Let's Encrypt vs ZeroSSL ต่างกันอย่างไร เลือกอันไหนดี

SSL ฟรีกลายเป็นมาตรฐานของเว็บไซต์ในยุคนี้ Let's Encrypt เป็นเจ้าแรกที่ปฏิวัติวงการตั้งแต่ปี 2015 ส่วน ZeroSSL เป็นทางเลือกใหม่ที่ได้รับความนิยมเพิ่มขึ้นเรื่อย ๆ ตั้งแต่ปี 2020 — แต่ทั้งสองค่ายแตกต่างกันอย่างไร และค่ายไหนเหมาะกับการใช้งานแบบไหน?

บทความนี้เปรียบเทียบ Let's Encrypt กับ ZeroSSL ทุกแง่มุมที่นักพัฒนาและ Sysadmin ต้องตัดสินใจก่อนเลือกใช้ ตั้งแต่ระยะเวลา Cert, Wildcard, Rate Limit, ไปจนถึง ECC support

Let's Encrypt คืออะไร

Let's Encrypt เป็นองค์กรไม่แสวงหากำไรภายใต้ ISRG (Internet Security Research Group) ก่อตั้งโดย Mozilla, EFF, Cisco และ Akamai เริ่มออก Cert ฟรีให้ทุกคนตั้งแต่เดือนเมษายน 2016 ปัจจุบันออก Cert ไปแล้วเกินกว่า 3 พันล้านใบ

จุดเด่นคือ ออกแบบมาเพื่อ Automation ตั้งแต่วันแรก ผ่าน protocol ACME ที่กลายเป็นมาตรฐานของวงการ และเป็นค่ายเดียวที่รองรับโดยทุก Hosting / Control Panel ตั้งแต่ DirectAdmin, cPanel, Plesk ไปจนถึง Nginx Proxy Manager และ Caddy

ZeroSSL คืออะไร

ZeroSSL เป็นบริการของบริษัทออสเตรียชื่อ apilayer GmbH ออก Cert ฟรีโดยใช้ root CA ของ Sectigo (USERTrust RSA / ECC) เริ่มได้รับความนิยมเพราะ มี Web UI ใช้งานง่าย ออก Cert ได้โดยไม่ต้องตั้ง ACME client เอง

ปัจจุบัน ZeroSSL รองรับ ACME ด้วย และเป็นค่ายที่ผู้ใช้นิยมใช้สำรองคู่กับ Let's Encrypt เพื่อเลี่ยง Rate Limit หรือใช้กับโปรเจกต์ขนาดเล็กที่ไม่อยากตั้ง Automation

ตารางเปรียบเทียบหลัก

ความแตกต่างเชิงปฏิบัติ

1. ระยะเวลา Cert เท่ากันที่ 90 วัน

ทั้งสองค่ายออก Cert ฟรีอายุ 90 วันเท่ากัน — Let's Encrypt ตั้งเป็นค่าตายตัวเพราะ เชื่อในแนวคิด "Cert อายุสั้น + Auto-renew" ส่วน ZeroSSL ให้เลือก 90 วัน (ฟรี) หรือ 1 ปี (จ่ายเงิน) ได้

ในทางปฏิบัติ หากคุณตั้ง Auto-renew (เช่น certbot renew ใน cron) อายุ Cert ไม่สำคัญเลย เพราะระบบจะต่ออายุก่อนหมดอายุ 30 วัน ทั้งคู่ใช้งานได้เท่ากัน

2. Rate Limit ของ Let's Encrypt เข้มกว่าในบางมุม

Let's Encrypt มี Rate Limit ที่ 50 certificate ต่อ Registered Domain ต่อ 7 วัน สำหรับ public domain (สูงพอใช้สำหรับเว็บส่วนใหญ่) แต่บางครั้งใน Shared Hosting ที่ออก Cert พร้อมกันหลายลูกค้า รวมกันเกิน — จะถูก block ชั่วคราว

ZeroSSL ไม่มี Rate Limit ระดับ domain แต่จำกัดที่ 3 cert ต่อบัญชีฟรี / 90 วัน เหมาะกับเว็บคน 1-2 เว็บไม่ใช่ Hosting ผู้ให้บริการ

3. ECC Default = เร็วและประหยัด CPU

Let's Encrypt ออก Cert แบบ ECDSA P-256 เป็น default ตั้งแต่ปี 2024 — ขนาดเล็กกว่า RSA-2048 ถึง 8 เท่า ใช้ CPU น้อยกว่า เหมาะกับ Mobile และ Server Throughput สูง

ZeroSSL รองรับ ECC แต่ default ยังเป็น RSA — ต้องระบุ --ecc เองใน acme.sh หรือเลือกใน UI

4. การใช้งานบน Hosting / Control Panel

ทุก DirectAdmin / cPanel / Plesk รุ่นปัจจุบันมาพร้อม Let's Encrypt build-in — กดคลิกเดียวออก Cert ได้เลย ZeroSSL ต้องตั้งค่า ACME endpoint เอง หรือใช้ acme.sh สั่ง install ผ่าน command line

เลือกแบบไหนดี — สรุปตามเคส

• เว็บส่วนตัว / Blog / Portfolio — Let's Encrypt ผ่าน Certbot หรือ Hosting Panel เพราะตั้งครั้งเดียวลืมได้เลย
• Shared Hosting หลายเว็บ — Let's Encrypt (เหมาะกับ Auto-renew หลาย domain ในแพ็กเดียว)
• โปรเจกต์ขนาดเล็ก ไม่อยากตั้ง ACME — ZeroSSL UI ออก Cert ผ่านเบราว์เซอร์ในไม่กี่นาที
• หลีกเลี่ยง Rate Limit ของ Let's Encrypt — ใช้ ZeroSSL เป็น fallback ใน acme.sh ด้วย --server zerossl
• ต้องการ Cert อายุ 1 ปีในใบเดียว (ไม่ Auto-renew) — ZeroSSL Premium (เสียเงิน)
• ต้องการ SSL ที่มี Warranty / OV / EV — ทั้งสองค่ายไม่ออกให้ ต้องใช้ Paid SSL จาก Sectigo / DigiCert / GeoTrust

คำสั่งตัวอย่าง — สลับ CA ใน acme.sh

เปลี่ยน default CA จาก Let's Encrypt → ZeroSSL:

acme.sh --set-default-ca --server zerossl

กลับมาใช้ Let's Encrypt:

acme.sh --set-default-ca --server letsencrypt

การตั้งค่า ACME Endpoint และ ZeroSSL EAB Key

ไม่เหมือน Let's Encrypt ที่ทุก ACME client รองรับโดยไม่ต้องตั้งค่าอะไรเพิ่ม ZeroSSL ต้องการ External Account Binding (EAB) ซึ่งเป็น Kid + HMAC Key ที่ได้จากการสมัคร Account ฟรีที่ zerossl.com ก่อน

ขั้นตอนตั้งค่า ZeroSSL กับ acme.sh:

# ลงทะเบียน ZeroSSL EAB credentials ก่อน
acme.sh --register-account -m [email protected] \
  --server zerossl \
  --eab-kid <your-kid> \
  --eab-hmac-key <your-hmac-key>

# ออก cert ใหม่โดยใช้ ZeroSSL
acme.sh --issue -d example.com -d www.example.com \
  --webroot /var/www/html \
  --server zerossl

ถ้าข้ามขั้นตอน EAB ไป acme.sh จะแจ้ง Error {"error":{"type":"urn:ietf:params:acme:error:externalAccountRequired"}} ทำให้หลายคนสับสน ให้กลับไปสร้าง EAB Key จาก Developer API ใน Dashboard ZeroSSL ก่อน

ตารางเปรียบเทียบ ACME Client Support

Root CA และความน่าเชื่อถือในระยะยาว

ความแตกต่างที่สำคัญแต่มักถูกมองข้ามคือ Root CA ที่ใช้ ซึ่งส่งผลต่อการ Trust ในเบราว์เซอร์รุ่นเก่าและระบบที่ไม่ได้อัปเดต

Let's Encrypt Root Chain

Let's Encrypt ใช้ ISRG Root X1 (RSA 4096) และ ISRG Root X2 (ECDSA P-384) เป็น Root CA ของตัวเอง ซึ่งได้รับความไว้วางใจจากเบราว์เซอร์และ OS ทุกตัวตั้งแต่ปี 2021 อย่างไรก็ตามอุปกรณ์ที่เก่ามากหรือ Android เวอร์ชั่น 7.1.1 ลงไปอาจมีปัญหาเนื่องจาก Cross-Sign Chain กับ DST Root CA X3 หมดอายุไปแล้วในปี 2021

ZeroSSL Root Chain

ZeroSSL ใช้ Root CA ของ Sectigo (USERTrust RSA) ซึ่งมีประวัติความน่าเชื่อถือมาตั้งแต่ปี 1999 ทำให้รองรับเบราว์เซอร์และ OS รุ่นเก่าได้ดีกว่าในบางกรณี โดยเฉพาะอุปกรณ์ IoT หรือ Embedded System ที่ไม่ได้รับการอัปเดต Root Store

กรณีพิเศษ — ใช้ทั้งสองค่ายพร้อมกัน (Dual-CA)

นักพัฒนาขั้นสูงบางคนเลือกตั้งค่า Dual-CA คือออก Cert จากทั้ง Let's Encrypt และ ZeroSSL บน Server เดียวกัน แล้วใช้ Load Balancer หรือ Failover Logic เพื่อเปลี่ยน CA โดยอัตโนมัติถ้าฝั่งใดฝั่งหนึ่งมีปัญหา

วิธีนี้มีประโยชน์ในกรณี:

• Rate Limit ของ Let's Encrypt ถูกใช้จนเต็มชั่วคราว → ใช้ ZeroSSL Cert แทน
• CA ฝั่งใดฝั่งหนึ่งมี Outage → สลับไปใช้อีกฝั่งโดยไม่กระทบผู้ใช้
• ทดสอบการ Renew Certificate โดยไม่กระทบ Production

ใน acme.sh ตั้งค่าโดยออก Cert แยก Domain + CA แล้วใช้ Hook Script เพื่อ Deploy ทั้งสองใบไปยัง Path ที่ต่างกัน จากนั้นให้ Nginx โหลด Cert ตาม Priority ที่กำหนด

# ออก cert จาก Let's Encrypt
acme.sh --issue -d example.com --server letsencrypt \
  --keylength ec-256 -w /var/www/html

# ออก cert คู่จาก ZeroSSL (EAB ต้องตั้งไว้ก่อน)
acme.sh --issue -d example.com --server zerossl \
  --keylength ec-256 -w /var/www/html \
  --cert-file /etc/ssl/zerossl/cert.pem \
  --key-file /etc/ssl/zerossl/key.pem

การ Renew Certificate อัตโนมัติ — Let's Encrypt vs ZeroSSL

จุดเด่นที่สำคัญของ Let's Encrypt คือระบบ Auto-renew ที่ทำงานได้โดยไม่ต้องแตะ ไม่ว่าจะใช้ Certbot, acme.sh หรือ Hosting Panel — ทุกตัวมี Hook สำหรับ Deploy Cert ใหม่หลัง Renew โดยอัตโนมัติ ทำให้ผู้ดูแลระบบไม่ต้องจำวันหมดอายุ

ZeroSSL ก็รองรับ Auto-renew ผ่าน ACME เช่นกัน แต่ต้องตั้งค่า EAB ก่อน และถ้าใช้แบบ Manual ผ่าน Web UI จะต้อง Download Cert ใหม่และอัพโหลดขึ้น Server ด้วยตัวเอง ซึ่งเสี่ยงต่อการลืมและทำให้ Cert หมดอายุโดยไม่ตั้งใจ

SSL ฟรีพอใช้กับเว็บธุรกิจไหม

SSL ฟรีจากทั้งสองค่ายให้การเข้ารหัสระดับเดียวกับ Paid SSL ทุกประการ — เบราว์เซอร์มองว่าน่าเชื่อถือเหมือนกันหมด ความต่างมีเฉพาะเรื่อง Warranty (เคลมเมื่อ CA ออก Cert ผิด) และ OV / EV ที่ต้องตรวจสอบตัวตนองค์กร

สำหรับเว็บข้อมูล, บล็อก, portfolio, หรือ SaaS ทั่วไป — SSL ฟรีเพียงพอ ส่วนเว็บการเงิน, ธนาคาร, หรือ E-Commerce ที่ต้องการ Trust seal — ลงทุนกับ OV หรือ EV จะดีกว่า