的有效期为 90 天,将继续与我们的 6 天产品一起提供。订阅者将能够通过添加到 ACME API 的证书配置文件机制来选择使用短期证
书。

较短的证书生命周期有利于安全性

当与证书关联的私钥泄露时,建议始终是吊销证书,以便人们知道不要使用它。遗憾的是,证书吊销效果不佳。这意味着密钥被盗用(或其他问题)的证书可以继续使用,直到它们过期。证书的生存期越长,使用有问题的证书的可能性就越长。

短期证书的主要优点是,它们大大缩短了潜在的泄露窗口,因为它们的过期时间相对较快。这减少了对证书吊销的需求,而证书吊销在历史上是不可靠的。我们的六天证书将不包含 OCSP 或 CRL URL。此外,短期证书实际上需要自动化,我们认为自动颁发证书对于安全性非常重要。

用于保护其他用例的 IP 地址支持

我们将支持将 IP 地址作为主题备用名称包含在我们的六天证书中。这将启用具有公开信任证书的安全 TLS 连接,以连接到通过 IP 地址提供的服务,而无需域名。

IP 地址验证的工作方式与域名验证大致相同,但验证将仅限于 http-01 和 tls-alpn-01 质询类型。dns-01 质询类型将不可用,因为 DNS 不参与验证 IP 地址。此外,没有检查 IP 地址的 CAA 记录的机制。

时间线

我们预计将在今年 2 月向我们自己颁发第一批有效的短期证书。在 4 月左右,我们将为一小部分早期采用的订阅者启用短期证书。我们希望在 2025 年底之前正式提供短期证书。

我们颁发的最早的短期证书可能不支持 IP 地址,但我们打算在短期证书正式发布时启用 IP 地址支持。

如何获取 6 天证书和 IP 地址证书

一旦您可以选择短期证书,您将需要使用支持 ACME 证书配置文件的 ACME 客户端并选择短期证书配置文件(其名称将在以后发布)。

一旦您可以选择 IP 地址支持,在证书中请求 IP 地址将自动选择短期证书配置文件。

展望未来

准备利用短期证书的最佳方法是确保您的 ACME 客户端以自动方式可靠地续订证书。如果这运行良好,那么切换到短期证书应该不会产生任何费用。

如果您对我们的计划有任何疑问或意见,请随时在我们的社区论坛上告诉我们。

关于 Let’s Encrypt

Let’s Encrypt 是一家免费、开放、自动化的公益性证书颁发机构(CA), 由互联网安全研究组(ISRG)运作。


来源:Announcing Six Day and IP Address Certificate Options in 2025

赞(0)
未经允许不得转载:主机圈 » 「Let's Encrypt」宣布推出 6 天证书选项
分享短链

主机圈

VPS圈内最新资讯与活动分享