蓝点网
·
Let’s Encrypt推出Y世代证书层级 包括新根证书/弃用TLS客户端验证/上线纯IP证书
内容提要
Let’s Encrypt推出Y世代证书，包含新根证书和6个中级证书，兼容X世代证书。TLS客户端身份验证将于2026年停止，证书有效期缩短至45天，未来所有证书最长有效期不超过47天。
关键要点
-
Let’s Encrypt推出Y世代证书，包含新的根证书和6个中级证书。
-
Y世代证书由现有的X世代证书X1和X2进行交叉签名。
-
Y世代证书与X世代证书在客户端信任方面没有区别，现代系统版本均可信任。
-
到2026年5月13日，ACME配置文件将默认切换到Y世代证书层级。
-
Let’s Encrypt将于2026年2月停止使用TLS客户端身份验证。
-
新中间证书不包含TLS客户端身份验证扩展密钥。
-
Let’s Encrypt将签发的证书有效期缩短至45天，未来所有证书最长有效期不超过47天。
-
到2027年，Let’s Encrypt将所有签发的证书默认设置为最长64天有效期，2028年缩短至45天。
延伸解读
Y世代证书的信任机制
Y世代证书与X世代证书在客户端信任方面没有区别，现代系统均可信任。这意味着用户在过渡到新证书时，通常不需要担心兼容性问题，尤其是大多数现代操作系统和浏览器都已支持新证书。
TLS客户端身份验证的弃用
Let’s Encrypt计划在2026年停止TLS客户端身份验证，这可能会影响依赖此功能的应用程序和服务。用户需提前做好准备，确保在切换到Y世代证书后，能够顺利过渡到新的身份验证机制。
证书有效期的变化
Let’s Encrypt将证书有效期缩短至45天，反映了行业对安全性的重视。用户需要定期更新证书，以避免因过期而导致的服务中断。这一变化也促使用户更频繁地审查和管理其数字证书。
延伸问答
Y世代证书的主要特点是什么？
Y世代证书包含新的根证书和6个中级证书，由X世代证书交叉签名，兼容现有客户端信任。
Let’s Encrypt为何要停止TLS客户端身份验证？
Let’s Encrypt将于2026年2月停止TLS客户端身份验证，因新中间证书不包含相关扩展密钥。
Y世代证书的有效期是多久？
Y世代证书的有效期缩短至45天，未来所有证书最长有效期不超过47天。
到2026年，ACME配置文件将如何变化？
到2026年5月13日，ACME配置文件将默认切换到Y世代证书层级。
Y世代证书与X世代证书在信任方面有什么区别？
Y世代证书与X世代证书在客户端信任方面没有区别，现代系统均可信任。
Let’s Encrypt未来的证书有效期计划是什么？
到2027年，所有签发的证书默认设置为最长64天有效期，2028年缩短至45天。
