EN

时间线

Let's Encrypt 时间线：影响你证书的每一次变化

Let's Encrypt 默认证书将在 2027 年 2 月 10 日从 90 天缩短到 64 天，2028 年 2 月 16 日缩短到 45 天。此前它已经关闭 OCSP、停发到期提醒邮件、去掉 clientAuth 用途，并切换到第 Y 代（Generation Y）根证书。

最后核实 状态按 2026 年 11 月 10 日 计算

时间线

  1. 已生效

    Let's Encrypt 签发第一张证书

    由非营利组织 ISRG 运营的 Let's Encrypt 宣布签发了第一张证书。

    影响谁： 免费、自动化证书时代的开端。

    来源： Let's Encrypt: Our First Certificate Is Now Live

  2. 已生效

    开放公测

    任何人都可以通过 ACME 协议免费申请 90 天的 DV 证书。

    影响谁： 需要免费证书的网站运营者。

    来源： Let's Encrypt: Entering Public Beta

  3. 已生效

    结束测试，正式服务

    Let's Encrypt 宣布服务结束测试阶段，正式可用于生产环境。

    影响谁： 开始默认集成 Let's Encrypt 的主机商和面板。

    来源： Let's Encrypt: Leaving Beta, New Sponsors

  4. 已生效

    ACMEv2 上线，支持通配符证书

    ACMEv2 接口上线，开始支持通配符证书，通配符证书必须用 DNS-01 验证。

    影响谁： 子域名很多的网站。

    来源： Let's Encrypt Community: ACME v2 and Wildcard Certificate Support is Live

  5. 已生效

    ACMEv1 彻底关闭

    旧的 ACMEv1 接口完全关闭，客户端必须使用 RFC 8555（ACMEv2）接口。

    影响谁： 一直没有升级的老旧 ACME 客户端和脚本。

    来源： Let's Encrypt Community: End of Life Plan for ACMEv1

  6. 已生效

    DST Root CA X3 过期

    为 Let's Encrypt 早期证书链交叉签名的 IdenTrust 根证书过期。不信任 ISRG Root X1、又不会忽略过期根的客户端（例如老版本 OpenSSL 1.0.x）开始报错。

    影响谁： 老旧操作系统、嵌入式设备和过时的 OpenSSL。

    来源： Let's Encrypt: DST Root CA X3 Expiration (September 2021)

  7. 已生效

    默认证书链去掉交叉签名

    默认证书链不再包含 ISRG Root X1 的交叉签名证书，链条更短，直接止于自签名的 ISRG Root X1。

    影响谁： 依赖交叉签名的老旧安卓设备（7.1.1 之前）。

    来源： Let's Encrypt: Shortening the Let's Encrypt Chain of Trust

  8. 已生效

    可选长链停止提供

    通过交叉签名 ISRG Root X1 的可选长证书链不再提供。

    影响谁： 特意选择了备用长链的客户端。

    来源： Let's Encrypt: Changes to Issuance Chains

  9. 已生效

    ISRG Root X1 交叉签名证书到期

    由 IdenTrust 签发的 ISRG Root X1 交叉签名证书到期。

    影响谁： 仍在使用旧长链的服务器。

    来源： Let's Encrypt: Shortening the Let's Encrypt Chain of Trust

  10. 已生效

    宣布停止 OCSP

    Let's Encrypt 宣布停止支持 OCSP，改为只用 CRL，理由是隐私和运营成本。CA/B 论坛 SC-063 投票已从 2024 年 3 月 15 日起把 OCSP 改为可选。

    影响谁： 依赖 OCSP 或 Must-Staple 的客户端和服务器。

    来源： Let's Encrypt: Ending OCSP Support in 2025

  11. 已生效

    推出 ACME 证书配置（profile）

    Let's Encrypt 推出 ACME 配置：classic（默认）、tlsserver，以及随后的 shortlived，客户端下单时可选择。

    影响谁： ACME 客户端开发者，以及需要不同类型证书的运维人员。

    来源： Let's Encrypt: Announcing Certificate Profile Selection

  12. 已生效

    拒绝新的 Must-Staple 申请

    申请 OCSP Must-Staple 扩展的订单开始失败（此前申请过 Must-Staple 证书的账户除外）。

    影响谁： 启用了 OCSP Must-Staple 的网站。

    来源： Let's Encrypt: Ending OCSP Support in 2025

  13. 已生效

    新证书不再包含 OCSP 地址

    新签发的证书不再带 OCSP 地址（此前已加入 CRL 地址），所有 Must-Staple 申请都被拒绝。

    影响谁： 要求证书里必须有 OCSP 地址的软件。

    来源： Let's Encrypt: Ending OCSP Support in 2025

  14. 已生效

    停发到期提醒邮件

    Let's Encrypt 停止发送证书到期提醒邮件（2025 年 1 月 22 日宣布）。续期是否成功需要自己监控，例如用 SSL 检查或到期监控服务。

    影响谁： 靠这些邮件发现续期失败的用户。

    来源： Let's Encrypt: Ending Support for Expiration Notification Emails

  15. 已生效

    OCSP 服务关闭

    Let's Encrypt 关闭 OCSP 服务，吊销信息只通过 CRL 提供。

    影响谁： 仍在查询 Let's Encrypt OCSP 地址的客户端。

    来源： Let's Encrypt: Ending OCSP Support in 2025

  16. 已生效

    公布第 Y 代根证书

    Let's Encrypt 公布新的根证书 ISRG Root YR（RSA-4096）和 ISRG Root YE（ECDSA P-384），各自由上一代根交叉签名，并配有 6 个新的中间证书，全部不含 clientAuth 用途。

    影响谁： 把中间证书写死、或自带信任库的系统。

    来源： Let's Encrypt: Generation Y Hierarchy

  17. 已生效

    公布 45 天证书计划

    ISRG 公布把 Let's Encrypt 证书从 90 天缩短到 45 天的时间表，与 CA/B 论坛 SC-081v3 投票的方向一致。

    影响谁： 所有 Let's Encrypt 用户。

    来源： ISRG: From 90 to 45 days

  18. 已生效

    6 天证书和 IP 地址证书正式提供

    通过可选的 shortlived 配置，Let's Encrypt 签发有效期 160 小时的短期证书，也可以签发 IP 地址证书（IPv4 和 IPv6）。

    影响谁： 高度自动化的部署，以及通过 IP 地址访问的服务。

    来源： Let's Encrypt: Six-Day and IP Address Certificates Generally Available

  19. 已生效

    默认证书去掉 clientAuth 用途

    classic 配置签发的证书不再包含 TLS 客户端认证的扩展密钥用途，现有用户可以暂时改用 tlsclient 配置。

    影响谁： 把 Let's Encrypt 证书当客户端证书用的系统，例如部分[双向 TLS](term:mtls) 和服务器之间的对接。

    来源： Let's Encrypt: Ending TLS Client Authentication Certificate Support in 2026

  20. 已生效

    tlsserver 配置改签 45 天证书

    可选的 tlsserver 配置改为签发 45 天证书，让愿意提前适应的用户先用上未来的默认有效期。

    影响谁： 请求 tlsserver 配置的 ACME 客户端。

    来源： ISRG: From 90 to 45 days

  21. 已生效

    所有服务器证书配置改由第 Y 代或 ISRG Root X2 签发

    截至这一天，Let's Encrypt 所有签发服务器证书的配置都已切换到第 Y 代层级或 ISRG Root X2。

    影响谁： 自带信任库、需要加入新根证书的客户端。

    来源： Let's Encrypt: Generation Y Hierarchy · Let's Encrypt Community: Upcoming profile changes in May 2026

  22. 已生效

    tlsclient 配置停用

    临时的 tlsclient 配置停止提供，这是从 Let's Encrypt 获取带 clientAuth 用途证书的最后途径。

    影响谁： 仍用 Let's Encrypt 证书做客户端认证的用户，需要改用[私有 CA](term:private-ca)。

    来源： Let's Encrypt: Profiles · Let's Encrypt: Ending TLS Client Authentication Certificate Support in 2026

  23. 即将生效

    默认证书改为 64 天，授权复用 10 天

    classic 配置计划改为签发 64 天证书，域名授权只复用 10 天。

    影响谁： 大多数 Let's Encrypt 用户。

    来源： ISRG: From 90 to 45 days

  24. 即将生效

    默认证书改为 45 天，授权复用 7 小时

    classic 配置计划改为签发 45 天证书，授权只复用 7 小时，相当于每次续期都重新验证域名。续期时机建议交给 ARI 决定。

    影响谁： 所有使用默认配置的 Let's Encrypt 用户。

    来源： ISRG: From 90 to 45 days

常见问题

Let's Encrypt 改成 64 天之前，我需要做什么？

只要 ACME 客户端是自动续期、没有写死 90 天有效期，就不会出问题。检查一下续期逻辑是按证书实际有效期或 ARI（RFC 9773）来判断，而不是固定 60 天续一次；并确认域名验证不需要人工介入。宝塔面板、acme.sh、certbot 用默认设置一般都是自动续期。

为什么我的 Let's Encrypt 证书不能再用于客户端认证？

从 2026 年 2 月 11 日起，classic 配置签发的证书不再包含 clientAuth 扩展密钥用途；保留该用途的 tlsclient 配置也在 2026 年 7 月 8 日停用。客户端证书和双向 TLS 请改用私有 CA。

Let's Encrypt 还支持 OCSP 或 OCSP Must-Staple 吗？

不支持了。2025 年 5 月 7 日起新证书不再带 OCSP 地址，Must-Staple 申请会被拒绝；2025 年 8 月 6 日 OCSP 服务关闭。吊销状态只通过 CRL 发布。

Let's Encrypt 现在用的是哪个根证书？

截至 2026 年 6 月 3 日，所有签发服务器证书的配置都从第 Y 代层级（RSA 用 ISRG Root YR，ECDSA 用 ISRG Root YE，各自由上一代根交叉签名）或 ISRG Root X2 签发。部署时使用 ACME 客户端拿到的证书链，不要把中间证书写死。

资料来源

  1. Let's Encrypt: Our First Certificate Is Now Live
  2. Let's Encrypt: Entering Public Beta
  3. Let's Encrypt: Leaving Beta, New Sponsors
  4. Let's Encrypt Community: ACME v2 and Wildcard Certificate Support is Live
  5. Let's Encrypt Community: End of Life Plan for ACMEv1
  6. Let's Encrypt: DST Root CA X3 Expiration (September 2021)
  7. Let's Encrypt: Shortening the Let's Encrypt Chain of Trust
  8. Let's Encrypt: Changes to Issuance Chains
  9. Let's Encrypt: Ending OCSP Support in 2025
  10. Let's Encrypt: Announcing Certificate Profile Selection
  11. Let's Encrypt: Ending Support for Expiration Notification Emails
  12. Let's Encrypt: Generation Y Hierarchy
  13. ISRG: From 90 to 45 days
  14. Let's Encrypt: Six-Day and IP Address Certificates Generally Available
  15. Let's Encrypt: Ending TLS Client Authentication Certificate Support in 2026
  16. Let's Encrypt Community: Upcoming profile changes in May 2026
  17. Let's Encrypt: Profiles