Let’s Encrypt的免费证书和收费的证书有什么区别

1. 证书类型与验证级别

• Let’s Encrypt 免费证书：
  仅提供域名验证型（DV）证书，验证流程仅确认申请人对域名的控制权（如 DNS 记录、服务器文件验证等），不验证企业或组织的真实身份。浏览器中仅显示安全锁图标，不显示组织名称。
• 收费证书：
  • DV 证书：与 Let’s Encrypt 的 DV 类似，但部分厂商可能提供更便捷的验证流程或附加服务。
  • 企业验证型（OV）证书：需验证企业合法性（如营业执照、联系方式等），浏览器显示安全锁和组织名称，增强用户信任。
  • 增强验证型（EV）证书：最高级别验证，需通过严格的第三方审核（如法律文件、实体地址核实等），浏览器地址栏显示绿色背景 + 组织名称，显著提升可信度，常用于金融、电商等高敏感场景。

2. 有效期与续期规则

当前政策（2025 年）：

• Let’s Encrypt 免费证书：
  • 有效期仍为90 天，需通过自动化工具（如 Certbot）自动续期，未及时续期会导致证书过期。
• 收费证书：
  • 最长有效期为 398 天（约 13 个月），但实际中 CA 通常提供 1 年期证书（如 GlobalSign、DigiCert 等）。
  • 部分 CA 支持自动续期或到期提醒服务，减少管理成本。

未来政策调整（CA/B 论坛提案 SC-081v3）：

• 2026 年 3 月 15 日起：
  • 所有 SSL/TLS 证书（包括收费证书）的最长有效期缩短至 200 天，无论类型（DV/OV/EV）。
• 2027 年 3 月 15 日起：
  • 进一步缩短至100 天。
• 2029 年 3 月 15 日起：
  • 最终缩短至47 天，同时验证数据（如域名所有权）的重复使用期限从 398 天缩短至 10 天，需更频繁重新验证。

核心影响：

• 所有证书（包括收费证书）的有效期将大幅缩短，手动管理证书将变得不可行，企业需依赖自动化工具（如 ACME 协议、证书管理系统）实现无感续期。
• EV 证书虽仍需每年审核企业信息，但有效期同步缩短，进一步增加合规成本。

3. 域名支持范围

• Let’s Encrypt 免费证书：
  • 支持通配符域名（Wildcard）：需通过 DNS 验证（ACME DNS-01）申请，HTTP 验证不支持。
  • 支持多域名（SAN 证书）：可绑定多个域名或子域名，但需手动验证每个域名。
• 收费证书：
  • 对通配符、多域名的支持更灵活，部分厂商允许一键申请包含多个域名的证书，甚至支持跨域名组合（如 example.com 和 another.com）。
  • 高端证书（如 EV）可能对多域名数量有限制，需单独购买附加项。

4. 技术支持与服务

• Let’s Encrypt 免费证书：
  • 无官方付费技术支持，依赖开源社区（如 ACME 协议文档、论坛）或第三方工具提供商的免费教程，问题排查需自行解决。
• 收费证书：
  • 提供专业客服支持（如电话、邮件、工单），可协助解决证书申请失败、安装配置错误、兼容性问题等。
  • 部分厂商提供 SLA（服务级别协议），承诺故障响应时效。

5. 保险与法律保障

• Let’s Encrypt 免费证书：
  • 不提供任何保险或赔偿保障，若因证书问题导致数据泄露或业务损失，用户需自行承担责任。
• 收费证书：
  • 高端证书（如 OV/EV）通常附带责任保险（如 GlobalSign EV 证书提供最高 175 万美元赔付），用于赔偿因证书签发错误或加密失效导致的用户损失。
  • 部分厂商提供法律支持，协助处理证书相关的合规性争议。

6. 信任标识与品牌展示

• Let’s Encrypt 免费证书：
  • 浏览器中仅显示基础安全锁图标，无独立信任标志（Site Seal），无法直接向用户展示证书厂商背书。
• 收费证书：
  • 可在网站上展示厂商信任标志（如 DigiCert、Sectigo 的 Logo），部分厂商提供动态验证徽章（点击后显示证书详细信息），提升用户对网站安全性的感知。
  • EV 证书的绿色地址栏是最显著的信任标识，尤其对金融、电商用户影响显著。

7. 安全性与兼容性

• 相同点：
  • Let’s Encrypt 与收费证书均由受信任的 CA 签发，加密强度（如 TLS 1.3、SHA-256）和浏览器信任度完全一致，不存在 “免费证书安全性更低” 的问题。
  • 均遵循 CA/B 论坛规范，确保证书签发流程合规。

总结：如何选择？

• 适合 Let’s Encrypt 的场景：
  个人博客、测试环境、非商业网站，或需要通配符 / 多域名但预算有限的场景，优先考虑成本与灵活性。
• 适合收费证书的场景：
  • 企业官网、电商平台、金融服务等需要用户信任的场景（尤其是 OV/EV 证书）。
  • 缺乏技术能力管理证书续期，或需要专业支持与保险保障的组织。
  • 需要复杂域名配置（如跨域名 SAN、大量子域名）且希望简化管理的场景。
• 未来趋势：
  随着证书有效期大幅缩短，自动化证书管理系统（如 ACME 协议、HashiCorp Vault）将成为企业刚需，无论选择免费还是收费证书，均需提前布局自动化续期策略以避免服务中断。