来说说 letsencrypt 存在问题，以及生产环境使用的风险

[bli22ard]

自动的 https 证书管理（ acme ）一般都是 letsencrypt ，并且有效期三个月，没看到有哪个商业收费证书支持 acme 自动申请。目前想要自动维护证书，基本是 letsencrypt 或者 zerossl 。

letsencrypt 能查到的问题 https://vps.yangmao.info/163640.html 另外 OCSP 是 r3.o.lencr.org ， 通过在线 ping 检查，ip 基本分布在境外，最近的是香港、日本等地

[makelove]

OCSP 可以解决，如果 vps 在墙外，直接在 nginx 里几行代码设置就行，如果在墙内设置个 ocsp 代理（有开源项目）
这样就不怕验证地址被墙了

[crysislinux]

大的云服务选择都有自动 renew 的免费证书了吧，我们在用 aws 的

[msg7086]

@bli22ard 我觉得墙内本来就没有什么好选择，要在墙内用的话最好还是老老实实用国内大厂的了。

[Love4Taylor]

@bli22ard Google Trust Service

[just1]

ocsp 装订啊

[bli22ard]

@makelove
@just1 这样都得通过代理吧，那问题又到了一个需要一个稳定的代理。😂

[bli22ard]

@msg7086 大厂自动签发麻烦，还有收费， 所以想聊聊这个事情，看看有没有 https 证书最佳实战

[just1]

@bli22ard #26 可以不需要

[bli22ard]

@just1 这些免费的 oscp 地址可能会被墙吧

[fox0001]

@bli22ard #14 最简单的一键设置

[ZeroClover]

OCSP 是最微不足道的问题

有效期短于 10 天的证书，按 CA/B Baseline 不执行 OCSP 检查

所以

[caomingjun]

@bli22ard 我测过 GTS 的 OCSP ，在境内是有节点的。acme endpoint 倒是确实被墙了。

[bli22ard]

@ZeroClover acme 申请到的 letsencrypt 是三个月的。

[bli22ard]

@bli22ard 那生产需要一个稳定的代理， 才能确保 acme endpoint 访问通畅， 这个貌似又不好办到