A Let’s Encrypt egy ingyenes, automatizált, nyilvános tanúsítványkiadó (CA), amely domain validált SSL/TLS tanúsítványokat állít ki bárkinek, aki igazolja, hogy rendelkezik egy domain felett. A szolgáltatást a nonprofit Internet Security Research Group (ISRG) üzemelteti; az alapítók között volt az Electronic Frontier Foundation, a Mozilla, az Akamai, a Cisco és a Michigani Egyetem, a működést ma is adományok és szponzorok fedezik. A Let’s Encrypt 2015 végén kezdte meg a nyilvános működését, és mára a világ egyik legnagyobb tanúsítványkiadója.

Ez a cikk a Let’s Encrypt működését mutatja be. Arról, hogyan kap és újít meg Let’s Encrypt tanúsítványt aWh tárhelyén, a Let’s Encrypt ingyenes tanúsítványok cikkben olvashat.

Hogyan működik?

A Let’s Encrypt teljesen automatikus: nincs regisztráció, ügyintézés vagy fizetés. A tanúsítványt egy ACME-kliens (Automatic Certificate Management Environment, szabványos protokoll) kéri le, például a Certbot, az acme.sh, vagy tárhelyeken a cPanel AutoSSL funkciója. A folyamat lépései:

1. A kliens jelzi, mely domainekre kér tanúsítványt.
2. A Let’s Encrypt egy feladatot (challenge) ad, amellyel a kliens igazolja a domain feletti rendelkezést:
   • HTTP-01: egy ellenőrző fájlt kell elhelyezni a http://pelda.hu/.well-known/acme-challenge/ útvonalon;
   • DNS-01: egy TXT rekordot kell felvenni az _acme-challenge.pelda.hu névre. Wildcard tanúsítvány csak így kérhető;
   • TLS-ALPN-01: a 443-as porton, egy speciális tanúsítvánnyal történik az igazolás, ezt ritkábban használják.
3. A Let’s Encrypt több helyről ellenőrzi a feladatot, majd kiállítja a tanúsítványt.
4. A kliens telepíti a tanúsítványt, és a lejárat előtt automatikusan megismétli a folyamatot.

Mit ad, és mit nem?

• Domain validált (DV) tanúsítvány, amely technikailag ugyanolyan erős titkosítást biztosít, mint egy fizetős DV tanúsítvány, és minden mai böngésző elfogadja.
• Egy tanúsítványban több domain is szerepelhet, és kérhető wildcard tanúsítvány is.
• Nem ad szervezeti (OV) vagy kiterjesztett (EV) hitelesítést, pénzügyi garanciát és ügyfélszolgálatot. Ha ezekre szüksége van, fizetős tanúsítvány kell, lásd: Let’s Encrypt vagy fizetős SSL: melyiket válasszam?
• Korlátokat alkalmaz: például egy domainre hetente legfeljebb 50 új tanúsítvány, ugyanarra a névcsoportra hetente legfeljebb 5 tanúsítvány kérhető, és óránként legfeljebb 5 sikertelen ellenőrzés engedélyezett domainenként.

Mennyi ideig érvényes?

A Let’s Encrypt tanúsítványok alapértelmezés szerint 90 napig érvényesek, és ez a következő években tovább rövidül:

Időpont	Alapértelmezett érvényesség
jelenleg	90 nap
2027. február 10-től	64 nap
2028. február 16-tól	45 nap

Már most kérhető 45 napos (tlsserver profil) és nagyjából 6 napos (shortlived profil) tanúsítvány is. A rövidítés hátteréről a Miért nem érvényesek már egy évig az SSL tanúsítványok? cikk ír. Mivel a megújítás automatikus, a rövidebb érvényesség a felhasználónak általában nem jelent többletmunkát.

Változások 2025-ben

• Megszűnt az OCSP. A Let’s Encrypt 2025. május 7-től már nem tesz OCSP-címet a tanúsítványokba, és 2025. augusztus 6-án leállította az OCSP-kiszolgálóit. A visszavont tanúsítványokat azóta visszavonási listák (CRL) jelzik.
• Megszűntek a lejárati e-mailek. A Let’s Encrypt 2025-ben (a bejelentés szerint június 4-én) befejezte a lejárat előtti figyelmeztető levelek küldését. Ha saját szerveren használja, a lejáratot Önnek kell figyelnie.
• ARI. Az ACME Renewal Information segítségével a kiadó jelezheti a kliensnek, mikor újítson meg. Az ARI szerint időzített megújítások mentesülnek a kiadási korlátok alól.

Biztonságos?

Igen. A Let’s Encrypt tanúsítványokat ugyanazok a szabályok kötik, mint bármely más nyilvános kiadóét (a CA/Browser Forum alapkövetelményei), minden kiállított tanúsítvány bekerül a nyilvános Certificate Transparency naplókba, a kiadó szoftvere pedig nyílt forráskódú. Ami nem biztosított, az a weboldal üzemeltetőjének személye: a DV tanúsítvány csak azt igazolja, hogy a kérelmező rendelkezik a domain felett, azt nem, hogy ki ő.