ACME 帐户和主机密钥的 ECDSA 密码术支持
CertMgr 支持使用 NIST P-256 和 NIST P-384 的 Elliptical 曲线数字签名算法(ECDSA)，用于 ACME 帐户和从 Let's Encrypt® CA 或第三方 CA 生成的 TLS 1.2主机密钥（密钥环文件）。
ECDSA 密钥比同等强度的 RSA 密钥短得多，且通常可提供比其 RSA 等效密钥更好的性能。
- 通常认为 256 位 (NIST P-256) ECDSA 密钥在强度上相当于 3072 位 RSA 密钥或 128 位 AES 密钥。
- 通常认为 384 位 (NIST P-384) ECDSA 密钥相当于 7680 位 RSA 密钥或 192 位 AES 密钥。
- 通常，512 位 ECDSA 密钥 (NIST P-521) 相当于 15360 位 RSA 密钥或 256 位 AES 密钥。
Let's Encrypt 认证中心当前不支持 NIST P-521。但是， Domino TLS 堆栈和 CertMgr 后端 TLS 支持用于 TLS 主机密钥（密钥环文件）的 NIST P-521。
配置为通过 CertMgr 或 kyrtool 使用 ECDSA 密钥环文件的 Domino 服务器支持以下两个 TLS 1.2 密码套件，最新的浏览器和设备均支持这两个套件：
- TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xC02B)
- TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (0xC02C)
V1.2 之前版本的 TLS 不支持 ECDSA。如果已配置，ECDSA 主机密钥将用于所有因特网协议，而不只是 HTTPS。
为什么不总是使用 ECDSA 而不是 RSA？安全行业内的一些人担心 NIST 曲线的选择缺乏透明度，因此尽管性能会受到影响，但他们更偏好使用 RSA。
ACME 帐户
在 certstore.ntf 中，新 ACME 帐户密钥的缺省设置设为 ECDSA NIST P-384。支持将 RSA 帐户密钥用于不支持 ECDSA 帐户密钥的基于 ACME 的 CA。如果您注册了具有密钥标识 (KID) 和专用密钥的 ACME 帐户文档，那么必须创建新的 ACME 帐户文档以在 ECDSA 和 RSA 之间切换。
TLS 主机密钥
由 Let's Encrypt CA 第三方密钥生成的新主机密钥的缺省 CA 保留 4096 位 RSA。可通过密钥翻转来更改密钥类型和密钥大小。有关更多信息，请参阅 请求密钥翻转。