# Let's Encrypt 正式开放 6 天证书和 IP 地址证书

> 自 2026-01-15 起，Let's Encrypt 向所有用户开放 6 天（160 小时）证书和 IPv4/IPv6 地址证书，通过 shortlived 配置主动申请。

Source: https://ssl.sh/zh/news/lets-encrypt-six-day-and-ip-certificates/
Last updated: 2026-11-10

2026 年 1 月 15 日，Let's Encrypt 正式开放了两项呼声很高的功能：有效期只有 6 天（160 小时）的证书，以及直接签给 IP 地址而不是域名的证书，IPv4 和 IPv6 都支持。两者都需要通过 shortlived 这个 [ACME 配置](https://ssl.sh/zh/glossary/acme-profile/)主动申请，不做任何设置的客户端拿到的仍是默认证书。

## 发生了什么

Let's Encrypt 在 2025 年 1 月 9 日推出了 ACME 配置功能。所谓配置（profile），就是一组命名好的签发选项，客户端下单时可以指定，包括默认的 classic、tlsserver 和 shortlived 等。

在协议层面，一张覆盖 IP 地址的短期证书订单大致是这样的：

```json
{
  "identifiers": [
    { "type": "ip", "value": "203.0.113.10" }
  ],
  "profile": "shortlived"
}
```

`ip` 类型的标识符由 RFC 8738 定义。IP 地址没有 DNS 区域，所以只能用 [HTTP-01](https://ssl.sh/zh/glossary/http-01/) 或 [TLS-ALPN-01](https://ssl.sh/zh/glossary/tls-alpn-01/) 验证，不能用 [DNS-01](https://ssl.sh/zh/glossary/dns-01/)。IPv6 地址（例如 `2001:db8::10`）同理。

[短期证书](https://ssl.sh/zh/glossary/short-lived-certificate/)也改变了[吊销](https://ssl.sh/zh/glossary/revocation/)的意义。按照 CA/B 论坛的规则，有效期不超过 7 天的证书可以不携带 OCSP 或 CRL 信息，因为就算私钥泄露，证书几天后也会自然失效。

## 影响谁

这两项功能最适合下面几类场景：

- **只能用 IP 访问的服务**：DNS-over-HTTPS 解析服务、设备管理后台、临时测试机、没有域名的物联网设备等。以前这些场景只能用[自签名证书](https://ssl.sh/zh/glossary/self-signed-certificate/)或[私有 CA](https://ssl.sh/zh/glossary/private-ca/)，浏览器会报不安全警告。
- **想缩小私钥泄露影响的运维团队**：[私钥](https://ssl.sh/zh/glossary/private-key/)即使泄露，攻击者能利用的时间也只有几天，不必依赖吊销检查是否生效。

代价在运维上。90 天证书的续期流程坏了，可能几周后才有人发现；换成 6 天证书，同样的故障几天内就会变成线上事故。IP 证书还和地址绑定，换机房、换 IP 都要重新签发。

IP 证书验证需要 CA 从境外多个地区访问这个 IP 的 80 或 443 端口，国内服务器的安全组或防火墙只放行国内 IP 的话会验证失败。此外，IP 证书解决的是加密和身份验证问题，和网站是否需要 ICP 备案无关。

## 需要做什么

只在续期完全自动化、并且有监控的地方启用。

- 确认 ACME 客户端支持指定配置，最好也支持 [ARI](https://ssl.sh/zh/glossary/ari/)。
- 申请 IP 证书前，确认该地址的 80 或 443 端口能被不同地区的验证节点访问。
- 签发后检查证书里的主体备用名称和到期时间：

```bash
openssl x509 -in cert.pem -noout -ext subjectAltName -enddate
```

输出中应能看到 `IP Address:203.0.113.10`，到期时间大约在签发后 6 天。也可以用[证书解析工具](https://ssl.sh/zh/tools/certificate-decoder/)在浏览器里查看同样的字段。[IP 地址证书](https://ssl.sh/zh/glossary/ip-address-certificate/)词条介绍了客户端兼容性，[ACME 协议指南](https://ssl.sh/zh/learn/acme-protocol/)讲解了订单和验证流程。