Kakitangan Let's Encrypt mengesahkan pada 22:02 UTC, 10 November bahawa API pengeluaran kini menggunakan 6 lokasi pengesahan jauh. Setiap pengesahan domain kini membuat 7 permintaan kesemuanya: 1 dari pusat data utama dan 6 dari lokasi jauh, meningkat daripada 4 lokasi jauh sebelum ini. Pengesahan hanya berjaya apabila pusat data utama dan bilangan lokasi jauh yang diperlukan kesemuanya menerima respons yang betul. Perubahan ini diumumkan pada 15 Oktober dan mula berkuat kuasa dalam persekitaran staging pada 27 Oktober. Let's Encrypt menjangkakan kesannya kepada pengguna sedikit atau tiada langsung, tetapi beberapa jenis persediaan wajar disemak lebih awal.

Mengapa Lokasi Ditambah

Pengesahan dari beberapa lokasi rangkaian secara serentak bertujuan menghalang penyerang daripada menggunakan rampasan BGP untuk menarik trafik pengesahan kepada dirinya dan memperoleh sijil bagi domain orang lain. Let's Encrypt telah melakukannya sejak 2020, dan penambahan ini berpunca daripada peraturan industri yang lebih ketat: seksyen 3.2.2.9 dalam Baseline Requirements CA/Browser Forum menyatakan bahawa mulai 15 Disember 2026 pihak berkuasa sijil mesti membuat pengesahan dari sekurang-kurangnya 5 lokasi rangkaian jauh, yang tersebar merentas rantau perkhidmatan sekurang-kurangnya 2 Pendaftar Internet Serantau (Regional Internet Registry) yang berbeza, dan tidak boleh mengeluarkan sijil jika syarat itu tidak dipenuhi. Oleh itu, pihak berkuasa sijil lain juga akan membuat perubahan yang serupa.

Persediaan yang Kini Mungkin Gagal Memperbaharui Sijil

  • Peraturan tembok api dan CDN yang menyekat pelawat mengikut negara atau rantau. Permintaan pengesahan kini datang dari lebih banyak rantau, dan pengesahan gagal apabila cukup banyak lokasi disekat. Let's Encrypt tidak menerbitkan alamat IP yang digunakannya untuk pengesahan dan menyatakan alamat itu boleh berubah pada bila-bila masa, jadi senarai dibenarkan tidak akan berkesan; pendekatan yang boleh diharap ialah membiarkan laluan /.well-known/acme-challenge/ terbuka kepada seluruh dunia. Pengesahan HTTP-01 menggunakan port 80 dan mengikut ubah hala ke port 80 atau 443.
  • DNS autoritatif yang hanya menjawab rantau tertentu, seperti resolusi berasaskan geografi atau tembok api DNS dengan had serantau. Pengesahan DNS-01 memerlukan rekod TXT kelihatan dari setiap lokasi, dan pengesahan HTTP-01 juga perlu menyelesaikan nama domain terlebih dahulu, jadi ia terjejas dengan cara yang sama.
  • Kumpulan keselamatan atau tembok api yang hanya membenarkan "beberapa IP yang diketahui" mencapai port 80. Sebabnya sama seperti dalam butiran pertama: sumber pengesahan tidak tetap dan tidak diterbitkan.

Cara Menguji Lebih Awal

Persekitaran staging telah menggunakan 6 lokasi jauh sejak 27 Oktober, dan mod dry-run certbot berhubung dengan persekitaran itu juga, jadi menjalankan sudo certbot renew --dry-run sekali pada pelayan akan memberitahu anda sama ada pembaharuan berfungsi di bawah pengesahan baharu. Jika ia gagal, mesej ralat menamakan domain dan jenis pengesahan yang tidak lulus; semak berdasarkan tiga butiran di atas. Satu lagi sebab untuk menyemak sekarang ialah pembaharuan akan menjadi lebih kerap tidak lama lagi: tempoh sah lalai sijil Let's Encrypt turun kepada 64 hari pada 10 Februari 2027, seperti yang diterangkan dalam laporan ini, dan sijil jangka pendek 6 hari dibincangkan dalam laporan ini pula. Pengeluaran dan pembaharuan automatik sijil diterangkan dalam tutorial SSL Let's Encrypt kami; jika anda menetapkan peraturan sekatan negara dalam Cloudflare, ingat untuk menambah pengecualian bagi laluan pengesahan, dan asas Cloudflare ada di sini.