# Let's Encrypt 推出 Generation Y 根证书与中间证书 > Let's Encrypt 新增根证书 ISRG Root YR（RSA-4096）和 ISRG Root YE（ECDSA P-384），由前代根交叉签名，另有 6 张不含 clientAuth 的中间证书。 Source: https://ssl.sh/zh/news/lets-encrypt-generation-y-hierarchy/ Last updated: 2026-11-10 2025 年 11 月 24 日，Let's Encrypt 公布了一套名为 Generation Y 的新[根证书](https://ssl.sh/zh/glossary/root-certificate/)和[中间证书](https://ssl.sh/zh/glossary/intermediate-certificate/)。两张新根证书 ISRG Root YR（RSA-4096）和 ISRG Root YE（ECDSA P-384）之下有 6 张新的中间证书，全部不能用于 TLS 客户端认证。截至 2026 年 6 月 3 日，Let's Encrypt 所有服务器证书配置都已从 Generation Y 层级或 ISRG Root X2 签发。 ## 发生了什么 Generation Y 两张根证书的前代分别是 ISRG Root X1（RSA-4096）和 ISRG Root X2（ECDSA P-384），每张新根证书都由同类型密钥的前代根证书[交叉签名](https://ssl.sh/zh/glossary/cross-signing/)。CA 会定期更换证书层级，一方面淘汰用了很多年的密钥，另一方面适应根证书计划的新规则。新根证书要进入各操作系统、浏览器和设备的[信任库](https://ssl.sh/zh/glossary/trust-store/)需要时间，在此之前，交叉签名让只信任老根证书的客户端也能构建出有效的[证书链](https://ssl.sh/zh/glossary/certificate-chain/)。 6 张新中间证书都不含 clientAuth [扩展密钥用途](https://ssl.sh/zh/glossary/extended-key-usage/)。这和 Let's Encrypt [停止支持 TLS 客户端认证](https://ssl.sh/zh/news/lets-encrypt-ends-tls-client-authentication/)，以及 Chrome 根证书计划要求[证书层级专用于 TLS](https://ssl.sh/zh/news/chrome-dedicated-tls-hierarchies/) 是一致的。 ## 影响谁 对大多数网站来说没有可见变化：ACME 客户端每次续期都会下载新的证书链，Web 服务器直接部署即可。下面几种情况容易出问题： - **固定了中间证书**：移动 App 里做了[证书固定](https://ssl.sh/zh/glossary/certificate-pinning/)、防火墙或监控规则按某个签发者名称匹配、证书链文件是手工维护的； - **服务器只发送了叶子证书或旧证书链**：客户端会报[缺少中间证书](https://ssl.sh/zh/errors/missing-intermediate-certificate/)。国内一些面板或负载均衡控制台要求把“证书”和“证书链”分开粘贴，漏贴证书链是常见原因； - **客户端信任库陈旧或自定义**：老版本 Java、嵌入式设备、精简过的容器镜像，可能只能依靠交叉签名路径完成验证。 ## 需要做什么 部署 ACME 客户端生成的完整证书链，比如 certbot 的 `fullchain.pem`，不要自己手工拼接。用面板或云控制台部署时，确认填入的是完整证书链而不只是叶子证书。另外： - 不要固定中间证书。如果确实需要证书固定，固定自己能控制的对象，并准备备用固定值。 - 及时更新服务器和容器镜像里的 `ca-certificates` 等根证书包。 查看服务器实际发送的证书链： ```bash openssl s_client -connect example.com:443 -servername example.com -showcerts /dev/null \ | grep -E '^ *[0-9]+ s:|^ *i:' ``` 查看 Debian/Ubuntu 系统信任了哪些 ISRG 根证书： ```bash ls /etc/ssl/certs | grep -i isrg ``` [证书链补全工具](https://ssl.sh/zh/tools/chain-builder/)可以根据叶子证书重建正确的证书链，[SSL 检测工具](https://ssl.sh/zh/tools/ssl-checker/)会提示证书链是否完整，[证书链指南](https://ssl.sh/zh/learn/certificate-chains/)讲解了客户端如何一路验证到根证书。关于这家 CA 的更多信息见 [Let's Encrypt 介绍页](https://ssl.sh/zh/cas/lets-encrypt/)。