Let’s Encrypt

ADADAD固定广告位图片或标题，点击入驻固定广告位图片或标题，点击入驻固定广告位图片或标题，点击入驻

一、网站简介

Let’s Encrypt 是一个免费、自动化、开放的证书颁发机构（CA），由互联网安全研究组（ISRG）运营，致力于推动全球互联网从 HTTP 向 HTTPS 迁移。自 2015 年推出以来，Let’s Encrypt 已签发超过数十亿张免费 SSL/TLS 证书，极大降低了网站启用 HTTPS 的门槛，是全球普及 HTTPS 的最大推动力量。用户只需通过 ACME 协议自动化客户端（如 Certbot、acme.sh），即可一键申请和部署证书，并实现自动续期。

二、公司背景

Let’s Encrypt 由互联网安全研究组（ISRG）运营，ISRG 是一个在美国注册的公益非营利组织。Let’s Encrypt 的发起方和主要赞助商包括 Mozilla、Cisco、Akamai、Electronic Frontier Foundation（EFF）、IdenTrust、Google、Facebook、Sectigo 等全球顶级科技公司和组织。Let’s Encrypt 的根证书已被所有主流浏览器和操作系统信任，其签发的证书与商业 CA 的证书具有同等的安全效力。

三、核心功能

• 完全免费 SSL/TLS 证书：任何拥有域名的个人或组织均可零成本获得受浏览器信任的 DV（域名验证）SSL 证书，支持 RSA 和 ECC（ECDSA）双算法，密钥强度高达 4096 位。
• ACME 自动化协议：Let’s Encrypt 制定了 ACME（自动证书管理环境）开放标准协议，通过该协议，服务器端软件可自动完成域名验证、证书申请、安装和续期全过程，无需人工干预。
• 通配符证书支持：支持签发通配符证书（*.example.com），可保护主域名下所有二级子域名，通过 DNS-01 验证方式完成域名所有权认证。
• 90 天短期证书与自动续期：每张证书有效期为 90 天，到期前自动续期。短期证书策略增强了安全性——即使私钥泄露，攻击者可利用的时间窗口也非常有限。
• 证书透明度（CT）日志：所有签发的证书都公开记录在 Certificate Transparency 日志中，任何人都可以审计和监控，确保 CA 行为的透明可信。
• 多客户端生态支持：官方推荐 Certbot 客户端（由 EFF 开发），社区还提供了 acme.sh、lego、Caddy 等数十种 ACME 客户端，覆盖 Linux、Windows、macOS、Docker 等所有主流平台。

四、网站特点

• 完全免费无限制：不限制证书数量和域名数量，个人和企业均可无限申请，彻底消除了 HTTPS 部署的成本门槛。
• 全球浏览器信任：根证书已预置在 Chrome、Firefox、Safari、Edge 等所有主流浏览器中，用户访问时不会出现安全警告。
• 开源与开放标准：ACME 协议已成为 IETF 国际标准（RFC 8555），整个 CA 系统运作高度透明，代码开源可审计。
• 推动行业变革：Let’s Encrypt 的出现直接推动了全球 HTTPS 普及率从约 40% 飙升至 90% 以上，是互联网安全历史上的里程碑。

五、适用人群

• 个人站长和博主：零成本为个人网站启用 HTTPS，提升安全性和搜索引擎排名。
• 中小企业运维：为多台服务器和多个域名批量部署免费 SSL，大幅降低 IT 安全预算。
• 开发者与 DevOps：通过 ACME 协议将 SSL 证书管理集成到 CI/CD 流水线中，实现全自动化部署。
• 教育与非营利机构：预算有限但需要保护用户数据安全的学校和公益组织。

六、应用场景

• 个人博客 HTTPS 化：在服务器上安装 Certbot，执行 certbot –nginx 命令，3 分钟内即可完成 SSL 证书申请和 Nginx 配置，博客即刻支持 HTTPS。
• 多子域名批量保护：通过 acme.sh 的 DNS API 模式申请通配符证书，一次性保护 blog.example.com、shop.example.com、api.example.com 等所有子域名。
• Docker 容器 SSL 自动化：使用 Nginx Proxy Manager 或 Traefik 等反向代理工具，配合 Let’s Encrypt 自动为每个容器服务签发独立证书。
• IoT 设备安全通信：利用 ACME 协议为物联网设备签发客户端证书，实现设备与云端之间的双向 TLS 加密通信。

七、常见问题（FAQ）

Q：Let’s Encrypt 在国内能否直接访问？
A：可以。Let’s Encrypt 官网（letsencrypt.org）在国内网络环境下可以直接访问。证书签发过程中，ACME 客户端需要通过 HTTP-01 或 DNS-01 方式完成域名验证，国内服务器在验证环节通常不会遇到网络障碍。如果使用 DNS-01 验证方式，则完全不受服务器网络环境影响。

Q：Let’s Encrypt 免费证书和付费 SSL 证书有什么区别？
A：从加密强度来看，两者没有区别，都使用相同的 TLS 加密技术。区别在于：Let’s Encrypt 仅提供 DV（域名验证）级别证书，不提供 OV（组织验证）和 EV（扩展验证）证书；此外免费证书不含商业保险赔付保障，但对于绝大多数网站而言完全够用。

Q：证书 90 天过期会不会太麻烦？
A：不会。ACME 客户端（如 Certbot）默认会自动续期，通常在证书到期前 30 天自动完成更新，无需人工干预。只需确保客户端服务（crontab 或 systemd timer）正常运行即可。

Q：Let’s Encrypt 有没有速率限制？
A：有。主要限制包括：每个域名每周最多申请 50 张证书；每张证书最多包含 100 个域名；每个注册域名每周最多 5 张通配符证书。对于绝大多数正常使用场景，这些限制绰绰有余。

八、类似网站

• ZeroSSL：提供免费 SSL 证书的在线平台，支持网页端一键申请和 API 自动化，也支持 IP 地址证书。
• BuyPass：另一个免费 SSL 证书 CA，提供 180 天有效期的免费证书，支持 ACME 协议。
• SSL.com：商业 CA 也提供 90 天免费 DV 证书，可作为 Let’s Encrypt 的备用选择。