Let's Encrypt、ZeroSSL、Google Trust Services 对比

大多数网站默认选 Let's Encrypt：不用注册账号，几乎所有面板和 ACME 客户端都内置支持，证书到处都被信任。ZeroSSL 适合作为第二家 CA（客户端要支持外部账户绑定 EAB），Google Trust Services 适合已经在用 Google Cloud 的团队。三家都免费、都签发 DV 证书（通配符要用 DNS-01 验证），可以互相做备份。

一览

三家里只有 Let's Encrypt 不用注册账号。截至 2026 年 11 月的对比：

Let's Encrypt

Let's Encrypt 最简单：certbot、acme.sh、Caddy 或宝塔面板指向它，证书就会自动续期。它也是缩短有效期最积极的 CA：classic 配置签 90 天证书，tlsserver 配置 45 天，可选的 shortlived 配置只有 160 小时。2027 年 2 月 10 日默认改为 64 天，2028 年改为 45 天，所以要确认客户端按证书实际有效期（或 ARI）续期，而不是写死“每 60 天续一次”的定时任务。

ZeroSSL

ZeroSSL 通过 https://acme.zerossl.com/v2/DV90 不限量免费签发 90 天证书，但客户端必须用 ZeroSSL 账户的外部账户绑定（EAB）凭据注册；acme.sh 可以只凭邮箱自动生成。网页端适合完全跑不了 ACME 的情况，但免费版只能申请 3 张。ZeroSSL 的证书链到 Sectigo 根证书，和 Let's Encrypt 的链不同，用作备份正合适。

Google Trust Services

Google 的免费公共 CA 通过 Google Cloud Certificate Manager 使用：在 Google Cloud 项目里启用 Public CA API，用 gcloud publicca external-account-keys create 创建 EAB 密钥，再用它注册 ACME 客户端。适合基础设施本来就在 Google Cloud 上的团队；对一个小网站来说，配置比 Let's Encrypt 麻烦，国内团队开通 Google Cloud 账号和付款验证也可能不方便。

推荐配置

Let's Encrypt 作主用，另一家作备用：

1. Let's Encrypt 作主用 CA。
2. 在 ACME 客户端里把 ZeroSSL 或 Google Trust Services 设为备用。
3. 发布同时允许两家 CA 的 CAA 记录，用 CAA 检查工具确认，或用 CAA 生成器生成。
4. 监控到期时间，别让续期失败直接影响访客，见自动续期证书。

如果需要 OV、EV 或厂商技术支持，这三家都不行，见免费和付费 SSL 的区别。