# ARI（ACME 续期信息）是什么？定义、例子与常见误区

> ARI 是 ACME 的扩展标准（RFC 9773），由 CA 告诉客户端某张证书应该在哪个时间窗口内续期。

Source: https://ssl.sh/zh/glossary/ari/
Last updated: 2026-11-10

ARI（ACME Renewal Information，ACME 续期信息）于 2025 年 6 月发布为 [RFC 9773](https://www.rfc-editor.org/rfc/rfc9773)，在 [ACME](https://ssl.sh/zh/glossary/acme/) 目录中新增了 renewalInfo 接口。客户端用证书的授权密钥标识符（AKI）和序列号拼出标识，查询该接口，得到一个包含开始和结束时间的建议续期窗口，以及可选的说明链接。客户端在窗口内随机挑一个时间点续期，下新订单时在 replaces 字段中注明要替换的旧证书。

## 为什么重要
“到期前 30 天续期”这类固定规则，在证书有效期变化或 CA 需要提前吊销时就不灵了。有了 ARI，CA 一旦发现[错误签发](https://ssl.sh/zh/glossary/misissuance/)，可以把受影响证书的续期窗口提前到过去，遵守规则的客户端会立刻续期，赶在[吊销](https://ssl.sh/zh/glossary/revocation/)让网站下线之前换上新证书。ARI 还能把续期请求分散到不同时间，避免集中冲击；按 SC-081v3 投票，最长有效期将依次缩短到 200 天、100 天和 47 天，ARI 也能自动适应。

## 例子
renewalInfo 接口的一个响应：

```json
{
  "suggestedWindow": {
    "start": "2026-11-20T08:00:00Z",
    "end": "2026-11-21T08:00:00Z"
  },
  "explanationURL": "https://example.com/incident"
}
```

客户端定期查询，一旦当前时间越过窗口内随机选定的时间点就发起续期。选择 ACME 客户端时，可以把是否支持 ARI 作为一项考量。

## 常见误区
- **有了 ARI 就不需要按到期时间续期的逻辑。** CA 不支持 ARI 或接口不可达时，客户端仍应退回到合理的默认规则。
- **ARI 是 Let's Encrypt 独有的功能。** 它是 IETF 标准，任何 ACME CA 都可以实现。
- **所有证书拿到的窗口都一样。** CA 针对每张证书单独设置窗口，所以能只让受事件影响的证书提前续期。

## 相关术语

- [ACME](https://ssl.sh/zh/glossary/acme/): ACME 是 IETF 标准协议（RFC 8555），让软件自动向 CA 证明域名控制权，并自动申请、续期和吊销证书。
- [证书续期](https://ssl.sh/zh/glossary/certificate-renewal/): 证书续期是在证书到期前申请一张新证书来替换它，最好全自动完成并同时更换密钥对。
- [证书吊销](https://ssl.sh/zh/glossary/revocation/): 证书吊销是 CA 在证书到期前宣布其作废的操作，通过 CRL 或 OCSP 对外公布，使客户端不再信任这张证书。
- [错误签发](https://ssl.sh/zh/glossary/misissuance/): 错误签发是指 CA 违反 Baseline Requirements 或根证书计划政策签发证书，从验证缺陷到字段格式错误都算在内。
- [Let's Encrypt](https://ssl.sh/zh/glossary/let-s-encrypt/): Let's Encrypt 是由非营利组织 ISRG 运营的免费、自动化证书颁发机构，通过 ACME 协议签发域名验证型 TLS 证书。
- [ACME Profile](https://ssl.sh/zh/glossary/acme-profile/): ACME Profile 是 CA 在 ACME 目录中公布的命名证书模板，客户端下单时选择它来决定证书的有效期和内容。