# Let's Encrypt、ZeroSSL、Google Trust Services 怎么选（2026）

> Let's Encrypt、ZeroSSL、Google Trust Services 三家免费 ACME CA 怎么选：有效期、是否要注册账号、通配符支持，以及怎样搭配成主用加备用 CA。

Source: https://ssl.sh/zh/compare/lets-encrypt-vs-zerossl-vs-google-trust-services/
Last updated: 2026-11-10

大多数网站默认选 **Let's Encrypt**：不用注册账号，几乎所有面板和 ACME 客户端都内置支持，证书到处都被信任。ZeroSSL 适合作为第二家 CA（客户端要支持外部账户绑定 EAB），Google Trust Services 适合已经在用 Google Cloud 的团队。三家都免费、都签发 DV 证书（通配符要用 DNS-01 验证），可以互相做备份。

## 一览

三家里只有 Let's Encrypt 不用注册账号。截至 2026 年 11 月的对比：

| | Let's Encrypt | ZeroSSL | Google Trust Services |
|---|---|---|---|
| 价格 | 免费 | ACME 免费；网页端有付费套餐 | 免费 |
| 是否需要账号 | 不需要 | 需要，EAB 凭据 | 需要，Google Cloud 项目 + EAB 密钥 |
| 默认有效期 | 90 天（2027-02-10 起 64 天） | 90 天 | 见 Google Cloud 文档 |
| 更短的选项 | 45 天 `tlsserver`、160 小时 `shortlived` | — | — |
| 通配符 | 支持（DNS-01） | 支持 | 支持 |
| CAA 值 | `letsencrypt.org` | 见 ZeroSSL 文档 | `pki.goog` |
| 网页界面 | 无 | 有（免费版 3 张） | 无（gcloud 命令行） |

## Let's Encrypt

Let's Encrypt 最简单：certbot、acme.sh、Caddy 或宝塔面板指向它，证书就会自动续期。它也是缩短有效期最积极的 CA：`classic` 配置签 90 天证书，`tlsserver` 配置 45 天，可选的 `shortlived` 配置只有 160 小时。2027 年 2 月 10 日默认改为 64 天，2028 年改为 45 天，所以要确认客户端按证书实际有效期（或 ARI）续期，而不是写死“每 60 天续一次”的定时任务。

## ZeroSSL

ZeroSSL 通过 `https://acme.zerossl.com/v2/DV90` 不限量免费签发 90 天证书，但客户端必须用 ZeroSSL 账户的外部账户绑定（EAB）凭据注册；acme.sh 可以只凭邮箱自动生成。网页端适合完全跑不了 ACME 的情况，但免费版只能申请 3 张。ZeroSSL 的证书链到 Sectigo 根证书，和 Let's Encrypt 的链不同，用作备份正合适。

## Google Trust Services

Google 的免费公共 CA 通过 Google Cloud Certificate Manager 使用：在 Google Cloud 项目里启用 Public CA API，用 `gcloud publicca external-account-keys create` 创建 EAB 密钥，再用它注册 ACME 客户端。适合基础设施本来就在 Google Cloud 上的团队；对一个小网站来说，配置比 Let's Encrypt 麻烦，国内团队开通 Google Cloud 账号和付款验证也可能不方便。

## 推荐配置

Let's Encrypt 作主用，另一家作备用：

1. Let's Encrypt 作主用 CA。
2. 在 ACME 客户端里把 ZeroSSL 或 Google Trust Services 设为备用。
3. 发布同时允许两家 CA 的 CAA 记录，用 [CAA 检查工具](https://ssl.sh/zh/tools/caa-checker/)确认，或用 [CAA 生成器](https://ssl.sh/zh/tools/caa-generator/)生成。
4. 监控到期时间，别让续期失败直接影响访客，见[自动续期证书](https://ssl.sh/zh/learn/automate-certificate-renewal/)。

如果需要 OV、EV 或厂商技术支持，这三家都不行，见[免费和付费 SSL 的区别](https://ssl.sh/zh/compare/free-vs-paid-ssl/)。