Let's Encrypt 详解 — 零成本实现 HTTPS 加密

📅 2026-08-16 | 🏷️ HTTPSSSL网络安全Let's Encrypt

什么是 Let's Encrypt？

Let's Encrypt 是一个免费的自动化 SSL/TLS 证书颁发机构（CA），由非营利组织 Internet Security Research Group (ISRG) 运营。它是目前全球使用最广泛的免费证书服务，极大降低了 HTTPS 的入门门槛。

核心特点

✅ 完全免费：无需支付任何费用即可获取 SSL/TLS 证书
🤖 自动化：通过 ACME 协议（Automatic Certificate Management Environment）实现证书申请、续期的全流程自动化
🔒 安全可靠：提供域名验证（DV）证书，支持 TLS 1.2/1.3 加密
🌍 开放透明：由 Let's Encrypt 项目和 EFF、Mozilla 等组织共同支持

工作原理

Let's Encrypt 使用 ACME 协议实现自动化的证书颁发，整个流程如下：

服务器向 Let's Encrypt 发起证书申请请求
Let's Encrypt 返回一个挑战（Challenge），要求在域名下放置验证文件或 DNS 记录
服务器自动完成验证（证明你拥有该域名）
Let's Encrypt 验证通过后颁发证书（包含公钥 + 数字签名）
Web 服务器配置证书，用户访问时建立加密连接

域名验证方式

HTTP-01 验证：在域名指向的服务器上放置 Let's Encrypt 生成的验证文件（最常用）
DNS-01 验证：在 DNS 记录中添加特定 TXT 记录（适合自动化 CI/CD 场景）
TLS-ALPN-01 验证：通过 TLS 握手期间传递验证信息（高级用法）

解决的问题

对比项	传统收费证书	Let's Encrypt
费用	几百到几千元/年	完全免费
申请流程	人工申请、审核、配置	自动化一条龙
证书有效期	通常 1 年	90 天（自动续期）
配置难度	较高，需要专业知识	工具自动完成
浏览器信任	✅ 完全信任	✅ 所有主流浏览器信任

常用工具：Certbot

Certbot 是 Let's Encrypt 官方推荐的证书申请工具，支持 Nginx、Apache 等主流 Web 服务器。

# 安装 certbot（Nginx 为例）
sudo apt install certbot python3-certbot-nginx

# 自动为 Nginx 生成证书并配置（一条命令完成）
sudo certbot --nginx -d example.com -d www.example.com

# 自动续期（Certbot 会自动添加 cron/systemd 定时任务）
sudo certbot renew

# 测试续期流程（dry-run）
sudo certbot renew --dry-run

局限性

仅支持 DV 证书：不支持 OV（组织验证）和 EV（扩展验证）证书，无法显示企业名称
证书有效期 90 天：需要定期续期（好在一般自动完成）
有速率限制：
- 每个域名每周最多 5 个证书
- 同一 IP 有并发请求限制
- 同一证书每周吊销重发限制

适用场景

✅ 适合使用 Let's Encrypt：

个人网站、博客、作品集
中小企业官网
开发 / 测试环境
内部系统、局域网服务（通过内网 DNS + DNS-01 验证）

❌ 不适合 Let's Encrypt：

需要显示企业名称 / 绿色地址栏的金融、企业级场景
需要高级别担保的商业应用（需购买 OV/EV 证书）

总结

Let's Encrypt 的出现彻底改变了 SSL/TLS 证书的生态，让 HTTPS 零成本成为可能。目前主流浏览器（Chrome、Firefox、Safari）和搜索引擎（Google）都会对未使用 HTTPS 的网站显示"不安全"警告。

使用 Let's Encrypt，你可以：

🔒 保护用户数据安全，防止流量劫持
📈 提升 SEO 排名（Google 明确优先收录 HTTPS 网站）
💚 去除浏览器安全警告，提升用户信任度
🆓 零成本运维，无需担心证书过期

无论你是个人开发者还是企业，Let's Encrypt 都是搭建 HTTPS 网站的首选方案。