¿Let’s Encrypt es confiable para la producción?

ACTUALIZACIÓN 29 de abril de 2018

Recientemente he analizado la fiabilidad de Let’s Encrypt utilizando sus propios datos. El informe se encuentra en Let’s Encrypt, el tiempo de actividad es del 99.9%, o 98.8% sin defectos en 2017. Básicamente, muestra que estuvo completamente en funcionamiento solo durante el 98.8% del tiempo en 2017. Algunas interrupciones fueron “parciales”, por lo que solo un subconjunto de usuarios las experimentaría.

Otro aspecto importante son los cambios en el protocolo y su implementación. Muchos usuarios experimentaron problemas en Q3 ya que LE configuró IPv6 como protocolo principal. Se usaba cuando detectaba la existencia de una dirección IPv6, independientemente de si realmente funcionaba.

Ciertamente tiene sentido implementar un monitoreo externo. Monitoreo del estado de los certificados (cont.)

—— FIN DE LA ACTUALIZACIÓN

Es una buena pregunta, especialmente después de un reciente tiempo de inactividad de LE que duró más de un día, con 16 horas de servicio básicamente no disponibles. Esta es una interrupción bastante grave, que probablemente pondrá a LE detrás de la mayoría de los otros certificados, ya que hace que el tiempo de actividad sea solo del 99.8% por sí solo para este año.

Como LE supone que las renovaciones están automatizadas, nunca debe suponer que los servicios de LE estarán siempre disponibles y diseñar su propia automatización de producción en consecuencia.

Dicho esto, no creo que exista una posibilidad real de interrupción, que duraría más de una semana, por lo que, en términos de emisión y renovación de certificados, es probable que LE sea confiable si planifica y renueva de acuerdo con los plazos recomendados.

Aparte de eso, debe considerar los límites operativos de LE. He escrito muchos de ellos en una publicación de blog aquí.

También puede estar interesado en la garantía en términos de daños potenciales causados ​​por incidentes. Todavía no he encontrado ninguna referencia autorizada para tal garantía.

EDITAR (mayo de 2016): LetsEncrypt ha salido de la versión beta con nuevos patrocinadores. Muchas de estas compañías confían en el éxito de LetsEncypt. Se han convertido en la tercera Autoridad de Certificación más grande del mundo. Mucha gente ha llegado a confiar en ellos. Actualmente tienen 1,93 millones de certificados no vencidos en la naturaleza, lo que los convierte en una de las autoridades de certificación más grandes del mundo.

Respuesta original:

Por su propia admisión, están en una versión beta pública (enero de 2016), por lo que diría que no debe confiar en los sistemas de producción de misión crítica a menos que esté monitoreando cuidadosamente el uso del sistema de LetsEncrypt.

En este momento (enero de 2016), esperaría un poco a que otros sean los primeros. Está fuera de beta privada, por lo que está disponible para que experimentes, así que eso es lo que te recomendaría.

Dado el bajo costo de los certificados basados ​​en el dominio de proveedores establecidos, utilizando técnicas bien establecidas para la generación de claves y solicitudes, sugiero usarlas para la producción, al menos para un pequeño número de servidores.

Cuando miré Let’s Let’s Encrypt el mes pasado, funcionó de manera inmediata solo en un conjunto limitado de distribuciones de Linux, y usé un enfoque radicalmente diferente para obtener e instalar certificados. Lo que no es necesariamente malo, parte de la idea es automatizar el procedimiento para que “todos puedan hacer SSL”, pero sí significa que tiene que aprender una forma diferente de hacer las cosas y luego decidir si puede confiar en él. Además, la documentación aún no está pulida.

(Esta respuesta es urgente: probé letsencrypt-nosudo en CentOS 6 el 8 de diciembre de 2015)

Hemos emitido certificados LE para nuestros clientes desde su lanzamiento público a principios de diciembre. Hasta ahora no hemos visto ningún problema, pero para ser justos, tampoco hemos renovado un solo certificado, así que veremos cómo funciona en febrero.

Vale la pena señalar que no utilizamos el cliente LE oficial, sino que escribimos una herramienta personalizada que integra LE en nuestra plataforma: verifica dominios, genera las claves, obtiene los certificados y realiza las renovaciones. Sin embargo, escuché cosas buenas sobre el cliente oficial, principalmente de usuarios que administran su propio VPS.

Tengo que aceptar que es un caso de esperar y ver en este momento. El primer ciclo de renovación debería haber pasado para los primeros usuarios y no parece haber habido ningún problema importante, pero creo que también será un caso para determinar si es adecuado para usted. Los certificados son de verificación de dominio de un solo uso y serán perfectos para el cifrado punto a punto, pero pueden ser menos para los servicios donde se requiere una mayor confianza.

depende pero es un buen servicio