Let's Encrypt 进入 2026：证书缩至 45 天乃至 6 天，ARI、DNS-PERSIST-01 与后量子路线图齐头并进

证书越来越短：45 天成为新常态，6 天证书落地 Certbot

Let's Encrypt 在 2026 年 2 月 24 日的公告中确认，证书有效期将进一步缩短至 45 天，并相应调整速率限制。这延续了 CA/Browser Forum 基线要求推动的行业趋势：有效期越短，密钥泄露或误签发后的暴露窗口越小。

更激进的一步是 3 月 11 日宣布的 6 天证书。这类超短证书已可在 Certbot 中申请，同时落地的还有 IP 地址证书。6 天有效期意味着传统"证书快过期再续"的思路彻底失效——续期必须完全自动化，而且要有重试和失败告警的余地。对运维团队的实际影响是：如果自动化链路不可靠，停机风险反而比长证书时代更高。

ARI：让"什么时候续期"由 CA 告诉你

3 月 17 日的文章介绍了 ACME Renewal Information（ARI）的推进情况。ARI 的思路很直接：客户端定期向 CA 查询续期窗口，由 CA 建议最佳续期时间，而不是客户端自己按固定时间或剩余天数猜。

这对大规模域名管理尤其重要。当 CA 需要大规模吊销证书（比如历史上发生过的验证逻辑缺陷事件）时，ARI 可以让客户端提前集中续期，把冲击摊平到窗口期内，而不是在最后时刻造成续期洪峰。对普通用户而言，前提是所用 ACME 客户端支持 ARI——这是评估客户端选型时值得确认的一项能力。

DNS-PERSIST-01：一次配置，长期验证

2 月 18 日公布的 DNS-PERSIST-01 是对 DNS 验证模式的一次重新设计。传统 DNS-01 每次续期都要更新 TXT 记录，对无法自动化 DNS API 的用户是持续的负担。DNS-PERSIST-01 允许用户在 DNS 中放置一条长期有效的记录，CA 据此持续确认域名控制权，后续续期不再需要改动 DNS。

这对把 DNS 托管在缺乏 API 的服务商、或 DNS 变更需要跨部门审批的组织，是实打实的减负。当然，长期记录也意味着需要更谨慎地保护其内容不被滥用。

两件周边工作：后量子与"故意坏掉"的测试站点

6 月 3 日的文章阐述了 Let's Encrypt 面对后量子时代的方向。核心信息是后量子证书（更大签名、更长的链）会显著增加握手开销，CA 层面需要为这种过渡做准备。这目前仍是路线图性质的内容，距运维侧的强制变更还有距离，但证书链体积对延迟敏感场景的影响值得提前关注。

4 月 10 日的文章则谈了一个容易被忽视的问题：维护一组"证书确实是坏的"的测试站点有多难。过期证书、吊销证书、错误主机名——这些坏证书会自己过期，需要持续维护才能继续"正确地坏着"。这类测试资源对浏览器、客户端和安全工具的开发者很关键，也侧面说明证书生态里连"失败状态"都是需要工程投入的基础设施。

运维侧的实际 takeaway

把这六则公告放在一起，主线是清晰的：证书生命周期在缩短，管理责任在向自动化协议（ACME、ARI、持久化 DNS 验证）转移。对手工或半手工管理证书的团队，2026 年是必须完成自动化改造的时间点；对已经自动化的团队，值得做的是确认客户端支持 ARI、评估 DNS-PERSIST-01 是否能简化现有流程，并为更短的续期窗口补充监控告警。

参考来源

• Let's Encrypt（2026-06-03）：A Post-Quantum Future for Let's Encrypt

https://letsencrypt.org/2026/06/03/pq-certs.html

• Let's Encrypt（2026-04-10）：The difficulty of making sure your website is broken

https://letsencrypt.org/2026/04/10/test-sites.html

• Let's Encrypt（2026-03-17）：Simplifying Certificate Renewals for Millions of Domains with ACME Renewal Information (ARI)

https://letsencrypt.org/2026/03/17/acme-renewal-information-ari.html

• Let's Encrypt（2026-03-11）：Six-Day and IP Address Certificates Available in Certbot

https://letsencrypt.org/2026/03/11/shorter-certs-certbot.html

• Let's Encrypt（2026-02-24）：Shorter Certificate Lifetimes and Rate Limits

https://letsencrypt.org/2026/02/24/rate-limits-45-day-certs.html

• Let's Encrypt（2026-02-18）：DNS-PERSIST-01: A New Model for DNS-based Challenge Validation

https://letsencrypt.org/2026/02/18/dns-persist-01.html