よくある質問

端的に答えると「イエス」です。

詳しく述べると、Let's Encrypt の中間証明書は、広く信頼されている米大手認証局（CA）である IdenTrust のルート証明書によってクロス署名されています。

これにより、IdenTrust のルート証明書からチェーンされている限り、Let's Encrypt の証明書は「信頼された証明書」として扱われます。そのため、IdenTrust のルート証明書を信頼しているほぼ全てのプラットフォームでは、Let's Encrypt の証明書は「信頼された証明書」となります。

ただし、Windows XP は例外 (英文) で、今のところ Let's Encrypt の中間証明書を受け入れていません。

過去に使用されていた中間証明書「Let's Encrypt Authority X1」と、予備の中間証明書「Let's Encrypt Authority X2」は Windows XP との互換性がありませんでした。

2016年03月25日以降は、Windows XP との互換性が高い中間証明書「Let's Encrypt Authority X3」、および予備の中間証明書「Let's Encrypt Authority X4」が使用されています。

主な対応ブラウザとOS（補足）

• Microsoft Internet Explorer 6 以上 (Windows XP SP3 以上※1、Server 2003 SP2 以上※2)※3
• Microsoft Edge (Windows 10)
• Google Chrome (Windows XP SP3 以上※1、Server 2003 SP2 以上※2、OS X 10.4 以上、Linux、Android 2.3.6 以上、iOS 3.1 以上)
• Mozilla Firefox 2.0 以上 (Windows、OS X、Linux、Android、iOS、Firefox OS)※4
• Apple Safari 4.0 以上 (OS X 10.4 以上、iOS 3.1 以上)
• Android ブラウザ (Android 2.3.6 以上)

※1 Windows XP SP3 / Vista / 7 / 8 / 8.1 / 10 に対応。

※2 Windows Server 2003 SP2 / 2003 R2 SP2 / 2008 / 2008 R2 / 2012 / 2012 R2 / 2016 に対応。

※3 Windows 98 / ME / XP SP2 以下 / NT 3.51～4.0 上の IE 6 は非対応。
IE 6 のデフォルト設定では SSL 2.0 / SSL 3.0 のみが有効で、TLS 1.0 は無効です（ブラウザの設定変更で有効化可能）。ウェブサーバ側で SSL 3.0 を有効化することは、セキュリティ上の観点から推奨されません。

※4 Firefox が動作すれば OS のバージョンに関係なく対応しています（証明書ストアが Mozilla 独自のため）。

※詳しくは Certificate Compatibility (英文) をご覧ください。

今すぐに取得できます。

公式クライアントソフトウェアをインストールすることで、Let's Encrypt の証明書を取得することが可能です。

Let's Encrypt 発行の証明書は、標準的なドメイン認証（DV）証明書です。

Webサーバのようにドメイン名を使用しているサーバであれば、どのような種類のサーバでも使用可能です。

使えません。

プログラムファイル（Windows の exeファイルなど）の署名に使用するコードサイニング証明書や、メール本文の暗号化に使用する S/MIME 用の証明書は、Let's Encrypt が発行する証明書とは異なる種類の証明書です。

いいえ。

秘密鍵は、Let's Encrypt クライアントプログラムを実行したコンピュータ上で生成・管理されます。

Let's Encrypt の認証局が、秘密鍵を生成したり保管したりすることは、決してありません。

今のところ、Let's Encrypt が EV（Extended Validation）SSL/TLS証明書を発行する予定はありません。

はい。サブジェクトの代替名（SAN : Subject Alternative Name）という仕組みを使用することで、1枚の SSL/TLS サーバ証明書を、複数の異なるドメイン名・サブドメイン名で使用することが可能です。

Certbot クライアントの証明書取得コマンド実行時に、複数のドメイン名・サブドメイン名を指定することで、複数ドメイン名・サブドメイン名に対応した証明書を取得することができます。

Webブラウザは、Webサイトのドメイン名・サブドメイン名がサブジェクトの代替名（SAN : Subject Alternative Name）のリストに掲載されていれば、正当な証明書として受け付けます。

詳しくは 証明書取得コマンドの実行 をご覧ください。

2018年03月13日に、ワイルドカード証明書の発行が開始されました。

詳しくは下記のページをご覧ください。

• ワイルドカード証明書と ACME v2 へ対応
• ACME v2 とワイルドカード証明書の技術情報

なお、複数のサブドメイン名に対して有効な証明書 は、現在も引き続き取得可能です。

Let's Encrypt クライアントソフトウェアは、主要な Linux / BSD ディストリビューションに対応しています。

また、Windows（PowerShell）にも対応させたいと考えています。

Let's Encrypt クライアントソフトウェアで、最近のバージョンの Apache や Nginx の設定を自動的に行えるようにするつもりです。また、Windows の IIS の設定も自動的に行えるようにしたいと考えています。

サーバの設定が自動的に行えるようになると、SSL/TLS サーバ証明書の取得・導入・自動更新が素早く簡単にできるようになります。

Webサーバの設定の自動化がサポートされていない段階であっても、Let's Encrypt クライアントソフトウェアで SSL/TLS サーバ証明書を取得した後、Webサーバの設定を手動で行うことで、Webサーバで Let's Encrypt の SSL/TLS サーバ証明書を使用できます。

この場合、SSL/TLS サーバ証明書の更新が自動的に行われることはありません。

Webサーバの自動設定機能の使用は、必須ではありません。

サーバソフトウェアを自分で設定したい場合には、Webサーバの自動設定機能を使用する必要はありません。

Let's Encrypt クライアントは、基本的には OS のシステムコンポーネントです。

一般的に、ポート 443 をバインドするには root 権限が必要です。また、Webサーバの設定を自動化する場合には、証明書をインストールしたり更新したりするのにも root 権限が必要です。

特殊な OS のためのパッケージを作る際には、低い権限で動作するように構成してもよいかもしれません。

また、Manual プラグイン を使用することで、Let's Encrypt クライアントに root 権限を与えなくても、ドメイン・サブドメイン使用権者の認証プロセスと証明書の入手を行うことが可能です。

はい、可能です。

特に希望する場合には、Let's Encrypt クライアントソフトウェア以外で作成した既存の秘密鍵や署名リクエスト（CSR）を使って、Let's Encrypt の SSL/TLS サーバ証明書を取得することができます。

ただし、秘密鍵の種類やサイズが適合している必要があります。

あります。

最新の Let's Encrypt のサーバ証明書の取得数の制限（一定期間内の取得間隔の制限）は Limits on usage (Getting Started) および Rate Limits for Let’s Encrypt から確認できます。

可能です。

ACME プロトコル は、ダウンタイム無しでサーバの認証を行えるように設計されています。

Let's Encrypt クライアントの Webroot プラグイン を使用し、ドメイン・サブドメイン使用権者の認証用のファイルをドキュメントルートディレクトリ以下に設置することで、Webサーバを停止させずに Let's Encrypt の証明書を発行することができます。

また、Apache プラグイン を使用する方法もあります。この場合、認証のために一時的に使用される自己署名証明書が構成され、Apache がリロードされます。

Let's Encrypt では、サーバの認証（ドメイン・サブドメイン使用権者の認証のためのWebサーバへの接続）に使用するIPアドレスのリストを公開していません。これは、使用されるIPアドレスが随時変更される可能性があるためです。

また、将来的には、一回の認証プロセスにおいて、複数のIPアドレスから接続するようになるかもしれません。

はい、Standalone プラグインの TLS-SNI-01 Challenge を使用することで可能です。

Webroot プラグイン を使用する場合には、Webサーバが TCP Port 80 への接続を受け入れる必要があります。