公益證書(shū)機(jī)構(gòu) Let’s Encrypt 宣布上線全新的“Generation Y（Y 代）”證書(shū)層級(jí)架構(gòu)，并規(guī)劃在未來(lái)數(shù)年內(nèi)分階段將默認(rèn)證書(shū)有效期縮短至 45 天，以進(jìn)一步強(qiáng)化互聯(lián)網(wǎng)加密通信安全。這一系列調(diào)整還包括棄用 TLS 客戶端認(rèn)證功能，以及將默認(rèn) ACME 配置切換至新的證書(shū)層級(jí)體系。

Let’s Encrypt 表示，新啟用的 Generation Y 架構(gòu)由兩張新的根證書(shū)（Root CA）和六張新的中級(jí)證書(shū)（Intermediate CA）組成，這些新證書(shū)通過(guò)現(xiàn)有的 Generation X 根證書(shū) X1 和 X2 進(jìn)行交叉簽名，從而確保在目前信任 X1/X2 的環(huán)境中，新架構(gòu)同樣可以被信任和使用。官方同時(shí)重申，其 TLS 客戶端認(rèn)證（TLS Client Authentication）將自 2026 年 2 月起開(kāi)始終止，2026 年 5 月 13 日起，默認(rèn)的經(jīng)典 ACME 配置將切換為基于 Generation Y、且不再包含客戶端認(rèn)證功能的層級(jí)。對(duì)仍需過(guò)渡期的用戶，Let’s Encrypt 提供 tlsclient 配置，可沿用現(xiàn)有的 Generation X 根證書(shū)至 2026 年 5 月之前。

在證書(shū)有效期方面，Let’s Encrypt 將依照 CA/瀏覽器論壇的基線要求，逐步縮短證書(shū)生命周期。2026 年起將進(jìn)入自愿“試水”階段，早期采用者和測(cè)試用戶可通過(guò) tlsserver 配置選擇 45 天有效期的證書(shū)。到 2027 年，系統(tǒng)會(huì)將默認(rèn)證書(shū)有效期降至 64 天；再到 2028 年，默認(rèn)有效期將進(jìn)一步縮短至 45 天，屆時(shí)短周期證書(shū)將成為常態(tài)。官方指出，縮短證書(shū)生命周期可以縮小攻擊時(shí)間窗口，更快速地推進(jìn)密碼學(xué)算法更新，同時(shí)降低錯(cuò)誤簽發(fā)等問(wèn)題的長(zhǎng)期影響。

Let’s Encrypt 在社區(qū)公告中表示，使用 tlsserver 和 short-lived 配置的用戶，從本周起就會(huì)陸續(xù)收到基于 Generation Y 層級(jí)簽發(fā)的證書(shū)。此次切換也意味著可選的短生命周期證書(shū)全面進(jìn)入“普遍可用”階段，并且加入了對(duì)在證書(shū)中直接包含 IP 地址的支持，為部分使用場(chǎng)景提供了更靈活的部署方式。對(duì)依賴(lài) Let’s Encrypt 的網(wǎng)站運(yùn)營(yíng)方與服務(wù)提供商而言，未來(lái)幾年需要逐步適配更頻繁的自動(dòng)續(xù)期流程，以確保在安全性增強(qiáng)的同時(shí)，服務(wù)穩(wěn)定性不受影響。