Let's Encrypt is een gratis, geautomatiseerde nonprofit Certificate Authority beheerd door de Internet Security Research Group (ISRG). Het geeft domeingevalideerde (DV) SSL/TLS-certificaten zonder kosten uit, waardoor HTTPS-encryptie voor iedereen toegankelijk is.
De service gebruikt het ACME-protocol (Automatic Certificate Management Environment) om elke stap van certificaatbeheer te automatiseren. U voert clientsoftware uit zoals Certbot of acme.sh, die een sleutelpaar genereert, een certificaat aanvraagt, domeineigenaarschap bewijst via een geautomatiseerde uitdaging, en het ondertekende certificaat installeert — allemaal zonder handmatige tussenkomst. Vernieuwing gebeurt automatisch via cron of systemd-timers.
Domeineigenaarschap wordt bewezen met behulp van een van drie uitdagingstypen:
- HTTP-01: Plaats een bestand op
/.well-known/acme-challenge/op uw webserver - DNS-01: Voeg een TXT-record toe onder
_acme-challenge.<domain> - TLS-ALPN-01: Reageer op een TLS-uitdaging op poort 443
Let's Encrypt geeft alleen domeingevalideerde certificaten uit — geen Organization Validation (OV) of Extended Validation (EV). Certificaten zijn 90 dagen geldig, veel korter dan de typische 1–2 jaar van commerciële CA's. Dit forceert vernieuwingsautomatisering maar elimineert vergeten verlengingen die tot uitval leiden.
WarningCertificaten verlopen na slechts 90 dagen. Automatiseer vernieuwing altijd met uw ACME-client; handmatige vernieuwing is gemakkelijk te vergeten. Ook gelden tarieflimits per geregistreerd domein, dus gebruik de staging-omgeving vóór snelle heruitgifte tijdens testen.
De vertrouwenswortel van Let's Encrypt is ISRG Root X1, die nu rechtstreeks wordt vertrouwd door moderne besturingssystemen en browsers. Het heeft sinds de lancering in 2015 miljarden certificaten uitgegeven.