Ngày 15/1/2026, Let's Encrypt đưa hai loại chứng chỉ mới ra dùng rộng rãi. Loại thứ nhất có hiệu lực 160 giờ, tức hơn sáu ngày một chút. Loại thứ hai cấp cho địa chỉ IP thay vì tên miền, phủ cả IPv4 lẫn IPv6. Cả hai đã đi qua một năm thử nghiệm trước khi thành dịch vụ chính thức.
Một năm thử nghiệm, từng mốc một
Lộ trình được tổ chức này công bố ngay đầu năm 2025 và bám khá sát. Ngày 9/1/2025, họ bật cơ chế cho phép người đăng ký chọn hồ sơ cấp phát chứng chỉ. Một tuần sau, bài viết nêu kế hoạch cho cả chứng chỉ sáu ngày lẫn chứng chỉ địa chỉ IP trong năm.
Chứng chỉ sáu ngày đầu tiên được cấp ngày 20/2/2025. Chứng chỉ đầu tiên phủ một địa chỉ IP đến muộn hơn, ngày 1/7/2025. Rồi tới tháng 3/2026, Certbot cập nhật để làm việc trơn tru với loại chứng chỉ IP. Từ mốc đó, dùng nó không còn đòi công cụ chuyên biệt.
Hồ sơ cấp phát là thứ phải tự chọn
Chứng chỉ ngắn hạn không phải bản rút gọn của chứng chỉ thường. Nó là một hồ sơ cấp phát riêng, có tên riêng, và người quản trị phải yêu cầu đúng tên đó. Nội dung hồ sơ ấy giống hệt hồ sơ dùng cho máy chủ web thông thường, chỉ khác đúng một chỗ: thời hạn.
Khác biệt đó kéo theo một hệ quả pháp lý kỹ thuật. Với thời hạn dưới ngưỡng quy định, chứng chỉ đủ điều kiện xếp vào nhóm ngắn hạn theo Yêu cầu cơ bản của diễn đàn CA/Browser. Nhóm này được miễn nhúng thông tin thu hồi, vì chúng hết hạn nhanh hơn mọi quy trình thu hồi có thể chạy xong.
Phần mềm phía người dùng phải hỗ trợ đặc tả hồ sơ ACME thì mới yêu cầu được. Bản cũ vẫn chạy bình thường, chỉ là sẽ nhận về chứng chỉ loại thông thường. Chứng chỉ tên miền quen thuộc giữ nguyên chu kỳ chín mươi ngày, và ai chưa sẵn sàng thì chưa cần đổi gì.
Vì sao chứng chỉ cho IP bắt buộc phải ngắn hạn
Let's Encrypt đặt ra một quy định không có ngoại lệ. Chứng chỉ phủ địa chỉ IP bắt buộc phải là loại sáu ngày. Lý do nằm ở bản chất của địa chỉ IP: nó đổi chủ và đổi phân bổ thường xuyên hơn tên miền rất nhiều. Một chứng chỉ IP sống một năm sẽ thành rủi ro ngay khi địa chỉ đó được cấp lại cho người khác giữa chừng.
Về mặt an toàn, chu kỳ ngắn xử lý đúng chỗ mà cơ chế thu hồi vốn làm không tốt. Danh sách thu hồi phụ thuộc vào việc trình duyệt có chịu tra hay không, và thực tế nhiều năm qua cho thấy chuyện đó không đáng tin. Khi chứng chỉ chỉ sống sáu ngày, thiệt hại từ một khoá riêng bị lộ được chặn ngay trong thiết kế. Giải bằng cấu trúc, không giải bằng quy trình.
Thiết bị nội bộ truy cập bằng địa chỉ IP
Chứng chỉ cho địa chỉ IP chạm vào một tình huống rất phổ biến ở Việt Nam. Nhiều thiết bị và dịch vụ được truy cập thẳng bằng địa chỉ IP, không có tên miền nào đi kèm. Camera giám sát, thiết bị lưu trữ mạng, bảng quản trị của bộ định tuyến đều thuộc nhóm đó.
Lâu nay chúng dùng chứng chỉ tự ký, và người dùng quen tay bấm bỏ qua màn cảnh báo đỏ. Thói quen ấy nguy hiểm ở chỗ nó dạy người ta rằng cảnh báo là thứ để bỏ qua. Khi cảnh báo thật xuất hiện, phản xạ vẫn là bấm tiếp.
Nhóm dùng được ngay còn có hạ tầng tạm, môi trường thử, và các dịch vụ mạng nền chưa kịp có tên miền. Điều kiện là địa chỉ đó phải tới được từ Internet để hoàn tất bước xác thực. Cứ có IP nội bộ là dùng được thì không đúng.
Chu kỳ sáu ngày cũng đặt ra một yêu cầu cứng. Việc gia hạn buộc phải tự động hoàn toàn, không còn chỗ cho thao tác tay. Một lần quên là chứng chỉ hết hạn, và với nhịp này thì lịch nhắc trong đầu người quản trị không đỡ nổi. Ở phía vận hành, RBE để phần gia hạn chạy nền theo lịch máy chứ không giao cho ai nhớ.
Chu kỳ sáu ngày là bản xem trước của thứ cả ngành sẽ quen dần trong vài năm tới. Ai dựng sẵn cơ chế tự động từ bây giờ thì lúc đó chỉ việc đổi một con số. Ai chưa dựng thì sẽ đổi cả quy trình.
