Let's Encrypt

Let's Encrypt是一个于2015年三季度推出的数字证书认证机构，旨在以自动化流程消除手动创建和安装证书的复杂流程，並推廣使萬維網服務器的加密連接無所不在，为安全网站提供免费的傳輸層安全性協定（TLS）证书。

介紹 
Let's Encrypt由（缩写ISRG）提供服务。主要赞助商包括电子前哨基金会、Mozilla基金会、Akamai以及思科。2015年4月9日，ISRG与Linux基金會宣布合作。

用以实现新的数字证书认证机构的协议被称为自动证书管理环境（ACME）。GitHub上有这一规范的草案，且提案的一个版本已作为一个Internet草案发布。

Let's Encrypt宣称这一过程将十分简单、自动化并且免费。

歷史 
2015年8月7日，该服务更新其推出计划，预计将在2015年9月7日发布首个证书，随后向列入白名单的域名发行少量证书并逐渐扩大发行量。

2015年12月3日，服务进入公测阶段，正式面向公众。

2016年3月8日，ISRG宣布已经签发了第一百万张证书。

2016年4月12日，该项目正式离开Beta阶段。

2017年6月28日，ISRG宣布，他们已经签发了一亿张证书。

技术 

2015年6月，Let's Encrypt得到了一个存储在硬件安全模块中的离线的RSA根证书。这个由IdenTrust证书签发机构交叉签名的根证书，被用于签署两个证书。其中一个就是用于签发请求的证书，另一个则是保存在本地的证书，这个证书用于在上一个证书出问题时作备份证书之用。因为IdenTrust的CA根证书目前已被预置于主流浏览器中，所以Let's Encrypt签发的证书可以从项目开始时就被识别并接受，甚至在用户的浏览器中没有信任ISRG的根证书时也没问题。为了解决对Windows XP的兼容性，目前Let's Encrypt已经获取了另外两个根证书，原来的证书作为备用。

Let's Encrypt的开发者们本计划在2015年年末推出签发ECDSA根证书的服务，但该计划已经经历三次推迟，目前定于2018年3月前完成。

2017年6月，Let's Encrypt宣布将于2018年1月启用ACME v2 API。

2017年7月，Let's Encrypt宣布将于2018年1月支持通配符证书。

中国大陆屏蔽 
2020年4月2日，防火长城对Let's Encrypt的OCSP服务器（ocsp.int-x3.letsencrypt.org）所使用的Akamai CDN域名a771.dscq.akamai.net进行了DNS污染，导致部分浏览器首次访问使用Let's Encrypt证书的网站时无法完成OCSP检查，加载缓慢。

2020年11月20日，Let's Encrypt 推出了 R3 中间证书，使用了新的 OCSP 服务器地址（r3.o.lencr.org），问题得到解决。

参考资料

外部链接 
 
 GitHub上的代码库 
 塞斯·舒恩 Libre Planet 2015 演讲： Let's Encrypt 

网络安全
电子商务
证书颁发机构