Let's Encrypt 正式开放 6 天证书和 IP 地址证书

2026 年 1 月 15 日，Let's Encrypt 正式开放了两项呼声很高的功能：有效期只有 6 天（160 小时）的证书，以及直接签给 IP 地址而不是域名的证书，IPv4 和 IPv6 都支持。两者都需要通过 shortlived 这个 ACME 配置主动申请，不做任何设置的客户端拿到的仍是默认证书。

发生了什么

Let's Encrypt 在 2025 年 1 月 9 日推出了 ACME 配置功能。所谓配置（profile），就是一组命名好的签发选项，客户端下单时可以指定，包括默认的 classic、tlsserver 和 shortlived 等。

在协议层面，一张覆盖 IP 地址的短期证书订单大致是这样的：

{
  "identifiers": [
    { "type": "ip", "value": "203.0.113.10" }
  ],
  "profile": "shortlived"
}

ip 类型的标识符由 RFC 8738 定义。IP 地址没有 DNS 区域，所以只能用 HTTP-01 或 TLS-ALPN-01 验证，不能用 DNS-01。IPv6 地址（例如 2001:db8::10）同理。

短期证书也改变了吊销的意义。按照 CA/B 论坛的规则，有效期不超过 7 天的证书可以不携带 OCSP 或 CRL 信息，因为就算私钥泄露，证书几天后也会自然失效。

影响谁

这两项功能最适合下面几类场景：

• 只能用 IP 访问的服务：DNS-over-HTTPS 解析服务、设备管理后台、临时测试机、没有域名的物联网设备等。以前这些场景只能用自签名证书或私有 CA，浏览器会报不安全警告。
• 想缩小私钥泄露影响的运维团队：私钥即使泄露，攻击者能利用的时间也只有几天，不必依赖吊销检查是否生效。

代价在运维上。90 天证书的续期流程坏了，可能几周后才有人发现；换成 6 天证书，同样的故障几天内就会变成线上事故。IP 证书还和地址绑定，换机房、换 IP 都要重新签发。

IP 证书验证需要 CA 从境外多个地区访问这个 IP 的 80 或 443 端口，国内服务器的安全组或防火墙只放行国内 IP 的话会验证失败。此外，IP 证书解决的是加密和身份验证问题，和网站是否需要 ICP 备案无关。

需要做什么

只在续期完全自动化、并且有监控的地方启用。

• 确认 ACME 客户端支持指定配置，最好也支持 ARI。
• 申请 IP 证书前，确认该地址的 80 或 443 端口能被不同地区的验证节点访问。
• 签发后检查证书里的主体备用名称和到期时间：

openssl x509 -in cert.pem -noout -ext subjectAltName -enddate

输出中应能看到 IP Address:203.0.113.10，到期时间大约在签发后 6 天。也可以用证书解析工具在浏览器里查看同样的字段。IP 地址证书词条介绍了客户端兼容性，ACME 协议指南讲解了订单和验证流程。