Chains of Trust

Senest opdateret: January 8, 2026

Denne side beskriver alle de nuværende og relevante historiske certificeringsmyndigheder, som drives af Let’s Encrypt. Bemærk, at en Certifikatmyndighed - CA - mest korrekt opfattes som en nøgle og et navn: enhver given CA kan være repræsenteret af flere certifikater, som alle indeholder den samme Emne og Offentlige nøgle Information. I sådanne tilfælde har vi givet nærmere oplysninger om alle de certifikater, der repræsenterer CA’en. Hvis du leder efter de Trust Anchor ID’er, der er knyttet til disse CA’er, se vores side på Object Identifiers.

ISRG Certifikat Hierarki Diagram, fra januar 2026

Root CAs

Vores root certifikater holdes sikkert offline. Vi udsteder end-entity certifikater til abonnenter fra intermediate certifikater som beskrevet i næste afsnit. Alle root-certifikat Emner har et landefelt på C = US.

Bemærk, at Root CAs ikke har udløbsdatoer på helt samme måde som andre certifikater. Selv om deres selvsignerede certifikater indeholder en notAfter dato, Root Programs and Trust Stores kan vælge at have tillid til en Root CA efter denne dato, eller afslutte tilliden inden denne dato. Som sådan er de end-of-validity datoer angivet nedenfor omtrentlige, baseret på aktuelle Root Program politikker.

Disse root certifikater er endnu ikke inkluderet i Root Program Trust Stores, men vil snart blive indsendt:

Se Certificate Compatibility for yderligere information om kompatibiliteten af vores rodcertifikater med forskellige enheder og trust stores.

Underordnede (CA’er)

Vi vedligeholder i øjeblikket otte mellemled i aktiv rotation. Abonnementscertifikater med en offentlig ECDSA-nøgle vil blive udstedt fra en af ECDSA-underordnet CA. Tilsvarende udstedes Abonnementscertifikater med en offentlig RSA-nøgle fra en af RSA-underordnet CA. Abonnentcertifikater udstedt under “classic” og “tlsclient” profiler vil blive udstedt fra en af de fire første mellemled, der er opført på listen (E7 til R13). Omvendt vil abonnentcertifikater udstedt under “tlsserveren” og “shortlived” profiler blive udstedt fra en af de sidste fire mellemled (YE1 gennem YR2).

Alle underordnede certifikatemner har et landefelt på C = US.

Klik nedenfor for oplysninger om yderligere under ordnede Ca’er, som ikke er en del af det aktive udstedelseshierarki:

Backup

Disse underliggende CA’er har gyldige certifikater, men anvendes ikke til udstedelse. Vi kan til enhver tid begynde at udstede abonnentcertifikater fra dem uden varsel.

  • Let’s Encrypt E9
    • Emne: O = Let's Encrypt, CN = E9
    • Nøgletype: ECDSA P-384
    • Gyldig indtil: 2027-03-12
    • CA detaljer: crt.sh, udstedte certifikater
    • Certifikat detaljer (underskrevet af ISRG Root X2): crt.sh, der,pem,txt
    • Certifikat detaljer (kryds underskrevet af ISRG Root X1): crt.sh, der,pem,txt
    • CRL værtsnavn: e9.c.lencr.org
  • Let’s Encrypt R14
    • Emne: O = Let's Encrypt, CN = R14
    • Nøgletype: RSA 2048
    • Gyldig indtil: 2027-03-12
    • CA detaljer: crt.sh, udstedte certifikater
    • Certifikat detaljer (underskrevet af ISRG Root X1): crt.sh, der,pem,txt
    • CRL værtsnavn: r14.c.lencr.org
  • Let’s Encrypt YE3
    • Emne: O = Let's Encrypt, CN = YE3
    • Nøgletype: ECDSA P-384
    • Gyldig indtil: 2028-09-02
    • CA detaljer: crt.sh,udstedte certifikater
    • Certifikat detaljer: der, pem, txt
    • CRL værtsnavn: ye3.c.lencr.org
  • Let’s Encrypt YR3
    • Emne: O = Let's Encrypt, CN = YR3
    • Nøgletype: RSA 2048
    • Gyldig indtil: 2028-09-02
    • CA detaljer: crt.sh,udstedte certifikater
    • Certifikat detaljer: der, pem, txt
    • CRL værtsnavn: yr3.c.lencr.org
Trukket tilbage

Disse underordnede CA’er bruges ikke længere til at udstede Abonnentcertifikater. De, der stadig har gyldige certifikater, kan producere CRL’er.

  • Let’s Encrypt E1
    • Emne: O = Let's Encrypt, CN = E1
    • Nøgletype: ECDSA P-384
    • Gyldig indtil: 2025-09-15 (udløbet)
    • CA detaljer: crt.sh, udstedte certifikater
    • Certifikatdetaljer (underskrevet af ISRG Root X2): crt.sh, der, pem,txt
    • CRL værtsnavn: e1.c.lencr.org
  • Let’s Encrypt E2
    • Emne: O = Let's Encrypt, CN = E2
    • Nøgletype: ECDSA P-384
    • Gyldig indtil: 2025-09-15 (udløbet)
    • CA detaljer: crt.sh, udstedte certifikater
    • Certifikatdetaljer (underskrevet af ISRG Root X2): crt.sh, der, pem,txt
    • CRL værtsnavn: e2.c.lencr.org
  • Let’s Encrypt E5
    • Emne: O = Let's Encrypt, CN = E5
    • Nøgletype: ECDSA P-384
    • Gyldig indtil: 2027-03-12
    • CA-detaljer: crt.sh, udstedte certifikater
    • Certifikat detaljer (underskrevet af ISRG Root X2): crt.sh, der,pem,txt
    • Certifikat detaljer (kryds underskrevet af ISRG Root X1): crt.sh, der,pem,txt
    • CRL værtsnavn: e5.c.lencr.org
  • Let’s Encrypt E6
    • Emne: O = Let's Encrypt, CN = E6
    • Nøgletype: ECDSA P-384
    • Gyldig indtil: 2027-03-12
    • CA-detaljer: crt.sh, udstedte certifikater
    • Certifikat detaljer (underskrevet af ISRG Root X2): crt.sh, der,pem,txt
    • Certifikat detaljer (kryds underskrevet af ISRG Root X1): crt.sh, der,pem,txt
    • CRL værtsnavn: e6.c.lencr.org
  • Let’s Encrypt R3
    • Emne: O = Let's Encrypt, CN = R3
    • Nøgletype: RSA 2048
    • Gyldig indtil: 2025-09-15 (udløbet)
    • CA detaljer: crt.sh, udstedte certifikater
    • Certifikat detaljer (underskrevet af ISRG Root X1): crt.sh, der, pem, txt
    • Certifikat detaljer (krydsunderskrevet af IdenTrust): crt.sh, der, pem, txt
    • CRL værtsnavn: r3.c.lencr.org
  • Let’s Encrypt R4
    • Emne: O = Let's Encrypt, CN = R4
    • Nøgletype: RSA 2048
    • Gyldig indtil: 2025-09-15 (udløbet)
    • CA detaljer: crt.sh, udstedte certifikater
    • Certifikat detaljer (underskrevet af ISRG Root X1): crt.sh, der, pem, txt
    • Certifikat detaljer (krydsunderskrevet af IdenTrust): crt.sh, der, pem, txt
    • CRL værtsnavn: r4.c.lencr.org
  • Let’s Encrypt R10
    • Emne: O = Let's Encrypt, CN = R10
    • Nøgletype: RSA 2048
    • Gyldig indtil: 2027-03-12
    • CA detaljer: crt.sh, udstedte certifikater
    • Certifikat detaljer (underskrevet af ISRG Root X1): crt.sh, der,pem,txt
    • CRL værtsnavn: r10.c.lencr.org
  • Let’s Encrypt R11
    • Emne: O = Let's Encrypt, CN = R11
    • Nøgletype: RSA 2048
    • Gyldig indtil: 2027-03-12
    • CA detaljer: crt.sh, udstedte certifikater
    • Certifikat detaljer (underskrevet af ISRG Root X1): crt.sh, der,pem,txt
    • CRL værtsnavn: r11.c.lencr.org
  • Let’s Encrypt Autoriteten X1
    • Om: O = Let's Encrypt, CN = Let's Encrypt Autoriteten X1
    • Nøgletype: RSA 2048
    • Gyldig indtil: 2020-06-04 (udløbet)
    • CA detaljer: crt.sh, udstedte certifikater
    • Certifikat detaljer (underskrevet af ISRG Root X1): crt.sh, der, pem, txt
    • Certifikat detaljer (krydsunderskrevet af IdenTrust): crt.sh, der, pem, txt
  • Let’s Encrypt Autoriteten X2
    • Om: O = Let's Encrypt, CN = Let's Encrypt Autoriteten X2
    • Nøgletype: RSA 2048
    • Gyldig indtil: 2020-06-04 (udløbet)
    • CA detaljer: crt.sh, udstedte certifikater
    • Certifikat detaljer (underskrevet af ISRG Root X1): crt.sh, der, pem, txt
    • Certifikat detaljer (krydsunderskrevet af IdenTrust): crt.sh, der, pem, txt
  • Let’s Encrypt Autoriteten X3
    • Om: O = Let's Encrypt, CN = Let's Encrypt Autoriteten X3
    • Nøgletype: RSA 2048
    • Gyldig indtil: 2021-10-06 (udløbet)
    • CA detaljer: crt.sh, udstedte certifikater
    • Certifikat detaljer (underskrevet af ISRG Root X1): crt.sh, der, pem, txt
    • Certifikat detaljer (krydsunderskrevet af IdenTrust): crt.sh, der, pem, txt
  • Let’s Encrypt Autoriteten X4
    • Om: O = Let's Encrypt, CN = Let's Encrypt Autoriteten X4
    • Nøgletype: RSA 2048
    • Gyldig indtil: 2021-10-06 (udløbet)
    • CA detaljer: crt.sh, udstedte certifikater
    • Certifikat detaljer (underskrevet af ISRG Root X1): crt.sh, der, pem, txt
    • Certifikat detaljer (krydsunderskrevet af IdenTrust): crt.sh, der, pem, txt

Certifikat kæder

Når en ACME-klient henter et nyligt udstedt certifikat fra Let’s Encrypt ACME-API, at certifikatet kommer som en del af en “certifikat kæde”, der også omfatter en eller flere underordnede CA’er. Som regel består denne kæde af kun den endelige enhed certifikat og et underordnet, men den kan indeholde yderligere mellemled. Tanken er, at ved at præsentere hele denne kæde af certifikater til en hjemmeside besøgende browser, browseren vil være i stand til at validere signaturerne hele vejen op til en rod, browseren stoler på uden at skulle downloade yderligere underordnede certifikater.

Nogle gange er der mere end en gyldig kæde for et givet certifikat: for eksempel, hvis et underordnet certifikat er blevet krydssigneret, så enten et af disse to certifikater kunne være den anden post, “kæde op til” en af to forskellige rod-certifikater. I dette tilfælde kan forskellige webstedsoperatører ønsker at vælge forskellige kæder, afhængigt af de egenskaber, de bekymrer sig mest om.

Hver af de aktive mellemled ovenfor dokumenter, som kæden tilbydes som standard, og som (hvis nogen) eventuelle yderligere kæder kan kræves af ACME-klienter. Generelt har kæder, der slutter på ISRG Root X1 den største størrelse, men også den største kompatibilitet med ældre klienter. Kæder, der slutter ved ISRG Root X2 (tilbydes kun til ECDSA-certifikater), er mindre, men vil kun arbejde med klienter, der har modtaget en opdatering til deres truststore efter 2022 eller deromkring. Kæder, der slutter ved Root YE eller Root YR forventes ikke at virke med nogen af de store trust stores, da disse rødder endnu ikke er medtaget endnu.

Abonnenter, der ønsker at prioritere størrelse frem for kompatibilitet, kan henvise til deres ACME-klients dokumentation for instruktioner om, hvordan du beder om alternativ kæde (f. eks. certbot’s --preferred-chain flag).

© 2026 Internet Security Research Group