让我们加密提供免费的SSL证书。与其他付费证书（例如，AWS Certificate Manager）相比，有什么缺点吗？
Answers:
寿命越短越好。仅仅因为撤销主要是理论上的，在实践中却不能依靠撤销（公共PKI生态系统的巨大弱点）。
没有自动化：更长的寿命更方便。如果您由于某种原因无法自动执行证书管理，则LE可能不可行
。自动化：生命周期无关紧要。
最终用户不太可能以一种或另一种方式有任何想法。
Letsencrypt仅提供DV级别的验证。
购买证书可以得到所需要支付的一切费用（从DV开始，具有与LE相同的断言级别）。
DV =仅验证域名控制。
OV =所有者实体（组织）信息另外需要验证。
EV = OV的更全面版本，传统上被授予“绿色标尺”（但是“绿色标尺”似乎很快就会消失）。
使用LE时，您要做的工作是设置必要的自动化（在此情况下，是为了证明域控制）。多少工作将取决于您的环境。
购买证书时，DV / OV / EV级别将定义获取证书所需的手动工作。对于DV，通常会经历向导付款和复制/粘贴或单击某事的过程，对于OV和EV，您几乎可以指望需要单独联系以执行其他步骤来确认您的身份。
最终用户可能会认识到当前的EV“绿色条”（即将消失），除了他们并不倾向于实际查看证书内容之外。
但是，从理论上讲，使用说明控制实体信息的证书显然更有用。但是浏览器（或其他客户端应用程序）需要先以一种有用的方式开始实际显示此内容，然后才能对普通用户产生任何影响。
可能以暴露私钥或类似方式的方式做错事。使用LE，提供的工具围绕合理的实践进行设置。
对于知道自己在做什么的人，显然也可以安全地完成手动步骤。
LE非常希望使所有流程自动化，它们的服务完全基于API，并且使用寿命短也反映了一切如何围绕自动化进行。
购买证书时，即使使用为常规客户提供API的CA（目前还不是真正的规范），也很难正确地自动化除DV以外的任何东西，而使用DV则需要为LE所提供的相同服务付费。
如果要使用OV或EV水平，则可能只能部分自动化该过程。
如果正确完成了安装，则最终用户显然将不知道如何完成安装。使用自动化过程可以使事情搞砸（例如，在更新时忘记更新或错误地进行安装）。
如果您需要OV / EV证书，不自动进行证书管理或希望在HTTPS以外的其他上下文中使用证书，则购买证书的传统方法特别有用。
从纯粹的技术角度来看：
openssl x509 -in cert.pem -noout -text
X509v3扩展密钥用法：
TLS Web服务器身份验证，TLS Web客户端身份验证
从最终用户的角度来看：
我想在这里为反对“让我们加密”的参数提供一些对策。
寿命短
是的，如常见问题所述，它们的寿命很短：https : //letsencrypt.org/2015/11/09/why-90-days.html引用页面：
它们限制了密钥泄露和误发行的损害。密钥被盗和证书发行错误在较短的时间内有效。
他们鼓励自动化，这对于易用性至关重要。如果我们要将整个Web迁移到HTTPS，就不能继续期望系统管理员手动处理续订。一旦签发和续签自动完成，较短的使用寿命将不会比较长的使用寿命更为便利。
缺乏电动汽车
目前尚无支持电动汽车的计划。推理（来自https://community.letsencrypt.org/t/plans-for-extended-validation/409）为：
我们希望Let's Encrypt不支持EV，因为EV流程始终需要人工，这需要付费。我们的模型是免费颁发证书，这需要一个与EV不兼容的水平自动化。
此外，有些人认为电动汽车有害，例如此博客文章（https://stripe.ian.sh/）：
例如，詹姆斯·伯顿（James Burton）最近为其公司“身份验证”获得了EV证书。不幸的是，用户根本没有能力处理这些实体的细微差别，这为网络钓鱼创造了重要的载体。
sslstrip是一个典型的现实世界示例。具有合法购买证书的同形异形网站是一种现实世界的攻击，而EV目前尚无法提供足够的防御。
有两方面的缺点值得考虑。
1.使用“让我们加密”服务的弊端
加密要求确切的名称，或者，如果您要请求通配符，则（子）域应存在于公共Internet DNS中。即使您证明对example.com的控制权，“加密”也不会在公共DNS中看不到some.other.name.in.example.com的证书。名为“机器”的机器不需要公共地址记录，可以将它们防火墙关闭，甚至在物理上断开连接，但是公共DNS名称必须存在。
让我们对90天的证书生存期进行加密意味着您需要自动化，因为没有人有时间这样做。实际上，这就是服务的目的-使人们将这项重要工作自动化，而不是在他们自动完成许多较艰巨的任务时不正确地手动进行。但是，如果您由于某种原因无法实现自动化，那将是负面的-如果您拥有工具，设备或任何会阻止自动化的东西，则将任何商业SSL证书成本视为这些工具/设备/成本计划中持续成本的一部分。相反，由于不需要购买商业证书即可抵消节省的费用，而无需为此自动进行定价的新工具/设备/等产品（无论是否加密）
“让我们加密”控制自动化的证明可能不适合您组织的规则。例如，如果您的员工被允许重新配置Apache，但不应该获得公司域名的SSL证书，那么“加密”是不合适的选择。请注意，在这种情况下，不使用它们就是Wrong Thing（TM），您应该使用CAA显式禁用域的Let's Encrypt。
如果“让我们加密”政策拒绝您，唯一的“上诉法院”是在其公共论坛上提问，并希望他们的一名工作人员能够提出前进的道路。例如，如果您的站点的DNS名称由他们的系统决定与大型银行或Google之类的某些著名属性“容易混淆”，则可能会发生这种情况。出于明智的原因，每个公共CA在这方面的确切策略均未公开接受公众审查，因此您可能仅会意识到，当您请求并获得“禁止策略...”响应时，就无法拥有Let's Encrypt证书。
2.“让我们加密”证书本身的弊端
如今，主要网络浏览器通过ISRG（提供“让我们加密”服务的慈善机构）信任“让我们加密”证书，而较早的系统则通过控制“ DST根CA X3”的相对模糊的证书颁发机构IdenTrust信任“让我们加密”。这可以为大多数人完成工作，但这并不是世界上最受信任的根源。例如，废弃的Nintendo WiiU控制台有一个Web浏览器，很显然Nintendo不会发布WiiU的更新，因此废弃了浏览器，它不信任Let's Encrypt。
让我们的加密只为Web PKI颁发证书-具有Internet名称且使用SSL / TLS协议的服务器。显然，这就是Web，您的IMAP，SMTP，某些类型的VPN服务器，很多东西，但不是全部。特别是，Let's Encrypt根本不为S / MIME（一种用于在静止状态下加密电子邮件，而不仅仅是在传输过程中加密电子邮件）或代码签名或文档签名的证书。如果您想“一站式”购买证书，这可能是不使用“让我们加密”的充分理由。
即使在Web PKI中，Let's Encrypt也仅提供“ DV”证书，这意味着该证书中未提及有关FQDN的有关您自己或您的组织的任何详细信息。即使将它们写入CSR，它们也将被丢弃。这可能是某些专业应用程序的障碍。
让我们加密自动化意味着您完全受自动化允许的约束，即使没有其他原因导致您无法购买东西。我们必须在自己的时间轴上明确启用新类型的公钥，新的X.509扩展和其他附加功能，尽管我们欢迎捐款，但您当然不能仅支付额外的费用来获得所需的功能。
但是，对于几乎每个人（几乎总是），Let's Encrypt是将证书以即发即弃方式放置在TLS服务器上的不错的首选。首先假设您将使用“让我们加密”是执行此决策的明智方法。
除非您需要除Web以外的其他内容的证书，否则没有真正的缺点，但可以肯定地看到缺点。尽管仅能感知到问题，但作为网站所有者，您可能别无选择，只能解决这些问题（如果出于商业目的禁止显示中指）。
目前最大的缺点是，您的网站将显示为劣等，可能很危险，因为它没有其他网站所拥有的漂亮的绿色标志。该徽章是什么意思？真的没什么。但这确实表明您的网站是“安全的”（某些浏览器甚至使用该确切词）。users，用户就是人，人是愚蠢的。一个或另一个将使您的网站不可靠（不了解任何含义），只是因为浏览器认为它不安全。
如果忽略这些客户/访客是有可能的，那就没问题了。如果您无法承担起该业务的费用，则必须花钱。没有其他选择。
另一个可感知的问题是关于证书生存期的问题。但这实际上是优点，而不是缺点。较短的有效性意味着必须在服务器端和客户端都更频繁地更新证书。
至于服务器端，这是cron工作完成的，所以它实际上比平时更省事，更可靠。您无法忘记，无法迟到，无法意外地做错事，无需使用管理帐户登录（...多次）。在客户端，那又如何。浏览器一直在更新证书，这并不重要。用户甚至都不知道会发生这种情况。有非常轻微更多的流量每3个月更新，而不是每2年的时候是有，但严重... 那个 不是问题。
web？letsencrypt证书对我来说是不够的，因为我必须运行自己的电子邮件服务器
我将添加一个使我的雇主部分脱离Lets Encrypt的方法：API速率限制。由于生命周期短和缺乏通配符支持，在正常的自动操作（自动续订等）期间，很容易接近速率限制。尝试添加新的子域可能会使您超出速率限制，而LE无法在命中后手动覆盖该限制。如果您不备份旧证书（谁会在LE设想的自动化的云型微服务环境中备份？），则所有受影响的站点都将脱机，因为LE不会重新颁发证书。
当我们意识到发生了什么情况时，会出现“哦$＃！＃”片刻，然后发出紧急商业证书申请，目的是使生产站点恢复在线。一种具有更合理的1年使用寿命。在LE实现适当的通配符支持之前（甚至在此之前），我们将非常警惕它们的产品。
Tl; dr：LE通配符+ API限制使管理比“我的个人主页”更复杂的事情出乎意料的挑战，并一路推动不良的安全实践。
是。
使用免费或让我们加密SSL证书的缺点-
兼容性问题–让我们加密不兼容所有平台的SSL证书。请参阅此链接以了解不兼容平台的列表–
有效性较低–让我们加密SSL证书的有效期有限，为90天。您必须每90天更新一次SSL证书。作为像Comodo这样的付费SSL，其有效期长达2年。
无需业务验证-免费的SSL证书仅需要域验证。没有业务或组织验证，以确保用户为合法业务实体。
适用于小型企业或博客网站–正如我在最后一点中所述，可以通过域所有权验证来获得免费或加密的SSL证书，它不适合信任或安全性是企业主要因素的企业或电子商务网站。
没有绿色地址栏–您不能拥有带有免费SSL证书的绿色地址栏。扩展验证SSL证书是在浏览器上用绿色地址栏显示您的公司名称的唯一方法。
不支持–如果您在使用“让我们加密”的方式中陷入困境，则可以获得在线聊天或电话支持。您只能通过论坛联系来摆脱此问题。
其他安全功能–免费的SSL证书不提供任何其他功能，例如免费的恶意软件扫描，网站密封等。
无担保-免费或让我们加密的SSL证书不提供任何担保金额，而已付费的SSL证书则提供从10,000美元到1,750,000美元不等的担保。
根据一则新闻，有14,766张“我们加密发给PayPal网络钓鱼站点的SSL证书”，因为它仅需要域验证
因此，按照我的建议，为SSL证书付费确实值得。
经过研究，我发现“让我们加密”证书与浏览器的兼容性不如付费证书。（来源：让我们加密 vs. Comodo PositiveSSL）