Let's Encrypt วางกรอบเวลารองรับการยืนยันตัวตน DNS-PERSIST-01 ว่าจะเริ่มให้บริการภายในไตรมาสที่สองของปี 2026

DNS-PERSIST-01 เป็นการยืนยันตัวตนที่เหมาะกับการใช้กับเซิร์ฟเวอร์ในองค์กรที่หลายแห่งเปิดบริการภายในโดยไม่สามารถเข้าถึงจากอินเทอร์เน็ตได้ เช่น โดเมนผูกกับไอพี 10.0.0.0/8 โดยก่อนหน้านี้รูปแบบการใช้งานแบบนี้ต้องอาศัย ไคลเอนต์ ACME ยืนยันความเป็นเจ้าของโดเมนแบบ DNS-01 ที่ต้องแก้ไขค่า DNS TXT ทุกครั้งที่ต้องการขอใบรับรอง แต่ DNS-PERSIST-01 เป็นการระบุหมายเลขบัญชีที่แก้ไขได้เพียงครั้งเดียวเท่านั้น

Let's Encrypt เปิดใช้บริการโปรไฟล์ shortlived สำหรับการออกใบรับรองอายุสั้นเพียง 160 ชั่วโมง หรือประมาณ 6 วัน สำหรับบริการที่ต้องการลดความเสี่ยงกุญแจหลุด เพราะใบรับรองจะหมดอายุลงอย่างรวดเร็ว

ความเสี่ยงของการใช้ใบรับรองคือหากกุญแจลับหลุดออกไปจะทำให้คนร้ายสามารถปลอมตัวเป็นบริการได้สมบูรณ์ แนวทางก่อนหน้านี้คือการประกาศยกเลิกใบรับรองที่เคยทำกุญแจหลุดไป แต่กระบวนการตรวจสอบว่าใบรับรองถูกประกาศยกเลิกแล้วหรือยังนั้นขึ้นกับไคลเอนต์แต่ละตัว ทำให้ไม่สามารถควบคุมได้ แนวทางแก้ปัญหาคือลดอายุใบรับรองให้เหลือสั้นมากๆ ซึ่งไคลเอนต์ทุกตัวล้วนตรวจสอบวันหมดอายุของใบรับรองทั้งหมด

Let's Encrypt ประกาศเริ่มใช้ชุดใบรับรอง Root CA ชุดใหม่ เรียกโดยรวมว่า Generation Y ซึ่งจะปรับนโยบายการออกใบรับรองใหม่สองประการ ได้แก่ จะยกเลิก TLS Client Authentication แต่เพิ่มการรับรองหมายเลขไอพีเข้ามา

Let's Encrypt ประกาศออกใบรับรอง intermediate certificate ใหม่ทั้งหมดสิบใบ สำหรับสายกุญแจแบบ RSA-2048 จำนวน 5 ใบและ ECDSA อีก 5 โดยมีเป้าหมายจะใช้ใบรับรองเหล่านี้ในช่วงเวลาที่สั้นลง แถมยังมีระบบสุ่มใบรับรอง intermediate เพื่อบีบให้แอปต่างๆ เลิกทำ key pinning