Let\'s Encrypt六天短期TLS证书与IP地址证书正式上线

Let's Encrypt六天短期TLS证书与IP地址证书正式上线

导读：Let's Encrypt短期证书与IP证书同时上线。

SSL 证书机构Let's Encrypt宣布，短期证书现已正式提供，一张证书的有效期为160小时，略高于6天，并采用可选方式开启。

Let's Encrypt也同时推出了IP地址证书，并规定IP地址证书一律采用短期证书形式签发。此新选项可缩短私钥外泄或遭窃后的暴露时间，延续了Let's Encrypt未来数年把预设有效期逐步从90天降至45天的既定方向。

Let's Encrypt表示，推动短效证书的主要理由，是缩短证书遭滥用时的风险窗口。过往公开信任TLS证书多采最长90天有效期，当私钥外泄或被窃取时，传统作法多仰赖证书撤销来降低冲击，但撤销在实务上常被认为不够可靠，导致部分证书依赖方仍可能在证书到期前接受已受损的证书。改采约六天的有效期后，即使撤销未能即时生效，暴露时间也会因证书较快到期而缩短。

不过，Let's Encrypt也强调短效证书暂时不会成为预设值，原因在于各组织的自动化程度差异很大。对已把证书申请与续期纳入自动流程的组织而言，改用短效证书相对可行，但对仍仰赖半手动更新的环境，六天有效期意味着更密集的维运节奏，也更需要监控与警示，降低证书过期导致服务中断的风险。

与短效证书一起上线的IP地址证书，让服务器可直接对IP位址建立TLS身分验证，而不仅限于网络域名，并同时支持IPv4与IPv6。Let's Encrypt指出，IP位址相较域名称更具移动性，因此IP位址证书被规定必须采短效设计，以提高重新验证的频率，避免长时间绑定带来的管理负担与风险积累。

Let's Encrypt同时亦提到，短期证书与IP地址证书的研发，获得开放科技基金与主权科技机构等机构的支持，并由赞助商与捐款者共同协助发展。由于两项功能皆采用可选方式提供，多数仍以域名颁发证书且沿用既有90天有效期的使用者，短期内管理员和开发者并不必进行调整。