# Let's Encrypt 时间线：45 天证书、停用 OCSP、新根证书 > 按日期梳理 Let's Encrypt 的变化：2025 年 8 月关闭 OCSP、停发到期邮件、6 天和 IP 证书、2027 年 64 天、2028 年 45 天证书。 Source: https://ssl.sh/zh/timeline/lets-encrypt/ Last updated: 2026-11-10 Let's Encrypt 默认证书将在 2027 年 2 月 10 日从 90 天缩短到 64 天，2028 年 2 月 16 日缩短到 45 天。此前它已经关闭 OCSP、停发到期提醒邮件、去掉 clientAuth 用途，并切换到第 Y 代（Generation Y）根证书。 状态按 2026 年 11 月 10 日 计算 ## 要点 - Let's Encrypt 默认的 classic 配置将从 2027 年 2 月 10 日起签发 64 天证书，2028 年 2 月 16 日起签发 45 天证书，授权复用期先后缩短到 10 天和 7 小时。 - 可选的 tlsserver 配置从 2026 年 5 月 13 日起签发 45 天证书；6 天证书和 IP 地址证书从 2026 年 1 月 15 日起通过 shortlived 配置正式提供。 - Let's Encrypt 于 2025 年 8 月 6 日关闭 OCSP 服务，吊销信息只通过 CRL 发布。 - Let's Encrypt 于 2025 年 6 月 4 日停发证书到期提醒邮件，到期监控需要自己解决。 - classic 配置从 2026 年 2 月 11 日起不再包含 TLS 客户端认证用途（clientAuth），临时的 tlsclient 配置已于 2026 年 7 月 8 日停用。 ## 时间线 ### 2015 年 9 月 14 日 — Let's Encrypt 签发第一张证书（已生效） 由非营利组织 ISRG 运营的 Let's Encrypt 宣布签发了第一张证书。 影响谁：免费、自动化证书时代的开端。 来源：[Let's Encrypt: Our First Certificate Is Now Live](https://letsencrypt.org/2015/09/14/our-first-cert/) ### 2015 年 12 月 3 日 — 开放公测（已生效） 任何人都可以通过 [ACME](https://ssl.sh/zh/glossary/acme/) 协议免费申请 90 天的 DV 证书。 影响谁：需要免费证书的网站运营者。 来源：[Let's Encrypt: Entering Public Beta](https://letsencrypt.org/2015/12/03/entering-public-beta) ### 2016 年 4 月 12 日 — 结束测试，正式服务（已生效） Let's Encrypt 宣布服务结束测试阶段，正式可用于生产环境。 影响谁：开始默认集成 Let's Encrypt 的主机商和面板。 来源：[Let's Encrypt: Leaving Beta, New Sponsors](https://letsencrypt.org/2016/04/12/leaving-beta-new-sponsors/) ### 2018 年 3 月 13 日 — ACMEv2 上线，支持通配符证书（已生效） ACMEv2 接口上线，开始支持[通配符证书](https://ssl.sh/zh/glossary/wildcard-certificate/)，通配符证书必须用 [DNS-01](https://ssl.sh/zh/glossary/dns-01/) 验证。 影响谁：子域名很多的网站。 来源：[Let's Encrypt Community: ACME v2 and Wildcard Certificate Support is Live](https://community.letsencrypt.org/t/acme-v2-and-wildcard-certificate-support-is-live/55579) ### 2021 年 6 月 1 日 — ACMEv1 彻底关闭（已生效） 旧的 ACMEv1 接口完全关闭，客户端必须使用 RFC 8555（ACMEv2）接口。 影响谁：一直没有升级的老旧 ACME 客户端和脚本。 来源：[Let's Encrypt Community: End of Life Plan for ACMEv1](https://community.letsencrypt.org/t/end-of-life-plan-for-acmev1/88430) ### 2021 年 9 月 30 日 — DST Root CA X3 过期（已生效） 为 Let's Encrypt 早期证书链交叉签名的 IdenTrust 根证书过期。不信任 ISRG Root X1、又不会忽略过期根的客户端（例如老版本 OpenSSL 1.0.x）开始报错。 影响谁：老旧操作系统、嵌入式设备和过时的 OpenSSL。 来源：[Let's Encrypt: DST Root CA X3 Expiration (September 2021)](https://letsencrypt.org/docs/dst-root-ca-x3-expiration-september-2021/) ### 2024 年 2 月 8 日 — 默认证书链去掉交叉签名（已生效） 默认证书链不再包含 ISRG Root X1 的交叉签名证书，链条更短，直接止于自签名的 ISRG Root X1。 影响谁：依赖交叉签名的老旧安卓设备（7.1.1 之前）。 来源：[Let's Encrypt: Shortening the Let's Encrypt Chain of Trust](https://letsencrypt.org/2023/07/10/cross-sign-expiration/) ### 2024 年 6 月 6 日 — 可选长链停止提供（已生效） 通过交叉签名 ISRG Root X1 的可选长证书链不再提供。 影响谁：特意选择了备用长链的客户端。 来源：[Let's Encrypt: Changes to Issuance Chains](https://letsencrypt.org/2024/04/12/changes-to-issuance-chains/) ### 2024 年 9 月 30 日 — ISRG Root X1 交叉签名证书到期（已生效） 由 IdenTrust 签发的 ISRG Root X1 交叉签名证书到期。 影响谁：仍在使用旧长链的服务器。 来源：[Let's Encrypt: Shortening the Let's Encrypt Chain of Trust](https://letsencrypt.org/2023/07/10/cross-sign-expiration/) ### 2024 年 12 月 5 日 — 宣布停止 OCSP（已生效） Let's Encrypt 宣布停止支持 [OCSP](https://ssl.sh/zh/glossary/ocsp/)，改为只用 [CRL](https://ssl.sh/zh/glossary/crl/)，理由是隐私和运营成本。CA/B 论坛 SC-063 投票已从 2024 年 3 月 15 日起把 OCSP 改为可选。 影响谁：依赖 OCSP 或 Must-Staple 的客户端和服务器。 来源：[Let's Encrypt: Ending OCSP Support in 2025](https://letsencrypt.org/2024/12/05/ending-ocsp/) ### 2025 年 1 月 9 日 — 推出 ACME 证书配置（profile）（已生效） Let's Encrypt 推出 [ACME 配置](https://ssl.sh/zh/glossary/acme-profile/)：classic（默认）、tlsserver，以及随后的 shortlived，客户端下单时可选择。 影响谁：ACME 客户端开发者，以及需要不同类型证书的运维人员。 来源：[Let's Encrypt: Announcing Certificate Profile Selection](https://letsencrypt.org/2025/01/09/acme-profiles/) ### 2025 年 1 月 30 日 — 拒绝新的 Must-Staple 申请（已生效） 申请 [OCSP Must-Staple](https://ssl.sh/zh/glossary/must-staple/) 扩展的订单开始失败（此前申请过 Must-Staple 证书的账户除外）。 影响谁：启用了 OCSP Must-Staple 的网站。 来源：[Let's Encrypt: Ending OCSP Support in 2025](https://letsencrypt.org/2024/12/05/ending-ocsp/) ### 2025 年 5 月 7 日 — 新证书不再包含 OCSP 地址（已生效） 新签发的证书不再带 OCSP 地址（此前已加入 CRL 地址），所有 Must-Staple 申请都被拒绝。 影响谁：要求证书里必须有 OCSP 地址的软件。 来源：[Let's Encrypt: Ending OCSP Support in 2025](https://letsencrypt.org/2024/12/05/ending-ocsp/) ### 2025 年 6 月 4 日 — 停发到期提醒邮件（已生效） Let's Encrypt 停止发送证书到期提醒邮件（2025 年 1 月 22 日宣布）。续期是否成功需要自己监控，例如用 [SSL 检查](https://ssl.sh/zh/tools/ssl-checker/)或到期监控服务。 影响谁：靠这些邮件发现续期失败的用户。 来源：[Let's Encrypt: Ending Support for Expiration Notification Emails](https://letsencrypt.org/2025/01/22/ending-expiration-emails/) ### 2025 年 8 月 6 日 — OCSP 服务关闭（已生效） Let's Encrypt 关闭 OCSP 服务，吊销信息只通过 CRL 提供。 影响谁：仍在查询 Let's Encrypt OCSP 地址的客户端。 来源：[Let's Encrypt: Ending OCSP Support in 2025](https://letsencrypt.org/2024/12/05/ending-ocsp/) ### 2025 年 11 月 24 日 — 公布第 Y 代根证书（已生效） Let's Encrypt 公布新的根证书 ISRG Root YR（RSA-4096）和 ISRG Root YE（ECDSA P-384），各自由上一代根交叉签名，并配有 6 个新的中间证书，全部不含 clientAuth 用途。 影响谁：把中间证书写死、或自带信任库的系统。 来源：[Let's Encrypt: Generation Y Hierarchy](https://letsencrypt.org/2025/11/24/gen-y-hierarchy) ### 2025 年 12 月 2 日 — 公布 45 天证书计划（已生效） ISRG 公布把 Let's Encrypt 证书从 90 天缩短到 45 天的时间表，与 CA/B 论坛 SC-081v3 投票的方向一致。 影响谁：所有 Let's Encrypt 用户。 来源：[ISRG: From 90 to 45 days](https://isrg.org/post/from-90-to-45/) ### 2026 年 1 月 15 日 — 6 天证书和 IP 地址证书正式提供（已生效） 通过可选的 shortlived 配置，Let's Encrypt 签发有效期 160 小时的[短期证书](https://ssl.sh/zh/glossary/short-lived-certificate/)，也可以签发 [IP 地址证书](https://ssl.sh/zh/glossary/ip-address-certificate/)（IPv4 和 IPv6）。 影响谁：高度自动化的部署，以及通过 IP 地址访问的服务。 来源：[Let's Encrypt: Six-Day and IP Address Certificates Generally Available](https://letsencrypt.org/2026/01/15/6day-and-ip-general-availability) ### 2026 年 2 月 11 日 — 默认证书去掉 clientAuth 用途（已生效） classic 配置签发的证书不再包含 TLS 客户端认证的[扩展密钥用途](https://ssl.sh/zh/glossary/extended-key-usage/)，现有用户可以暂时改用 tlsclient 配置。 影响谁：把 Let's Encrypt 证书当客户端证书用的系统，例如部分[双向 TLS](term:mtls) 和服务器之间的对接。 来源：[Let's Encrypt: Ending TLS Client Authentication Certificate Support in 2026](https://letsencrypt.org/2025/05/14/ending-tls-client-authentication/) ### 2026 年 5 月 13 日 — tlsserver 配置改签 45 天证书（已生效） 可选的 tlsserver 配置改为签发 45 天证书，让愿意提前适应的用户先用上未来的默认有效期。 影响谁：请求 tlsserver 配置的 ACME 客户端。 来源：[ISRG: From 90 to 45 days](https://isrg.org/post/from-90-to-45/) ### 2026 年 6 月 3 日 — 所有服务器证书配置改由第 Y 代或 ISRG Root X2 签发（已生效） 截至这一天，Let's Encrypt 所有签发服务器证书的配置都已切换到第 Y 代层级或 ISRG Root X2。 影响谁：自带信任库、需要加入新根证书的客户端。 来源：[Let's Encrypt: Generation Y Hierarchy](https://letsencrypt.org/2025/11/24/gen-y-hierarchy); [Let's Encrypt Community: Upcoming profile changes in May 2026](https://community.letsencrypt.org/t/upcoming-let-s-encrypt-profile-changes-on-may-13-20th-and-27th/247049) ### 2026 年 7 月 8 日 — tlsclient 配置停用（已生效） 临时的 tlsclient 配置停止提供，这是从 Let's Encrypt 获取带 clientAuth 用途证书的最后途径。 影响谁：仍用 Let's Encrypt 证书做客户端认证的用户，需要改用[私有 CA](term:private-ca)。 来源：[Let's Encrypt: Profiles](https://letsencrypt.org/docs/profiles/); [Let's Encrypt: Ending TLS Client Authentication Certificate Support in 2026](https://letsencrypt.org/2025/05/14/ending-tls-client-authentication/) ### 2027 年 2 月 10 日 — 默认证书改为 64 天，授权复用 10 天（即将生效） classic 配置计划改为签发 64 天证书，域名授权只复用 10 天。 影响谁：大多数 Let's Encrypt 用户。 来源：[ISRG: From 90 to 45 days](https://isrg.org/post/from-90-to-45/) ### 2028 年 2 月 16 日 — 默认证书改为 45 天，授权复用 7 小时（即将生效） classic 配置计划改为签发 45 天证书，授权只复用 7 小时，相当于每次续期都重新验证域名。续期时机建议交给 [ARI](https://ssl.sh/zh/glossary/ari/) 决定。 影响谁：所有使用默认配置的 Let's Encrypt 用户。 来源：[ISRG: From 90 to 45 days](https://isrg.org/post/from-90-to-45/) ## 常见问题 ### Let's Encrypt 改成 64 天之前，我需要做什么？ 只要 ACME 客户端是自动续期、没有写死 90 天有效期，就不会出问题。检查一下续期逻辑是按证书实际有效期或 [ARI](https://ssl.sh/zh/glossary/ari/)（RFC 9773）来判断，而不是固定 60 天续一次；并确认域名验证不需要人工介入。宝塔面板、acme.sh、certbot 用默认设置一般都是自动续期。 ### 为什么我的 Let's Encrypt 证书不能再用于客户端认证？ 从 2026 年 2 月 11 日起，classic 配置签发的证书不再包含 clientAuth 扩展密钥用途；保留该用途的 tlsclient 配置也在 2026 年 7 月 8 日停用。客户端证书和双向 TLS 请改用[私有 CA](https://ssl.sh/zh/glossary/private-ca/)。 ### Let's Encrypt 还支持 OCSP 或 OCSP Must-Staple 吗？ 不支持了。2025 年 5 月 7 日起新证书不再带 OCSP 地址，Must-Staple 申请会被拒绝；2025 年 8 月 6 日 OCSP 服务关闭。吊销状态只通过 CRL 发布。 ### Let's Encrypt 现在用的是哪个根证书？ 截至 2026 年 6 月 3 日，所有签发服务器证书的配置都从第 Y 代层级（RSA 用 ISRG Root YR，ECDSA 用 ISRG Root YE，各自由上一代根交叉签名）或 ISRG Root X2 签发。部署时使用 ACME 客户端拿到的证书链，不要把中间证书写死。