# ACME Profile是什么？定义、例子与常见误区

> ACME Profile 是 CA 在 ACME 目录中公布的命名证书模板，客户端下单时选择它来决定证书的有效期和内容。

Source: https://ssl.sh/zh/glossary/acme-profile/
Last updated: 2026-11-10

ACME Profile 是 [ACME](https://ssl.sh/zh/glossary/acme/) 协议的一项扩展：CA 在目录（directory）的 meta.profiles 字段中列出可用的 Profile 及简短说明，客户端在 newOrder 请求里加上 profile 字段即可选用。Let's Encrypt 于 2025-01-09 宣布了三种 Profile：classic（默认）、tlsserver 和 shortlived。shortlived 签发六天（160 小时）有效期的证书；这类证书以及通过同一 Profile 签发的 [IP 地址证书](https://ssl.sh/zh/glossary/ip-address-certificate/)，于 2026-01-15 正式全面开放。

## 为什么重要
有了 Profile，CA 调整证书内容时不必让所有客户端同时“措手不及”。ISRG 于 2025-12-02 公布的 45 天计划就依赖它：tlsserver 自 2026-05-13 起签发 45 天证书；默认的 classic 将在 2027-02-10 起改为 64 天、授权复用期 10 天，2028-02-16 起再改为 45 天、授权复用期 7 小时。客户端认证的退出也是通过 Profile 完成的：classic 自 2026-02-11 起不再包含 clientAuth [EKU](https://ssl.sh/zh/glossary/extended-key-usage/)，tlsclient Profile 已于 2026-07-08 停用。用 Let's Encrypt 证书做 mTLS 客户端认证的国内业务，需要改用私有 CA。

## 例子
查看 Let's Encrypt 提供的 Profile，再在新订单中指定：

```bash
curl -s https://acme-v02.api.letsencrypt.org/directory | jq .meta.profiles
```

```json
{
  "identifiers": [{ "type": "dns", "value": "example.com" }],
  "profile": "tlsserver"
}
```

支持 Profile 的客户端会把它做成一个选项；不支持的客户端继续拿到默认的 classic 证书。

## 常见误区
- **Profile 是在 CSR 里指定的。** 它是 ACME 订单的字段，CSR 只提供公钥和域名。
- **默认 Profile 的有效期永远不变。** 按已公布的计划，classic 将在 2027-02-10 起缩短为 64 天，2028-02-16 起缩短为 45 天。
- **短期证书也必须带 OCSP 或 CRL 地址。** 按 SC-063 投票，2026-03-15 起签发、有效期不超过 7 天的证书可以不带，短寿命本身就是保护。

## 相关术语

- [ACME](https://ssl.sh/zh/glossary/acme/): ACME 是 IETF 标准协议（RFC 8555），让软件自动向 CA 证明域名控制权，并自动申请、续期和吊销证书。
- [Let's Encrypt](https://ssl.sh/zh/glossary/let-s-encrypt/): Let's Encrypt 是由非营利组织 ISRG 运营的免费、自动化证书颁发机构，通过 ACME 协议签发域名验证型 TLS 证书。
- [短期证书](https://ssl.sh/zh/glossary/short-lived-certificate/): 短期证书是有效期只有几天的 TLS 证书，靠快速过期而不是吊销来限制被盗证书可被滥用的时间。
- [IP 证书](https://ssl.sh/zh/glossary/ip-address-certificate/): IP 证书是在 SAN 中写入 IP 地址的 TLS 证书，使客户端在直接通过 IP 访问服务器时也能验证其身份。
- [有效期](https://ssl.sh/zh/glossary/validity-period/): 有效期是证书中 notBefore 与 notAfter 两个时间之间的区间，只有在此区间内客户端才会接受这张证书。
- [EKU](https://ssl.sh/zh/glossary/extended-key-usage/): EKU 即扩展密钥用途，是列出证书可用于哪些目的（如 serverAuth 服务器认证、clientAuth 客户端认证、代码签名）的 X.509 扩展。
- [ARI](https://ssl.sh/zh/glossary/ari/): ARI 是 ACME 的扩展标准（RFC 9773），由 CA 告诉客户端某张证书应该在哪个时间窗口内续期。