当你看到浏览器里那个小锁头时，你信任的其实只有一家公司

每次在浏览器地址栏看到那个小锁头图标，你其实在信任一家证书颁发机构在帮你验证网站的真实性。说出来你可能不信，但互联网上大部分的验证工作，都是Let's Encrypt这一家机构在做。

不只是免费证书这么简单

2014年Let's Encrypt进场的时候，打出的口号相当激进：让HTTPS证书免费，而且自动更新。

在那之前，搞个证书简直折磨人。验证流程复杂得要命，费用还不便宜——动不动一年几百美元。更别提还得手动操作续期了。

小开发者和创业团队想搞个安全网站？门槛高得离谱。

Let's Encrypt把这套玩法彻底颠覆了。自动化整个流程，还不收钱，直接把网站安全从"奢侈品"变成了"标配"。现在你花几分钟就能搭个带HTTPS的网站，证书费用？零。这波操作确实让互联网变得更平等了。

那个52%的问题

但事情开始变得有点微妙了。

Cloudflare透明度报告显示，Let's Encrypt发行的证书数量超过了全网的一半。换算到个人，有些用户发现自己每天访问的网站里，近一半都在用Let's Encrypt的证书。

这个比例够吓人的吧？

更让人在意的是，Let's Encrypt最近更新了政策：明确把美国制裁合规写进了服务条款。什么意思？就是那些被美国制裁的个人、组织、甚至国家，都没法从Let's Encrypt拿到证书。等于说他们获取合法HTTPS保护的这条路被堵死了。

这事儿跟你有关系吗？

你可能会想：我又没被制裁，跟我有什么关系？

这话没错。但格局可以再大一点看。

当一个机构——而且是受单一国家法律管辖的机构——掌控了大部分互联网安全基础设施，这就成了一个地缘政治的敏感点。浏览器里那个锁头，代表的是信任、安全、加密通讯对吧？它的根基其实建立在一个国家的法律体系之上。

这不是假设，已经在影响真实的组织和个人了。

做产品的开发者们，如果你的目标市场是全球，这个"一家独大"的现状既是技术上的依赖风险，也是地缘政治上的隐患。万一合规要求扩大范围呢？万一其他国家也开始提类似的要求呢？说白了，重要的互联网基础设施，押注在一个国家的外交政策上了。

接下来怎么办

说这些不是要让Let's Encrypt当反派，HTTPS该用还得用。他们做的事情确实很有价值，让整个互联网更安全了，功不可没。

但保持清醒没坏处。多元化很重要。

证书颁发机构这个圈子需要健康的竞争，需要信任的地理分布。Cloudflare、Google Trust Services、还有各个地区的机构都在各自发挥作用，但规模上还没谁能跟Let's Encrypt掰手腕。

如果你在给全球用户做系统架构，想清楚证书是谁发的。把依赖关系写进文档。备选方案准备好。浏览器里那个小锁头看着不起眼，但它是架在有政治现实的基础设施上的——这事值得搞明白。

互联网的安全不应该寄托在任何一个单点上，不管那是公司、政府还是什么组织。作为互联网的建设者，我们有责任认真审视这些依赖关系，哪怕它包裹在那个让人习以为常的绿色锁头里。

关于证书颁发机构集中化这个话题，你有什么想法？欢迎留言聊聊。