5年前、Let's Encryptはプライベートベータから抜け出し、管理者がSSL（現在はTLS）での暗号化に使用できる有効な証明書を要求できるパブリックベータを開始した。プライベートベータを開始し、26,000の証明書を発行した後、2億3000万を超えるサイトをサポートするようになり、10億を超える証明書を発行した。
Let's Encryptの成功は、有効期間が限られている証明書（正確には、90日）をプロビジョニングするのみであった。Let's Encryptの前は、証明書は通常1～2年の有効期限で作成されていた。これにより、一般に、証明書の更新を忘れてしまい、2013年のAzureでの証明書の有効期限の問題など、証明書の有効期限が切れたときに問題が発生した。証明書の有効期間を短くすることで、証明書を定期的に取得および更新する自動ソリューションの開発が促進さされた。ACMEv1プロトコルが定義および作成され、Certbotなどのオープンソースユーティリティは、オペレーティングシステムがそのような証明書を取得および更新するための簡単な手段を提供した。ACMEv1プロトコルは非推奨になり、ACMEv2プロトコルはIETF RFC 8555として標準化され、多くのACMEv2クライアントが利用できるようになった。
Let's Encryptは当初から、ISRG Root X1によって署名され、IdenTrustによって相互署名されたトップレベルの証明書（CAルートと呼ばれる）を使用していた。つまり、証明書は既存のWebブラウザーで受け入れられている。この証明書は4096ビットのRSAキーを使用し、2025年に有効期限を迎える。まだ有効期間は残っているが、将来的にはより強力なキーに置き換える必要がある。
その結果、今年の9月、Let's EncryptはECDSAを使用して新しいルート証明書ISRG Root X2を作成した。ECDSAを使用する主な利点は、データセットがはるかに少なくなるため、セキュリティハンドシェイクを取得するために送信されるパケットの数が少なくなることである。さらに、新しいルート証明書は、証明書ストアを管理するブラウザに提出された。しかし、ISRG Root X1ほど、まだ幅広いシステムには使われていない。ISRG Root X2証明書は、ISRG Root X1と相互署名されており、しばらくの間は証明書検証に使うことができる。
問題は、現在Let's Encryptが証明書の発行に使用しているDST X3証明書が、2021年9月に期限切れになる予定であるということである。その結果、将来の証明書発行のためにECDSAルートに移行する計画があるが、デフォルトではまだである。来年の1月11日から、証明書を提供するAPIは、ISRC Root X1証明書を介して発行された証明書の使用に移行するが、DST X3証明書は使用されない。
ACMEv2プロトコルは「代替」リンクを提供する。これは、現在の動作にロールバックするために使用できる。しかし、重要な問題は、正しいルート証明書を持っていないか、証明書の検証プロセスで使用されるSHA-1またはECDSAプロトコルをサポートしていない、古いオペレーティングシステムを扱うことである。これには古いバージョンのオペレーティングシステムが含まれる。特にブログ投稿では、7.1より前のAndroidオペレーティングシステムはこのメカニズムによって返された証明書を処理できない可能性があることを強調している。その代わりに、Firefox Mobileなどの最新のブラウザーをインストールするか、Let's Encrypt CAをアプリに埋め込みことで動作するであろう。
Let's Encryptが提供する証明書の詳細については、証明書のページを参照してください。コミュニティサポートサイトには、今後の変更に関する詳細情報がある。
Let's Encryptは、5年の間に、証明書の自動生成とそれを実現するためのクライアントとAPIを通じて、暗号化された通信を行う方法を変えた。独自のルートに進むことで、そして、よりコンパクトなキー表現に移行することで、暗号化されたデータストリームのセットアップ接続を最適化するだけでなく、より強力な暗号化モデルに移行することができる。
2021-01-11のAPIへの切り替えは、古いAndroidクライアントに影響を与える可能性がある。そして、来年の2021-09-30でのDST X3証明書の有効期限には注意が必要である。新しいAPIは新しいルート証明書チェーンを返し始めているが、既存のすべての証明書がローテーションされて置き換えられるまでに最大90日かかる可能性があるため、2月または3月まで何も表示されない可能性があることに注意してください。