Определение простыми словами
Let’s Encrypt — это некоммерческий удостоверяющий центр (CA), запущенный в 2015 году консорциумом Mozilla, EFF и Cisco. Выдаёт бесплатные доменные сертификаты типа DV (Domain Validation) через автоматизированный протокол ACME. Корневые сертификаты ISRG доверяют все современные браузеры и ОС.
На VPS и большинстве хостинг-панелей сертификат ставится одной командой certbot или встроенной кнопкой — и сайт получает HTTPS с зелёным замком в браузере. Для усиленной валидации (компания, EV) Let’s Encrypt не подходит — они выпускают только DV.
Сравнение
| Тип сертификата | Let’s Encrypt | Платные (DV) | OV / EV |
|---|---|---|---|
| Цена | 0 ₽ | от 500 ₽/год | от 5000 ₽/год |
| Срок | 90 дней | 1 год | 1 год |
| Валидация | Домен (DNS, HTTP) | Домен | Организация / расширенная |
| Wildcard | да (DNS-01) | да | да |
| Автопродление | штатное | вручную | вручную |
Кейсы использования
- HTTPS для корпоративного сайта, блога, лендинга — стандартный сценарий.
- Wildcard-сертификат *.example.com для большого числа поддоменов через DNS-01 challenge.
- Защита почтового сервера (SMTP, IMAP) и панели управления.
- Сертификаты для внутренних сервисов через DNS-валидацию без внешнего доступа на 80-м порту.
- Негативный сценарий: банк или платёжный сервис — там нужен EV-сертификат с проверкой юридического лица, Let’s Encrypt не подойдёт.
Технические детали
Получение и автопродление сертификата через certbot:
sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d example.com -d www.example.com
--agree-tos -m admin@example.com --no-eff-email
sudo certbot certificates
sudo systemctl status certbot.timer
sudo certbot renew --dry-runCertbot ставит systemd-таймер, который проверяет сертификаты дважды в день и продлевает за 30 дней до истечения. Для wildcard используйте плагин DNS-провайдера: certbot-dns-cloudflare, certbot-dns-route53.
🔥 Где это применяется
Частые вопросы
Почему сертификат всего на 90 дней?
Короткий срок снижает риски при компрометации ключа: украденный сертификат быстро истечёт сам. Автопродление через certbot полностью устраняет неудобство.
Можно ли использовать Let's Encrypt в коммерции?
Да, ограничений на тип сайта нет. Это полноценный TLS-сертификат, который браузеры принимают наравне с платными. Только для расширенной валидации (зелёная строка с названием компании) нужен EV от другого CA.
Что такое лимит rate limit у Let's Encrypt?
50 сертификатов на зарегистрированный домен в неделю и 5 идентичных запросов. Для тестов используйте staging-окружение certbot --staging, чтобы не упереться в лимит на боевом домене.