# Let's Encrypt：免费 ACME 证书、根证书与近期变化

> Let's Encrypt 是非营利组织 ISRG 运营的免费 ACME CA：根证书、DV 证书，以及 2025–2026 年 OCSP、到期邮件、客户端认证的变化。

Source: https://ssl.sh/zh/cas/lets-encrypt/
Last updated: 2026-11-10

Let's Encrypt 是一家免费、自动化的证书颁发机构：免费签发域名验证（DV）TLS 证书，而且只通过 [ACME](https://ssl.sh/zh/glossary/acme/) 协议签发，续期可以完全自动化。它由美国非营利组织互联网安全研究小组（ISRG）运营，证书被所有主流浏览器和操作系统信任。国内站长熟悉的宝塔面板“Let's Encrypt 证书”、acme.sh、certbot，背后用的都是它。

## 所有者与总部

Let's Encrypt 是 ISRG 提供的服务。ISRG 是总部在美国的非营利组织，靠赞助和捐款维持运营，没有任何付费版本。CCADB 中登记的 CA 所有者是“Internet Security Research Group”。

## 根证书

截至 2026 年 11 月，CCADB 数据显示 Let's Encrypt 有两张根证书被 Chrome、Mozilla、Apple 和微软同时信任用于 TLS：ISRG Root X1（RSA 4096，有效期至 2035-06-04）和 ISRG Root X2（ECDSA P-384，有效期至 2040-09-17）。官方证书链页面还列出了两张新根证书 ISRG Root YE（ECDSA P-384）和 ISRG Root YR（RSA 4096），生成于 2025-09-03，分别由 X2 和 X1 交叉签名，因此在被各根证书计划收录之前也能正常使用。这套“Generation Y”中间证书不含 TLS 客户端认证用途。

## 证书产品

只有 [DV 证书](https://ssl.sh/zh/glossary/dv-certificate/)：单域名、多域名（一张证书多个名称）和[通配符证书](https://ssl.sh/zh/glossary/wildcard-certificate/)，通配符必须用 [DNS-01](https://ssl.sh/zh/glossary/dns-01/) 验证。没有 OV、EV，也没有代码签名和 S/MIME 证书。签发数量受公开的频率限制约束，而不是靠收费。

## ACME 支持

Let's Encrypt 是第一个围绕 ACME 构建的 CA，IETF 后来把 ACME 标准化为 RFC 8555。所有证书都通过它的 ACME 接口签发，常用客户端有 certbot、acme.sh、Caddy，以及宝塔等面板内置的客户端，支持 HTTP-01、DNS-01 和 TLS-ALPN-01 三种验证。国内服务器若因备案等原因不开放 80 端口，可以用 DNS-01，配合 DNSPod、阿里云 DNS 的 API 自动完成验证。

## 免费证书

所有证书都免费。这也是大多数虚拟主机、CDN 和服务器面板默认集成 Let's Encrypt 的原因。

## 重大事件

对运维影响更大的是近两年的规则调整。Let's Encrypt 于 2025-05-07 从证书中去掉 OCSP 地址，2025-08-06 关闭 OCSP 服务，改为只用 CRL，这是 [SC-063v4](https://ssl.sh/zh/ballots/sc-063/) 允许的做法。2025-06-04 起不再发到期提醒邮件，需要自己做监控。默认的 classic 配置在 2026-02-11 去掉了客户端认证用途，可选的 tlsclient 配置也在 2026-07-08 停用，双向 TLS（mTLS）客户端证书需要另找来源。完整历程见 [Let's Encrypt 时间线](https://ssl.sh/zh/timeline/lets-encrypt/)。


## 根证书（CCADB）

Let's Encrypt 在 CCADB TLS 报告里有 2 张根证书，它们一共签发了 30 张中间证书，其中 18 张仍有效。

| 根证书 | 密钥 | 到期时间 | Chrome | Mozilla | Apple | Microsoft | 中间证书 | SHA-256 |
|---|---|---|---|---|---|---|---|---|
| ISRG Root X1 | RSA 4096 | 2035-06-04 | 已收录 | 已收录 | 已收录 | 已收录 | 21 | 96BCEC06264976F37460779ACF28C5A7CFE8A3C0AAE11A8FFCEE05C0BDDF08C6 |
| ISRG Root X2 | ECDSA P-384 | 2040-09-17 | 已收录 | 已收录 | 已收录 | 已收录 | 9 | 69729B8E15A86EFC177A57AFB7171DFC64ADD28C2FCA8CF1507E34453CCB1470 |

## CAA 记录

CCADB 登记了 1 个被 Let's Encrypt 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 Let's Encrypt 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。

```
example.com. CAA 0 issue "letsencrypt.org"
```

## 审计信息

CCADB 为 Let's Encrypt 的 TLS 根证书登记的审计信息。审计机构：BDO International Limited。最近一次审计期间截至 2025-08-31。

- 标准审计: WebTrust 2024-09-01 – 2025-08-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=199da409-9e04-4319-a0c9-f18c40b0cf87)
- 网络安全审计: WebTrust 2024-09-01 – 2025-08-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=6c4b41c0-df48-4a20-bf2c-4a3dacd397d9)
- TLS 基线要求审计: WebTrust 2024-09-01 – 2025-08-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=0df45c7d-5cd5-4791-84b1-4818c4010cca)

## CP/CPS 文档

Let's Encrypt 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：

- CP/CPS: https://letsencrypt.org/documents/isrg-cp-cps-v6.2/
- Markdown CP/CPS: https://raw.githubusercontent.com/letsencrypt/cp-cps/refs/tags/v6.2/CP-CPS.md

## 问题上报渠道

要上报错误签发的证书、私钥泄露或证书滥用，请用 Let's Encrypt 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：

- cert-prob-reports[at]letsencrypt[dot]org
- https://letsencrypt.org/contact/

## 事故记录

加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“Let's Encrypt”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=Let%27s+Encrypt&order=changeddate+DESC

## 常见问题

**Let's Encrypt 的证书比付费证书不安全吗？**

不会。Let's Encrypt 的 DV 证书和付费 DV 证书使用同样的 TLS 加密，被同样的浏览器信任。付费证书的区别在于验证级别（OV/EV）、售后支持、保险和有效期，而不是加密强度。

**Let's Encrypt 还会在证书到期前发邮件提醒吗？**

不会了。Let's Encrypt 已于 2025-06-04 停止到期提醒邮件，请依靠自动续期，并另外配置到期监控。

**允许 Let's Encrypt 签发证书的 CAA 记录怎么写？**

写一条 example.com. CAA 0 issue "letsencrypt.org" 即可。CCADB 为 Let's Encrypt 登记了 1 个认可的域名：letsencrypt.org。

**Let's Encrypt 由谁审计？**

按 CCADB 记录，审计机构是 BDO International Limited。最近一次TLS 基线要求审计（WebTrust）覆盖 2024-09-01 至 2025-08-31，报告日期 2025-11-06。

来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。