说到Let’s Encrypt这个免费的证书颁发机构，确实给我们这些技术爱好者带来了很多便利。不过根据我这几年使用经验来看，它的限制还真不少，有些限制可能会让你措手不及。就拿我在搭建私人HTTP代理时遇到的状况来说吧，明明按照官方文档操作的，却因为某些限制需要在半夜爬起来修改配置。
有效期短是个双刃剑
最明显的限制就是90天的证书有效期了，相比传统CA机构动辄一年的期限，这个缩水了整整四分之三啊！虽然官方说这是为了增强安全性，但对我们这些懒人开发来说，意味着必须得设置定期更新任务。我就曾经因为忘了更新，导致线上服务的代理突然罢工，监控警报响个不停…
域名验证的限制暗藏玄机
更隐蔽的是他们用的一项叫BPKI的政策，每张证书最多只能包含100个域名。听起来挺宽松？当你需要管理一个大型代理池或者多个子域时就麻烦了。我有次尝试给50多台服务器申请通配符证书，结果触发了他们的速率限制，必须在7天后才能重新申请——这种冷知识真是实践出真知。
企业级需求的无奈
最让我头疼的是EV证书的缺失。某些金融类网站反向检测代理时，会特别看重证书类型。这时候Let’s Encrypt的DV证书就显得有点”业余”了，我在真实测试中遇到过请求直接被拒绝的情况。虽然技术上没毛病，但某些行业的潜规则还真得用传统CA的高价证书才能搞定。
话说回来，这些限制也情有可原。毕竟人家是个非盈利组织，主要服务对象就是我们这些个人开发者和中小项目。像他们官网上说的，成立初衷就是”让HTTPS像喝水一样简单”。对于90%的日常用途绝对够用了，但在特殊场景下，我们得学会找替代方案或者想变通办法。你遇到过哪些Let’s Encrypt的坑？欢迎分享你的实战经验~
评论