當 Let's Encrypt 最初啟動時，我們需要確保我們的憑證被廣泛信任。為此，我們安排了讓我們的中繼憑證由 IdenTrust 的 DST 根 CA X3 交叉簽署。這表示由這些中繼憑證核發的所有憑證都會受到信任，即使我們自己的 ISRG 根 X1 尚未如此。在隨後的幾年裡，我們的根 X1 本身也變得廣泛信任。

到 2021 年底，我們的交叉簽署中繼憑證和 DST 根 CA X3 本身都將過期。雖然當時所有最新的瀏覽器都信任我們的根憑證，但 超過三分之一的 Android 裝置仍然執行舊版本的作業系統，這些裝置會突然停止信任使用我們憑證的網站。這種中斷會太過廣泛，因此我們安排了一個新的交叉簽署 – 這次是直接到我們的根憑證上，而不是我們的中繼憑證上 – 這將比 DST 根 CA X3 本身更長壽。這種權宜之計讓這些舊的 Android 裝置在三年內繼續信任我們的憑證。

在 2024 年 9 月 30 日，該交叉簽署也將過期。

在過去三年中，信任我們 ISRG 根 X1 的 Android 裝置百分比已從 66% 上升到 93.9%。在接下來的一年裡，這個百分比將進一步增加，尤其是在 Android 發布 14 版之後，該版本能夠在無需完整作業系統更新的情況下更新其信任儲存區。此外，放棄交叉簽署將使 TLS 交握中傳送的憑證位元組數減少 40% 以上。最後，它將顯著降低我們的營運成本，讓我們能夠將資金集中在持續改善您的隱私和安全性上。

基於這些原因，我們不會取得新的交叉簽署來進一步擴展相容性。

轉換將依如下方式進行

  • 在 2024 年 2 月 8 日星期四，我們停止在向我們的 /acme/certificate API 端點發出的請求中預設提供交叉簽署。對於大多數訂閱者而言，這表示您的 ACME 用戶端將設定一個終止於 ISRG 根 X1 的鏈，而您的網頁伺服器將開始在所有 TLS 交握中提供此較短的鏈。較長的鏈（終止於即將過期的交叉簽署）仍然可用作您可以設定用戶端請求的替代鏈。

  • 在 2024 年 6 月 6 日星期四，我們將完全停止提供較長的交叉簽署鏈。這僅僅在交叉簽署過期前 90 天（一個憑證的有效期）多一點，而且我們需要確保訂閱者至少有一個完整的核發週期來從交叉簽署鏈遷移出來。

  • 在 2024 年 9 月 30 日星期一，交叉簽署憑證將過期。對於大多數人而言，這應該不是什麼大事，因為任何用戶端中斷都應該在過去六個月內發生。

Infographic of the distribution of installed Android versions, showing that 93.9% of the population is running Android 7.1 or above.

如果您使用 Android 7.0 或更早版本，您可能需要採取行動，以確保您仍然可以存取由 Let's Encrypt 憑證保護的網站。我們建議您安裝並使用 Firefox Mobile，它使用自己的信任儲存區而不是 Android 作業系統信任儲存區，因此信任 ISRG 根 X1。

如果您是網站營運商，您應該在 2024 年第二季度和第三季度密切關注您的網站使用統計數據和作用中的使用者代理字串。如果您看到來自 Android 的訪問量突然下降，很可能是因為您有大量使用者使用 Android 7.0 或更早版本。我們鼓勵您向他們提供與我們上面提供的相同的建議。

如果您是 ACME 用戶端作者，請確保您的用戶端在每次憑證核發（包括續約）期間正確下載並安裝我們 API 提供的憑證鏈。我們過去看到的失敗模式包括：a) 從未下載鏈，而僅提供終端實體憑證；b) 從未下載鏈，而是提供硬式編碼的鏈；以及 c) 僅在首次核發時下載鏈，而未在續約期間重新下載。請確保您的用戶端不會屬於任何這些情況。

感謝您現在和未來幾年來的理解和支持，我們將為所有使用網路的人提供安全可靠的通訊。如果您對此轉換或我們從事的任何其他工作有任何疑問，請在我們的社群論壇上提問。

我們要感謝 IdenTrust 多年來的合作夥伴關係。他們在幫助 Let's Encrypt 發展到今天的地位方面發揮了重要作用，他們在 2021 年安排權宜之計的交叉簽署，展現了他們對建立安全網路的真正承諾。

我們依靠支持者的捐款來提供我們的服務。如果您的公司或組織可以透過成為 Let's Encrypt 的贊助商來幫助我們的工作，請發送電子郵件至 sponsor@letsencrypt.org。如果您的能力許可，我們要求您做出個人捐款。