除了让我们加密的免费SSL之外，是否有其他原因使用SSL证书？

#1 楼

证书寿命
安全性
寿命越短越好。仅仅是因为撤销主要是理论上的，在实践中却不能依靠撤销（公共PKI生态系统中的一大弱点）。
管理
没有自动化：更长的寿命更加方便。如果您由于某种原因无法自动化证书管理，则LE可能不可行
使用自动化：寿命无关紧要。
最终用户的印象
最终用户不太可能拥有任何证书
验证级别
安全性
Letsencrypt仅提供DV级别的验证。
购买证书，您将获得所要付出的一切（从DV开始，
DV =仅验证域名控制。
OV =另外还验证所有者实体（组织）信息。
EV =更完整的OV版本，它通常被授予“绿色条”（但“绿色条”似乎即将消失）。
管理
使用LE时，您进行的工作是设置必要的自动化（在这种情况下，是为了证明域控制）。要做多少工作取决于您的环境。
购买证书时，DV / OV / EV级别将定义获取证书需要进行的手动工作。对于DV，通常会经历向导付款和复制/粘贴或单击某事的过程，对于OV和EV，您几乎可以指望需要单独联系以执行其他步骤来确认您的身份。
结束-用户印象
最终用户可能会认识到当前的EV“绿色条”（即将消失），除了他们并不倾向于实际查看证书内容之外。
从理论上讲，它带有说明控制实体信息的证书显然更有用。但是浏览器（或其他客户端应用程序）需要开始以一种有用的方式实际显示此内容，然后才能对典型用户产生任何影响。
安装
安全性
可能会通过暴露私钥或类似的方式来做错事。
使用LE，所提供的工具是围绕合理的实践来设置的。
知道他们在做什么的人，显然也可以安全地完成手动步骤。
管理
LE非常旨在使所有流程自动化，它们的服务完全基于API，并且使用寿命短也反映了一切都以自动化为中心。
购买证书时，即使具有向普通客户提供API的CA（目前还不是真正的规范），也很难正确地自动化除DV以外的任何东西，而使用DV则是只需支付LE提供的功能即可。
如果要购买OV或EV，则可能只能部分自动化该过程。
最终用户的印象
如果安装完成正确地，最终用户显然将不知道它是如何完成的。使用自动化流程可以减少混乱的事情（例如，在更新时忘记更新或不正确地进行安装）。
总体上
如果您想要OV / EV，购买证书的传统方法特别有用。证书，不能自动执行证书管理，或者希望在除HTTPS之外的其他上下文中使用证书。

#2 楼

从纯粹的技术角度来看：


证书仅有效3个月。根据您的变更管理程序和基础架构，可能会造成麻烦。
“让我们加密”证书的目的是有限的。您不能将它们用于电子邮件，代码签名或时间戳记。
请检查：openssl x509 -in cert.pem -noout -text


X509v3扩展密钥用法：
TLS Web服务器身份验证，TLS Web客户端身份验证



从最终用户的角度来看：


缺少扩展验证意味着“无绿色条”某些Web浏览器。


但是，Chrome将于2018年9月淘汰绿色栏，改为使用小锁图标，最终没有特殊指示，而是仅显示不安全页面的警告。

#3 楼

我想在此处针对“让我们加密”使用的参数提供一些反对意见。

寿命短

是的，它们的寿命很短，如常见问题解答中所述：https ：//letsencrypt.org/2015/11/09/why-90-days.html引用页面：



它们限制了密钥泄露和误操作造成的损害发行。被盗的钥匙和错误签发的证书在较短的时间内有效。
它们鼓励自动化，这对于易于使用绝对至关重要。如果我们要将整个Web迁移到HTTPS，就不能
继续期望系统管理员手动处理续订。
一旦发布和续订自动化，就不会缩短生存期
/>比长途旅行更不方便。



缺少电动汽车

没有电动汽车支持计划。推理（来自https://community.letsencrypt.org/t/plans-for-extended-validation/409）是：


我们希望我们的加密技术不支持EV。 ，因为EV流程始终需要人工，而这需要付费。我们的模型是免费颁发证书，这需要一个与EV不兼容的水平自动化。


此外，有些人认为EV是有害的，例如本博文（https://stripe.ian.sh/）：例如，詹姆斯·伯顿（James Burton）最近为其公司“身份验证”获得了EV证书。不幸的是，用户根本没有能力处理这些实体的细微差别，这为网络钓鱼创造了重要的载体。


sslstrip是一个典型的现实世界示例。具有合法购买证书的同形异形网站是一种现实世界的攻击，而EV目前尚无法提供足够的防御。

#4 楼

有两点缺点值得考虑。

1。使用“让我们加密”服务的弊端让我们的加密要求公用Internet DNS中存在确切的名称（如果请求通配符，则为（子）域）。即使您证明对example.com的控制权，“加密”也不会在公共DNS中不为您颁发some.other.name.in.example.com的证书。命名的计算机不需要公共地址记录，可以将其防火墙隔离，甚至可以物理断开连接，但是公共DNS名称必须存在。

我们的加密证书有效期为90天，这意味着您需要自动化，因为没有人有时间这样做。实际上，这就是服务的目的-使人们将这项重要工作自动化，而不是在他们自动完成许多更艰巨的任务时不正确地手动进行。但是，如果您由于某种原因无法实现自动化，那将是负面的-如果您拥有工具，设备或任何阻碍自动化的组件，则将任何商业SSL证书成本视为这些工具/设备/成本规划中持续成本的一部分。相反地​​，由于无需购买商业证书即可抵消节省的费用，而无需为此自动进行定价的新工具/设备/等产品



控制加密自动化的“让我们加密”证明可能不符合您组织的规则。例如，如果您有允许重新配置Apache但不应该获得公司域名的SSL证书的员工，那么“加密”是不合适的。请注意，在这种情况下，只是不使用它们就是Wrong Thing（TM），您应该使用CAA显式禁用域的“让我们加密”。

如果“让我们加密”政策拒绝您，唯一的“上诉法院”是在其公共论坛上提问，并希望他们的一名工作人员能够提出前进的道路。例如，如果您的站点的DNS名称由他们的系统决定与大型银行或Google等某些著名属性“混淆相似”，则可能会发生这种情况。出于明智的原因，每个公共CA在这方面的确切策略均未公开接受公众审查，因此您可能只会在请求并获得“禁止策略...”响应时才意识到您无法拥有“让我们加密”证书。

2。 Let's Encrypt证书本身的缺点

如今，Let's Encrypt证书已通过ISRG（提供Let's Encrypt服务的慈善机构）得到了主要网络浏览器的信任，但是较早的系统则通过相对模糊的证书颁发机构IdenTrust信任Let's Encrypt控制“ DST根CA X3”。这可以为大多数人完成工作，但是它并不是世界上最广泛信任的根源。例如，废弃的Nintendo WiiU控制台有一个Web浏览器，很明显Nintendo不会发布WiiU的更新，因此该浏览器被废弃了，它不信任Let's Encrypt。

让我们的Encrypt只发行证书对于Web PKI-具有使用SSL / TLS协议的Internet名称的服务器。显然，这就是Web，您的IMAP，SMTP，某些类型的VPN服务器，很多东西，但不是全部。特别是，Let's Encrypt根本不提供针对S / MIME（用于在静止状态下加密电子邮件，而不仅仅是在传输过程中对电子邮件进行加密的方式）或代码签名或文档签名的证书。如果您想要“一站式”的证书，这可能是不使用Let's Encrypt的充分理由。

即使在Web PKI中，Let's Encrypt也仅提供“ DV”证书，这意味着有关证书中未提及您自己或您的组织（而不是FQDN）。即使将它们写入CSR，它们也将被丢弃。这可能是某些专业应用程序的障碍。

让我们加密自动化意味着您完全受自动化允许的约束，即使没有其他原因导致您无法购买东西。让我们在自己的时间轴上明确启用新类型的公共密钥，新的X.509扩展和其他添加，当然，尽管欢迎捐款，但您不能仅支付额外​​的费用来获得所需的功能。

但是，对于几乎每个人，几乎总是，Let's Encrypt是将证书以即发即弃方式放置在TLS服务器上的不错的首选。首先假设您将使用“让我们加密”是执行此决定的明智方法。

#5 楼

我将添加一个使我的雇主部分脱离Lets Encrypt的方法：API速率限制。由于生命周期短和缺乏通配符支持，在正常的自动操作（自动续订等）期间，很容易接近速率限制。尝试添加新的子域可能会使您超出速率限制，而LE无法在命中后手动覆盖该限制。如果您不备份旧证书（谁会在LE设想的自动化的云型微服务环境中备份？），则所有受影响的站点都将脱机，因为LE不会重新颁发证书。

当我们意识到发生了什么事时，就会出现“哦$＃！＃”的瞬间，然后紧急申请商业证书，目的是使生产站点恢复在线。一种具有更合理的1年使用寿命。在LE实现适当的通配符支持之前（甚至在此之前），我们将非常警惕他们的产品。

Tl; dr：LE通配符+ API的限制使管理比“我的个人”更复杂主页”的挑战性出乎意料，并在此过程中促进了不良的安全实践。

#6 楼

除非您需要除Web以外的其他内容的证书，否则没有真正的缺点，但可以肯定地看到缺点。尽管问题只是被发现的，但作为网站所有者，您可能别无选择，只能解决这些问题（如果商业利益禁止显示中指）。

最大的缺点是，对于暂时，您的网站将显示为劣等，可能很危险，因为它没有其他网站所拥有的漂亮的绿色徽标。该徽章是什么意思？真的没什么。但这确实表明您的网站是“安全的”（某些浏览器甚至使用该确切词）。 users，用户就是人，人是愚蠢的。仅仅因为浏览器认为安全性不高，一个或另一个人就会认为您的网站不可靠（不了解任何含义）。

如果忽略这些客户/访客是有可能的，问题。如果您无法负担起该业务的费用，则必须花钱。没有其他选择。

另一个可感知的问题是关于证书生存期的问题。但这实际上是优点，而不是缺点。较短的有效期意味着证书必须在服务器端和客户端都更频繁地更新。
对于服务器端，这是通过cron作业实现的，因此与之相比，它的麻烦和可靠性更高通常。您无法忘记，无法迟到，无法意外地做错事，无需使用管理帐户登录（...多次）。在客户端，那又如何。浏览器一直在更新证书，这并不重要。用户甚至都不知道会发生这种情况。每3个月（而不是每2年）进行更新时，流量会略有增加，但是严重的是……这不是问题。

#7 楼

是的。

使用免费或加密加密SSL证书的缺点-

兼容性问题–加密与所有平台不兼容的SSL证书。请参阅此链接以了解不兼容平台的列表–

有效性较低–让我们加密SSL证书的有效期有限，为90天。您必须每90天更新一次SSL证书。像Comodo这样的带薪SSL的有效期长达2年。

没有业务验证–免费的SSL证书仅需要域验证。没有业务或组织验证可确保合法业务实体的用户。

适用于小型企业或博客网站–正如我在最后一点中所述，可以通过域所有权获得免费的或加密的SSL证书验证，它不适合将信任和安全性作为企业主要因素的商业或电子商务网站。

没有绿色地址栏–您不能拥有带有免费SSL证书的绿色地址栏。扩展的验证SSL证书是在浏览器上用绿色地址栏显示您的公司名称的唯一方法。

不支持–如果您在使用“加密”的方式之间陷入困境，则可以进行在线聊天或致电支持。您只能通过论坛联系来摆脱此问题。

其他安全功能–免费的SSL证书不提供任何其他功能，例如免费的恶意软件扫描，网站密封等。

无担保-免费或加密的SSL证书不提供任何担保额，而付费的SSL证书可提供从$ 10,000到$ 1,750,000的担保。

根据新闻，有14,766加密SSL证书已颁发PayPal钓鱼网站，因为它只需要域验证

因此，按照我的建议，为SSL证书付费确实很值得。

#8 楼

经过研究，我发现“让我们加密”证书与浏览器的兼容性不如付费证书。 （来源：让我们加密vs. Comodo PositiveSSL）