证书自动化加速：更短寿命、ARI 与 DNS 验证模型革新

证书自动化工具链（如 Certbot）的维护者近期需要关注一系列底层协议的变更。这些变更旨在简化大规模管理，同时为应对未来安全威胁做准备。

ACME 续期信息（ARI）协议正式提出 Let's Encrypt 在 2026 年 3 月详细介绍了 ARI 协议。ARI 的核心功能是允许证书颁发机构（CA）在证书生命周期的关键节点，主动通过 ACME 协议向客户端推送续期提醒。这改变了过去客户端只能依靠本地日程表或脚本决定续期时机的模式。对于管理数百万域名的运维团队，ARI 提供了集中协调续期窗口的可能，降低了因本地配置错误导致证书过期的风险。

证书有效期与速率限制将调整 有效期为 90 天的证书将不再被支持。根据 2026 年 2 月发布的计划，新策略将引入更短的证书有效期（例如 45 天），并配套调整速率限制：每个注册域名每周最多可签发 50 张证书。更短的证书寿命意味着自动化续期的频率需要提高，但同时也降低了证书私钥泄露后的风险窗口。这一变更要求自动化系统必须足够健壮，能够处理更高频的签发请求。

DNS 验证模型迎来新方案：DNS-PERSIST-01 当前基于 DNS 的 ACME 验证（如 DNS-01）通常要求自动化工具在短时间内完成记录的添加、验证和删除。这给某些环境（如 DNS API 更新有延迟）带来了挑战。2026 年 2 月提出的 DNS-PERSIST-01 模型改变了这一逻辑。它允许验证记录在验证成功后继续保留，直到证书签发或超时。这降低了自动化脚本对操作时序的严苛要求，让 DNS 验证的集成变得更加可靠。

其他近期能力扩展

• 更短期的证书与 IP 证书：Certbot 已支持签发有效期为六天的证书，以及直接为 IP 地址（非域名）签发证书。
• 后量子加密准备：Let's Encrypt 已在其生产环境测试了混合后量子密钥封装（PQKEM）证书，这是为未来抵御量子计算机威胁所做的技术储备。目前这仍属于研究和准备阶段。

重要提醒 自动化提升了效率，但也可能隐藏配置错误。2026 年 4 月的一篇博文专门讨论了“确保网站正常运行的困难”，强调了在复杂的重定向和负载均衡环境中，自动化部署后进行端到端验证的必要性。运维人员需要建立配套的测试流程，确保自动化续期后，网站对外的 HTTPS 服务依然正确无误。

参考来源

• Let's Encrypt（2026-06-03）：A Post-Quantum Future for Let's Encrypt

https://letsencrypt.org/2026/06/03/pq-certs.html

• Let's Encrypt（2026-04-10）：The difficulty of making sure your website is broken

https://letsencrypt.org/2026/04/10/test-sites.html

• Let's Encrypt（2026-03-17）：Simplifying Certificate Renewals for Millions of Domains with ACME Renewal Information (ARI)

https://letsencrypt.org/2026/03/17/acme-renewal-information-ari.html

• Let's Encrypt（2026-03-11）：Six-Day and IP Address Certificates Available in Certbot

https://letsencrypt.org/2026/03/11/shorter-certs-certbot.html

• Let's Encrypt（2026-02-24）：Shorter Certificate Lifetimes and Rate Limits

https://letsencrypt.org/2026/02/24/rate-limits-45-day-certs.html

• Let's Encrypt（2026-02-18）：DNS-PERSIST-01: A New Model for DNS-based Challenge Validation

https://letsencrypt.org/2026/02/18/dns-persist-01.html