Řetězce důvěryhodnosti

Poslední úprava: January 8, 2026

Tato stránka popisuje všechny aktuální a relevantní historické certifikační autority, které provozuje Let’s Encrypt. Upozorňujeme, že CA lze nejlépe chápat jako klíč a jméno: každá CA může být reprezentována více certifikáty, které všechny obsahují stejný Subjekt a Informaci o veřejném klíči. V takových případech jsme poskytli podrobnosti o všech certifikátech, které zastupují CA. Pokud hledáte identifikátory Trust Anchor spojené s těmito certifikačními autoritami, podívejte se na naši stránku Identifikátory objektů.

Schéma hierarchie certifikátů ISRG, stav k lednu 2026

Kořenové CA

Naše kořenové klíčové materiuály jsou uloženy bezpečně offline. Vydáváme certifikáty koncových entit předplatitelům ze zprostředkovatelů popsaných v následující části. Všechny Subjekty kořenového certifikátu mají jako zemi nastavenou C = US.

Upozorňujeme, že kořenové CA nemají datum platnosti ve stejném smyslu jako ostatní certifikáty. Ačkoli jejich vlastní podepsané certifikáty obsahují datum notAfter, kořenové programy a úložiště důvěryhodných certifikátů (Trust Stores) se mohou rozhodnout důvěřovat kořenové CA i po tomto datu nebo ukončit důvěru v ni před tímto datem. Proto jsou níže uvedené termíny ukončení platnosti přibližné a vycházejí z aktuálních zásad Kořenových programů.

Tyto kořeny zatím nejsou zahrnuty v úložištích důvěryhodných kořenových programů (Trust Stores), ale brzy budou předloženy k zařazení:

Další informace o kompatibilitě našich kořenových certifikátů s různými zařízeními a úložišti důvěryhodných certifikátů naleznete v části Kompatibilita certifikátů.

Podřízené (zprostředkující) certifikační autority

V současné době udržujeme osm zprostředkujících certifikátů, které aktivně rotují. Certifikáty odběratelů obsahující veřejný klíč ECDSA budou vydávány jedním ze zprostředkovatelů ECDSA; podobně certifikáty odběratelů obsahující veřejný klíč RSA budou vydávány jedním ze zprostředkovatelů RSA. Certifikáty odběratelů vydané v rámci „classic“ a „tlsclient“ profilů budou vydávány od jednoho z prvních čtyř uvedených zprostředkovatelů (E7 až R13); naopak certifikáty předplatitelů vydané v rámci profilů „tlsserver“ a „shortlived“ budou vydávány od jednoho ze čtyř posledních zprostředkovatelů (YE1 až YR2).

Všechny Subjekty zprostředujících certifikátů mají jako Zemi nastavenou C = US.

Klikněte níže pro podrobnosti o dalších zprostředkovatelích, které nejsou součástí aktivní hierarchie vydávání:

Záloha

Tyto zprostředkující CA mají v současné době platné certifikáty, ale nejsou vydávány. Můžeme kdykoli bez varování začít vydávat certifikáty odběratelů.

  • Let’s Encrypt E9
    • Předmět: O = Let's Encrypt, CN = E9
    • Typ klíče: ECDSA P-384
    • Platný do: 2027-03-12
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X2): crt.sh, der, pem, txt
    • Podrobnosti certifikátu (křížově podepsaný ISRG Root X1): crt.sh, der, pem, txt
    • CRL hostname: e9.c.lencr.org
  • Let’s Encrypt R14
    • Předmět: O = Let's Encrypt, CN = R14
    • Typ klíče: RSA 2048
    • Platný do: 2027-03-12
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X1): crt.sh, der, pem, txt
    • CRL hostname: r14.c.lencr.org
  • Let’s Encrypt YE3
    • Předmět: O = Let's Encrypt, CN = YE3
    • Typ klíče: ECDSA P-384
    • Platný do: 2028-09-02
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu: der, pem, txt
    • CRL hostname: ye3.c.lencr.org
  • Let’s Encrypt YR3
    • Předmět: O = Let's Encrypt, CN = YR3
    • Typ klíče: RSA 2048
    • Platný do: 2028-09-02
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu: der, pem, txt
    • CRL hostname: yr3.c.lencr.org
Ukončené

Tyto zprostředující certifikační autority již nejsou používány k vydávání certifikátů předplatitelů. Ty, které mají stále platné certifikáty, mohou vytvářet seznamy CRL.

  • Let’s Encrypt E1
    • Předmět: O = Let's Encrypt, CN = E1
    • Typ klíče: ECDSA P-384
    • Platný do: 2025-09-15 (expirovaný)
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X2): crt.sh, der, pem, txt
    • CRL hostname: e1.c.lencr.org
  • Let’s Encrypt E2
    • Předmět: O = Let's Encrypt, CN = E2
    • Typ klíče: ECDSA P-384
    • Platný do: 2025-09-15 (expirovaný)
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X2): crt.sh, der, pem, txt
    • CRL hostname: e2.c.lencr.org
  • Let’s Encrypt E5
    • Předmět: O = Let's Encrypt, CN = E5
    • Typ klíče: ECDSA P-384
    • Platný do: 2027-03-12
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X2): crt.sh, der, pem, txt
    • Podrobnosti certifikátu (křížově podepsaný ISRG Root X1): crt.sh, der, pem, txt
    • CRL hostname: e5.c.lencr.org
  • Let’s Encrypt E6
    • Předmět: O = Let's Encrypt, CN = E6
    • Typ klíče: ECDSA P-384
    • Platný do: 2027-03-12
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X2): crt.sh, der, pem, txt
    • Podrobnosti certifikátu (křížově podepsaný ISRG Root X1): crt.sh, der, pem, txt
    • CRL hostname: e6.c.lencr.org
  • Let’s Encrypt R3
    • Předmět: O = Let's Encrypt, CN = R3
    • Typ klíče: RSA 2048
    • Platný do: 2025-09-15 (expirovaný)
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X1): crt.sh, der, pem, txt
    • Podrobnosti certifikátu (křížově podepsaný IdenTrust): crt.sh, der, pem, txt
    • CRL hostname: r3.c.lencr.org
  • Let’s Encrypt R4
    • Předmět: O = Let's Encrypt, CN = R4
    • Typ klíče: RSA 2048
    • Platný do: 2025-09-15 (expirovaný)
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X1): crt.sh, der, pem, txt
    • Podrobnosti certifikátu (křížově podepsaný IdenTrust): crt.sh, der, pem, txt
    • CRL hostname: r4.c.lencr.org
  • Let’s Encrypt R10
    • Předmět: O = Let's Encrypt, CN = R10
    • Typ klíče: RSA 2048
    • Platný do: 2027-03-12
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X1): crt.sh, der, pem, txt
    • CRL hostname: r10.c.lencr.org
  • Let’s Encrypt R11
    • Předmět: O = Let's Encrypt, CN = R11
    • Typ klíče: RSA 2048
    • Platný do: 2027-03-12
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X1): crt.sh, der, pem, txt
    • CRL hostname: r11.c.lencr.org
  • Let’s Encrypt Authority X1
    • Předmět: O = Let's Encrypt, CN = Let's Encrypt Authority X1
    • Typ klíče: RSA 2048
    • Platný do: 2020-06-04 (vypršelo)
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X1): crt.sh, der, pem, txt
    • Podrobnosti certifikátu (křížově podepsaný IdenTrust): crt.sh, der, pem, txt
  • Let’s Encrypt Authority X2
    • Předmět: O = Let's Encrypt, CN = Let's Encrypt Authority X2
    • Typ klíče: RSA 2048
    • Platný do: 2020-06-04 (vypršelo)
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X1): crt.sh, der, pem, txt
    • Podrobnosti certifikátu (křížově podepsaný IdenTrust): crt.sh, der, pem, txt
  • Let’s Encrypt Authority X3
    • Předmět: O = Let's Encrypt, CN = Let's Encrypt Authority X3
    • Typ klíče: RSA 2048
    • Platný do: 2021-10-06 (vypršelo)
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X1): crt.sh, der, pem, txt
    • Podrobnosti certifikátu (křížově podepsaný IdenTrust): crt.sh, der, pem, txt
  • Let’s Encrypt Authority X4
    • Předmět: O = Let's Encrypt, CN = Let's Encrypt Authority X4
    • Typ klíče: RSA 2048
    • Platný do: 2021-10-06 (vypršelo)
    • Podrobnosti CA: crt.sh, vydané certifikáty
    • Podrobnosti certifikátu (podepsaný ISRG Root X1): crt.sh, der, pem, txt
    • Podrobnosti certifikátu (křížově podepsaný IdenTrust): crt.sh, der, pem, txt

Řetězce

Když klient ACME stáhne nově vydaný certifikát z ACME API Let’s Encrypt, tento certifikát je součástí „řetězce“, který zahrnuje také jeden nebo více zprostředkovatelů. Obvykle se tento řetězec spočívá pouze z certifikátu koncové entity a jednoho zprostředkovatele, ale může obsahovat i další zprostředkovatele. Myšlenka spočívá v tom, že po předložení celého řetězce certifikátů prohlížeči návštěvníka webové stránky bude prohlížeč schopen ověřit podpisy až po kořenový certifikát, kterému prohlížeč důvěřuje, aniž by bylo nutné stahovat jakékoli další zprostředkovatele.

Někdy existuje více než jeden platný řetězec pro daný certifikát: například pokud byl zprostředkující certifikát křížově podepsán, pak by jeden z těchto dvou certifikátů mohl být druhým záznamem, „zřetězeným až k“ jednomu ze dvou různých kořenů. V tomto případě mohou různí provozovatelé webových stránek chtít vybrat různé řetězce v závislosti na vlastnostech, které jsou pro ně nejdůležitější.

Každý z výše uvedených aktivních zprostředkovatelů dokumentuje, který řetězec je nabízen jako výchozí a které další řetězce (pokud existují) mohou být požadovány klienty ACME. Obecně platí, že řetězce, které končí u ISRG Root X1, mají největší velikost, ale také největší kompatibilitu se staršími klienty. Řetězce, které končí u ISRG Root X2 (nabízené pouze pro certifikáty ECDSA), jsou menší, ale budou fungovat pouze s klienty, kteří obdrželi aktualizaci svého úložiště důvěryhodných certifikátů po roce 2022. Řetězce, které končí u Root YE nebo Root YR, pravděpodobně nebudou fungovat s žádným z hlavních úložišť důvěryhodných certifikátů, protože tyto kořenové certifikáty ještě nebyly začleněny.

Předplatitelé, kteří chtějí použít jeden z alternativních řetězců, mohou najít pokyny k žádosti o alternativní řetězec v dokumentaci svého klienta ACME (například --preferred-chain flag certbotu).

© 2026 Internet Security Research Group