EN

术语表

ACME Profile （ACME 证书配置文件）

最后核实

定义

ACME Profile 是 CA 在 ACME 目录中公布的命名证书模板，客户端下单时选择它来决定证书的有效期和内容。

ACME Profile 是 ACME 协议的一项扩展：CA 在目录（directory）的 meta.profiles 字段中列出可用的 Profile 及简短说明，客户端在 newOrder 请求里加上 profile 字段即可选用。Let's Encrypt 于 2025-01-09 宣布了三种 Profile：classic（默认）、tlsserver 和 shortlived。shortlived 签发六天（160 小时）有效期的证书；这类证书以及通过同一 Profile 签发的 IP 地址证书，于 2026-01-15 正式全面开放。

为什么重要

有了 Profile，CA 调整证书内容时不必让所有客户端同时“措手不及”。ISRG 于 2025-12-02 公布的 45 天计划就依赖它：tlsserver 自 2026-05-13 起签发 45 天证书；默认的 classic 将在 2027-02-10 起改为 64 天、授权复用期 10 天，2028-02-16 起再改为 45 天、授权复用期 7 小时。客户端认证的退出也是通过 Profile 完成的：classic 自 2026-02-11 起不再包含 clientAuth EKU，tlsclient Profile 已于 2026-07-08 停用。用 Let's Encrypt 证书做 mTLS 客户端认证的国内业务，需要改用私有 CA。

例子

查看 Let's Encrypt 提供的 Profile，再在新订单中指定：

curl -s https://acme-v02.api.letsencrypt.org/directory | jq .meta.profiles

{
  "identifiers": [{ "type": "dns", "value": "example.com" }],
  "profile": "tlsserver"
}

支持 Profile 的客户端会把它做成一个选项；不支持的客户端继续拿到默认的 classic 证书。

常见误区

  • Profile 是在 CSR 里指定的。 它是 ACME 订单的字段，CSR 只提供公钥和域名。
  • 默认 Profile 的有效期永远不变。 按已公布的计划，classic 将在 2027-02-10 起缩短为 64 天，2028-02-16 起缩短为 45 天。
  • 短期证书也必须带 OCSP 或 CRL 地址。 按 SC-063 投票，2026-03-15 起签发、有效期不超过 7 天的证书可以不带，短寿命本身就是保护。

延伸阅读