Let’s Encrypt je brezplačen, avtomatiziran, javni izdajatelj potrdil (CA), ki potrdila SSL/TLS s preverjeno domeno izda vsakomur, ki dokaže, da razpolaga z domeno. Storitev upravlja neprofitna Internet Security Research Group (ISRG); med ustanovitelji so bili Electronic Frontier Foundation, Mozilla, Akamai, Cisco in Univerza v Michiganu, delovanje pa še danes krijejo donacije in sponzorji. Let’s Encrypt je javno delovanje začel konec leta 2015 in je danes eden največjih izdajateljev potrdil na svetu.

Ta članek prikazuje delovanje Let’s Encrypt. Kako na gostovanju aWh dobiš in podaljšaš potrdilo Let’s Encrypt, beri v članku Brezplačna potrdila Let’s Encrypt.

Kako deluje?

Let’s Encrypt je popolnoma samodejen: ni registracije, urejanja papirjev ali plačila. Potrdilo pridobi odjemalec ACME (Automatic Certificate Management Environment, standardni protokol), na primer Certbot, acme.sh ali na gostovanju funkcija AutoSSL v cPanelu. Koraki postopka:

1. Odjemalec sporoči, za katere domene zahteva potrdilo.
2. Let’s Encrypt da nalogo (challenge), s katero odjemalec dokaže razpolaganje z domeno:
   • HTTP-01: preverjalno datoteko je treba postaviti na pot http://pelda.hu/.well-known/acme-challenge/;
   • DNS-01: treba je dodati zapis TXT za ime _acme-challenge.pelda.hu. Potrdilo wildcard je mogoče zahtevati le tako;
   • TLS-ALPN-01: dokaz poteka na vratih 443 s posebnim potrdilom, uporablja se redkeje.
3. Let’s Encrypt nalogo preveri z več lokacij, nato izda potrdilo.
4. Odjemalec potrdilo namesti in pred potekom postopek samodejno ponovi.

Kaj da in česa ne?

• Potrdilo s preverjeno domeno (DV), ki tehnično zagotavlja enako močno šifriranje kot plačljivo potrdilo DV in ga sprejemajo vsi današnji brskalniki.
• V enem potrdilu je lahko več domen, mogoče je zahtevati tudi potrdilo wildcard.
• Ne da preverjanja organizacije (OV) ali razširjenega preverjanja (EV), finančne garancije in podpore za stranke. Če to potrebuješ, potrebuješ plačljivo potrdilo, glej: Let’s Encrypt ali plačljivi SSL: katerega izbrati?
• Uporablja omejitve: na primer za domeno je mogoče na teden zahtevati največ 50 novih potrdil, za isto skupino imen največ 5 potrdil na teden, na domeno pa je dovoljenih največ 5 neuspešnih preverjanj na uro.

Kako dolgo velja?

Potrdila Let’s Encrypt privzeto veljajo 90 dni, to pa se bo v naslednjih letih še skrajšalo:

Datum	Privzeta veljavnost
trenutno	90 dni
od 10. februarja 2027	64 dni
od 16. februarja 2028	45 dni

Že zdaj je mogoče zahtevati 45-dnevno (profil tlsserver) in približno 6-dnevno (profil shortlived) potrdilo. O ozadju krajšanja piše članek Zakaj potrdila SSL ne veljajo več eno leto? Ker je podaljšanje samodejno, krajša veljavnost za uporabnika običajno ne pomeni dodatnega dela.

Spremembe v letu 2025

• OCSP je ukinjen. Let’s Encrypt od 7. maja 2025 v potrdila ne dodaja več naslova OCSP, 6. avgusta 2025 pa je ustavil svoje strežnike OCSP. Preklicana potrdila od takrat označujejo seznami preklicev (CRL).
• E-sporočila o poteku so ukinjena. Let’s Encrypt je leta 2025 (po napovedi 4. junija) prenehal pošiljati opozorilna sporočila pred potekom. Če ga uporabljaš na lastnem strežniku, moraš potek spremljati sam.
• ARI. Z ACME Renewal Information lahko izdajatelj odjemalcu sporoči, kdaj naj podaljša. Podaljšanja, časovno usklajena po ARI, so izvzeta iz omejitev izdaje.

Je varen?

Da. Za potrdila Let’s Encrypt veljajo enaka pravila kot za vsakega drugega javnega izdajatelja (osnovne zahteve foruma CA/Browser Forum), vsako izdano potrdilo pride v javne dnevnike Certificate Transparency, programska oprema izdajatelja pa je odprtokodna. Kar ni zagotovljeno, je identiteta upravljavca spletne strani: potrdilo DV potrjuje le, da vlagatelj razpolaga z domeno, ne pa, kdo je.