Let's Encryptは無料のSSL証明書を提供しています。AWS Certificate Managerなど、他の有料の証明書と比較して欠点はありますか？
回答:
寿命が短いほど良いです。単に取り消しが主に理論的であるという理由だけで、実際にはそれを当てにすることはできません（パブリックPKIエコシステムの大きな弱点）。
自動化なし：寿命が長いほど便利です。LEは、何らかの理由で証明書管理を自動化できない場合、実行できない場合があります
。自動化：寿命は重要ではありません。
エンドユーザーが何らかの方法でアイデアを持っていることはほとんどありません。
Letsencryptは、DVレベルの検証のみを提供します。
証明書を購入すると、お支払いいただくものは何でも手に入ります（DVから、LEと同じレベルのアサーションで）。
DV =ドメイン名制御のみが検証されます。
OV =所有者エンティティ（組織）情報も追加で検証されます。
EV = OVのより完全なバージョン。これは伝統的に「緑色のバー」を授与されてきました（ただし、「緑色のバー」は間もなく消滅するようです）。
LEを使用する場合、必要な自動化の設定は（このコンテキストでは、ドメイン制御を証明するために）行うことです。作業量は、環境によって異なります。
証明書を購入するとき、DV / OV / EVレベルは、証明書を取得するために必要な手動作業の量を定義します。DVの場合、通常、何かを支払い、コピー/貼り付け、またはクリックするウィザードを経て要約されます。OVとEVの場合、身元を確認するための追加の手順を行うために個別に連絡する必要があることを期待できます。
エンドユーザーは、証明書の内容を実際に見ない傾向があることを除いて、おそらく現在のEVの「緑色のバー」（これはなくなります）を認識するでしょう。
ただし、理論的には、制御エンティティに関する情報を記載した証明書の方が明らかに役立ちます。ただし、ブラウザ（または他のクライアントアプリケーション）は、一般的なユーザーに効果をもたらす前に、実際にこれを便利な方法で表示する必要があります。
秘密鍵などを公開する方法で、誤った操作を行う可能性があります。LEを使用すると、提供されるツールは合理的なプラクティスに基づいてセットアップされます。
自分が何をしているのかを知っている人であれば、明らかに手動の手順も安全に実行できます。
LEは、すべてのプロセスを自動化することを非常に意図しており、そのサービスは完全にAPIベースであり、短い寿命はすべてが自動化を中心とした方法を反映しています。
証明書を購入する場合、通常の顧客にAPIを提供するCA（この時点では実際には標準ではありません）でさえ、DV以外の何かを適切に自動化することは困難です。
OVまたはEVレベルを使用している場合、おそらくプロセスを部分的にしか自動化できません。
インストールが正しく行われた場合、エンドユーザーは明らかにそれがどのように行われたかを知らないでしょう。自動化されたプロセスでは、物事を台無しにする可能性（更新を忘れたり、更新時に誤ってインストールを行ったりする）が少なくなります。
証明書を購入する従来の方法は、OV / EV証明書を希望する場合、証明書管理を自動化しない場合、またはHTTPS以外のコンテキストで証明書を使用する場合に特に便利です。
純粋に技術的な観点から：
openssl x509 -in cert.pem -noout -text
X509v3拡張キー使用法：
TLS Webサーバー認証、TLS Webクライアント認証
エンドユーザーの観点から：
ここでLet's Encryptに対して使用される引数のカウンターポイントを提供したいと思います。
短い寿命
はい、FAQで説明されているように、有効期間が短い：https ://letsencrypt.org/2015/11/09/why-90-days.html ページを引用するには：
それらは、鍵の危殆化と誤発行による損害を制限します。盗まれたキーと誤って発行された証明書は、より短い期間有効です。
それらは自動化を促進します。これは使いやすさのために絶対に不可欠です。Web全体をHTTPSに移行する場合、システム管理者が更新を手動で処理することを期待し続けることはできません。発行と更新が自動化されると、寿命が短くても長いものより便利ではなくなりません。
EVの不足
EVサポートの計画はありません。理由は（https://community.letsencrypt.org/t/plans-for-extended-validation/409から）です：
EVプロセスは常に人間の努力を必要とし、それは誰かにお金を払う必要があるため、Let's EncryptはEVをサポートしないと予想しています。私たちのモデルは、証明書を無料で発行することです。これには、EVと互換性がないと思われるレベルの自動化が必要です。
さらに、このブログ投稿（https://stripe.ian.sh/）のように、EVは有害であると信じている人もいます。
たとえば、ジェームズバートンは最近、彼の会社「Identity Verified」のEV証明書を取得しました。残念ながら、ユーザーはこれらのエンティティの微妙な違いに対処するだけの能力を備えていないため、フィッシングの重要な媒介となります。
これの典型的な実世界の例はsslstripです。合法的に購入された証明書を持つホモグラフサイトは、現時点ではEVが十分な防御を提供していない現実の攻撃です。
検討する価値のある2つのグループの欠点があります。
1. Let's Encryptサービスを使用するデメリット
Let's Encryptでは、正確な名前、またはワイルドカードをリクエストしている場合は（サブ）ドメインがパブリックインターネットDNSに存在する必要があります。example.comの制御を証明しても、Let's Encryptは、パブリックDNSで確認せずにsome.other.name.in.example.comの証明書を発行しません。指定されたマシンにはパブリックアドレスレコードは必要ありません。ファイアウォールをオフにすることも、物理的に切断することもできますが、パブリックDNS名が存在する必要があります。
証明書の有効期間を90日間暗号化すると、自動化が必要になります。誰もその時間がないからです。これは実際にサービスの目的です-多くのより困難なタスクを自動化しながら、逆に手作業で行うのではなく、この重要な作業を自動化する人々を集めます。しかし、何らかの理由で自動化できない場合はマイナスです-ツール、アプライアンス、または自動化をブロックするものがある場合、それらのツール/アプライアンス/コスト計画の継続コストの一部として商用SSL証明書のコストを考慮してください。反対に、これを自動化する新しいツール/アプライアンス/その他の価格設定で商用証明書を購入する必要がないことによる節約を相殺します（Let's Encryptを使用するかどうか）
Let's Encryptによる制御の自動化の証明は、組織のルールに合わない場合があります。たとえば、Apacheの再構成を許可されているが、会社のドメイン名のSSL証明書を取得してはならない従業員がいる場合、Let's Encryptは適切ではありません。この場合、それらを使用しないのはWrong Thing（TM）であり、CAAを使用してドメインのLet's Encryptを明示的に無効にする必要があります。
Let's Encryptポリシーで拒否された場合、唯一の「控訴裁判所」は公開フォーラムで質問し、スタッフの1人が前進する方法を提供できることを願うことです。たとえば、サイトに、大手銀行やGoogleなどの有名なプロパティと「紛らわしいほど似ている」とシステムが判断したDNS名がある場合に発生する可能性があります。賢明な理由により、この点に関する各公開CAの正確なポリシーは公開されていないため、Let's Encrypt証明書をリクエストして「Policy forbids ...」応答を取得することはできないことに気付くでしょう。
2. Let's Encrypt証明書自体の欠点
Let's Encrypt証明書は、今日ISRG（Let's Encryptサービスを提供する慈善団体）を介して主要なWebブラウザーによって信頼されていますが、古いシステムは「DST Root CA X3」を制御する比較的不明瞭な認証局であるIdenTrustを介してLet's Encryptを信頼しています。これでほとんどの人は仕事をこなしますが、世界で最も広く信頼されているルートではありません。たとえば、放棄された任天堂WiiUコンソールにはWebブラウザーがありました。明らかに、任天堂はWiiUの更新を出荷しません。したがって、ブラウザーは放棄され、Let's Encryptを信頼しません。
暗号化は、Web PKI-SSL / TLSプロトコルを使用するインターネット名を持つサーバーに対してのみ証明書を発行します。それは明らかにWebであり、IMAP、SMTP、ある種のVPNサーバー、たくさんありますが、すべてではありません。特に、Let's Encryptは、S / MIME（送信中だけでなく保存中の電子メールを暗号化する方法）やコード署名や文書署名の証明書を一切提供しません。証明書の「ワンストップショップ」が必要な場合は、Let's Encryptを使用しない十分な理由があります。
Web PKIであっても、Let's Encryptは「DV」証明書のみを提供します。つまり、FQDN以外の自分または組織に関する詳細は証明書に記載されていません。それらをCSRに書き込んでも、破棄されます。これは、一部の専門アプリケーションのブロッカーになる場合があります。
Let's Encryptオートメーションとは、他に何かできない理由がなくても、オートメーションが許可するものに厳密に制約されていることを意味します。新しいタイプの公開鍵、新しいX.509拡張機能、およびその他の追加機能は、Let's Encryptによって独自のタイムラインで明示的に有効にする必要があります。もちろん、寄付を歓迎するものの、必要な機能を得るために追加料金を支払うことはできません。
それにもかかわらず、ほとんどすべての人にとって、ほとんどの場合、Let's EncryptはTLSサーバーに証明書を置くのに最適な最初の選択肢です。Let's Encryptを使用するという前提から始めて、この決定にアプローチする賢明な方法です。
あなたがのために証明書を必要としない限り、ウェブ以外のものを、何ら存在しない本当の欠点、しかし確実に認識されるものが。問題は認識されているだけですが、Webサイトの所有者は、それらに対処する以外に選択肢がない場合があります（ビジネス上の関心が中指の表示を禁止している場合）。
最大のマイナス面は、当面、あなたのサイトがやや劣ったものとして表示されることです。他のサイトが持っている素敵な緑色のバッジがないため、おそらく危険です。そのバッジはどういう意味ですか？何もない、本当に。しかし、それはあなたのサイトが「安全」であることを示唆しています（一部のブラウザはその正確な言葉を使用しています）。悲しいかな、ユーザーは人であり、人は愚かです。ブラウザが安全であると言っていないからといって、どちらか一方があなたのサイトを（意味をまったく理解せずに）信頼できないとみなします。
これらの顧客/訪問者を無視することが有効な可能性であれば、問題ありません。そのビジネス面で余裕がない場合は、お金を使う必要があります。他のオプションはありません。
もう1つの認識されている問題は、証明書の有効期間に関する問題です。しかし、実際にはそれは利点であり、欠点ではありません。有効期間が短いということは、サーバー側とクライアント側の両方で証明書をより頻繁に更新する必要があることを意味します。
サーバーサイドに関しては、これはcronジョブで発生するため、実際には通常よりも手間がかからず、信頼性が高くなります。忘れることも、遅刻することも、誤って何か間違ったことをすることも、管理者アカウントでログインする必要もありません（複数回）。クライアント側では、何がそうです。ブラウザは常に証明書を更新しますが、大したことではありません。ユーザーはそれが起こることすら知りません。そこ3ヶ月ごとの代わりに、2年ごとの更新時に持っていたことに多くのトラフィックが非常にわずかだが、真剣に... その 問題ではありません。
webか？私は自分のメールサーバーを実行しなければならなかったので、letsencrypt証明書は私にとって不十分でした
雇用主にLets Encryptから部分的に遠ざけたもの、APIレート制限を追加します。有効期間が短く、ワイルドカードのサポートがないため、通常の自動化された操作（自動更新など）でレート制限に近づきやすくなります。新しいサブドメインを追加しようとすると、レート制限を超える可能性があります。LEには、ヒットした制限を手動でオーバーライドする方法がありません。古い証明書をバックアップしない場合（LEのような自動化されたクラウド型のマイクロサービス環境で誰がバックアップしますか？）、LEは証明書を再発行しないため、影響を受けるサイトはすべてオフラインになります。
何が起こったかに気付いたとき、「oh $＃！＃」の瞬間があり、その後、実稼働サイトをオンラインに戻すための緊急の商用証明書の要求が続きました。より合理的な1年の寿命を持つもの。LEが適切なワイルドカードサポートを実装するまで（そしてその場合でも）、私たちは彼らの提供に非常に慎重になるでしょう。
Tl; dr：LEワイルドカード+ APIの制限により、「My Personal Homepage」よりも複雑なものの管理が予想外に困難になり、その過程で不十分なセキュリティプラクティスが促進されます。
はい。
無料またはSSL証明書を暗号化しましょう。
互換性の問題-すべてのプラットフォームと互換性のないSSL証明書を暗号化しましょう。互換性のないプラットフォームのリストを知るには、このリンクを参照してください–
有効性の低下-SSL証明書を暗号化しようとすると、有効期限が90日間に制限されます。90日ごとにSSL証明書を更新する必要があります。Comodoのような有料SSLが2年のような長い有効期間を持っている場合。
ビジネス検証なし-無料のSSL証明書にはドメイン検証のみが必要です。法的ビジネスエンティティのユーザーを確認するためのビジネスまたは組織の検証はありません。
中小企業やブログのサイトに適しています-最後のポイントで追加したように、無料または暗号化しようとするSSL証明書は、ドメイン所有権の検証によって利用できます。
緑色のアドレスバーなし-無料のSSL証明書を含む緑色のアドレスバーを使用することはできません。拡張検証SSL証明書は、ブラウザに緑色のアドレスバーを使用してビジネス名を表示する唯一の方法です。
サポートなし– Let's encryptで途中で止まった場合は、オンラインチャットを利用したり、サポートに電話したりできます。問題を取り除くためにのみ、フォーラムを通じて連絡できます。
追加のセキュリティ機能–無料のSSL証明書には、無料のマルウェアスキャン、サイトシールなどの追加機能はありません。
保証なし-無料または暗号化しようとするSSL証明書は保証額を提供しませんが、有料SSL証明書は10,000ドルから1,750,000ドルの保証を提供します。
ニュースによると、14,766 PayPalフィッシングサイトに発行されたSSL証明書を暗号化しましょう。ドメイン検証のみが必要です。
したがって、私の推奨に従って、SSL証明書の支払いは本当に価値があります。
いくつかの調査の後、Let's Encrypt証明書は有料証明書よりもブラウザとの互換性が低いことがわかりました。（出典：Let's Encrypt vs. Comodo PositiveSSL）