我们如何确保Cloudflare客户不受Let's Encrypt证书链更改的影响
内容提要
Let's Encrypt将对其证书链进行更改，影响依赖于其的旧设备和系统。Cloudflare将修改其证书流程以继续为旧设备上的用户提供服务。Cloudflare确保客户始终可以获得TLS证书，采用最佳安全实践，优化未来扩展，支持所有客户。Cloudflare将自动将Let's Encrypt证书转移到另一个CA以供Universal SSL和SSL for SaaS客户使用。使用高级证书或自定义证书的客户将收到电子邮件通知并可能需要更改其CA。
延伸解读
旧设备用户仍可访问：Cloudflare 的兼容性策略
Let's Encrypt 证书链变更后，运行 Android 7.1.1 及更早版本的设备将无法信任新根证书，导致 TLS 错误。Cloudflare 数据显示，约 2.96% 的 Android 请求来自这些受影响设备。为避免这部分用户失去互联网访问，Cloudflare 将自动为 Universal SSL 和 SSL for SaaS（默认 CA）客户切换至兼容旧设备的 CA，无需客户手动操作。这体现了 Cloudflare 对全球用户访问权的重视，尤其是经济欠发达地区。
不同证书产品的应对措施：客户需关注自身配置
对于 Universal SSL，Cloudflare 自动迁移证书，客户无需行动。使用高级证书或 SSL for SaaS 并指定 Let's Encrypt 的客户，将收到邮件通知，并需自行决定是否更换 CA。若使用自定义证书并自行上传 Let's Encrypt 证书，需注意 2024 年 9 月 9 日后 Cloudflare 将改用 ISRG Root X1 链打包；若使用“用户定义”打包方式，则需确保 9 月 30 日后上传的证书包含正确链。客户应根据自身产品类型提前准备。
证书生命周期缩短至 90 天：安全提升与自动化挑战
Cloudflare 已将证书默认有效期设为 90 天，并支持短至两周的证书，以降低密钥泄露风险。这要求证书续期高度自动化，Cloudflare 通过 DCV 委托等工具减少客户干预。同时，Cloudflare 每日签发近百万证书，依赖多个 CA 冗余和负载均衡来保证可用性。Let's Encrypt 变更后，Cloudflare 将减少对其依赖，但客户若指定 Let's Encrypt 仍可继续使用，需自行承担兼容性风险。
Q&A
Let's Encrypt的证书链更改会对哪些设备产生影响？
主要影响运行Android 7.1.1及更早版本的旧设备，这些设备依赖于交叉签名链，缺乏ISRG Root X1根证书。
Cloudflare将如何应对Let's Encrypt证书链的更改？
Cloudflare将修改其证书流程，自动将Let's Encrypt证书转移到其他CA，以支持受影响的旧设备。
Cloudflare的证书有效期是多久？
Cloudflare采用90天的证书有效期，以提高安全性并减少密钥被盗用的风险。
Cloudflare如何确保客户能够获得TLS证书？
Cloudflare通过优化证书管道，确保CA相关问题不会影响客户获取证书的能力，并提供多种CA选择。
客户如何知道他们的证书是否受到Let's Encrypt更改的影响？
Cloudflare将通过电子邮件通知客户，告知他们的证书是否受到影响及相关信息。
Cloudflare对旧设备用户的支持措施有哪些？
Cloudflare将继续支持旧设备用户，确保他们能够访问互联网，并自动迁移证书以保持兼容性。
