Por Canuto  

Let’s Encrypt reducirá de 90 a 64 días la vigencia de sus certificados SSL/TLS desde el 10 de febrero de 2027. El cambio favorecerá a quienes ya automatizan las renovaciones con clientes ACME compatibles con ARI, pero puede causar vencimientos inesperados en sistemas que todavía dependen de fechas fijas o procesos manuales.
***

  • El nuevo límite de 64 días comenzará el 10 de febrero de 2027, y habrá pruebas en el entorno de staging desde el 14 de octubre de 2026.
  • Let’s Encrypt recomienda revisar fechas de renovación codificadas, comprobar la compatibilidad con ARI y activar alertas ante fallos.
  • La entidad prevé certificados de 45 días para 2028 y también acortará los plazos de reutilización de autorizaciones.

 

Let’s Encrypt reducirá la vigencia de sus certificados SSL/TLS gratuitos de 90 a 64 días a partir del 10 de febrero de 2027, un cambio que pondrá a prueba la automatización de quienes administran sitios y servidores. La transición debería ser más sencilla para operadores que utilizan clientes ACME compatibles con ARI, pero los procesos manuales y las tareas programadas con fechas rígidas podrían dejar certificados sin renovar a tiempo.

La medida forma parte de una estrategia para acortar progresivamente la vida de los certificados y hacer que las renovaciones dependan menos de intervenciones humanas. En una publicación del 7 de octubre, Let’s Encrypt indicó que empezará a emitir certificados de 64 días en su entorno de pruebas, o staging, el 14 de octubre de 2026, antes de aplicar el cambio en febrero de 2027. Ese periodo permitirá a los administradores probar sus configuraciones, detalla ArsTechnica.

Menos días de vigencia, más presión sobre la automatización

Un certificado SSL/TLS ayuda a establecer conexiones HTTPS y permite que un sitio presente una identidad digital verificable a quienes se conectan. Si vence sin que el operador lo renueve, el servicio puede mostrar advertencias de seguridad o interrumpir el acceso normal. Por eso, los equipos técnicos deben vigilar tanto las fechas de expiración como el funcionamiento de sus sistemas de renovación.

Let’s Encrypt comenzó a ofrecer certificados gratuitos en 2016 con una vigencia de 90 días, bastante menor que los periodos de uno a tres años que eran habituales antes de su lanzamiento. La organización impulsó así renovaciones más frecuentes y automatizadas, al tiempo que reducía el tiempo durante el cual un certificado comprometido o asignado por error podía seguir siendo válido.

La reducción a 64 días mantiene esa lógica y anticipa nuevos recortes: la entidad prevé que el plazo predeterminado llegue a 45 días en 2028. Una vigencia menor limita la exposición asociada a claves privadas robadas o certificados emitidos por error, aunque también exige que las renovaciones funcionen de forma confiable y que los administradores detecten rápidamente cualquier fallo.

El punto de fricción está en los sistemas que renuevan según una cuenta regresiva fija, en vez de responder a la información actualizada que ofrece la autoridad certificadora. Algunos equipos conservan configuraciones que activan la renovación a un número determinado de días antes de la expiración; si ese valor se definió para certificados de 90 días, podría dejar de ser adecuado cuando el periodo se acorte.

Qué deben revisar los administradores

Let’s Encrypt aconseja buscar valores de renovación codificados, como 83, 80 y 60 días, que algunos operadores usaban para certificados con una duración de 90 días. La recomendación es ajustar esas configuraciones para que el proceso complete la renovación antes del vencimiento bajo el nuevo límite de 64 días, en vez de asumir que los intervalos actuales seguirán funcionando sin cambios.

También pide comprobar si el cliente ACME utilizado es compatible con ARI, sigla de ACME Renewal Information. Esta extensión permite que la autoridad certificadora indique al cliente cuándo conviene renovar. Cuando el software no la admite, los administradores tendrán que actualizar sus clientes o modificar los scripts que gestionan las solicitudes.

La compañía también recomienda auditar las tareas de cron y los runbooks, es decir, las instrucciones operativas que guían el trabajo de los equipos técnicos. El objetivo es que la renovación ocurra automáticamente alrededor de dos tercios de la vida útil del certificado y que los procedimientos no dependan de una persona que recuerde intervenir antes de cada fecha de expiración.

La automatización no elimina la necesidad de supervisión: una tarea puede fallar, perder acceso a un recurso o no completar una renovación. Por eso, Let’s Encrypt aconseja configurar notificaciones para los vencimientos próximos y los errores de renovación, y aprovechar las pruebas en staging que comienzan el 14 de octubre para verificar que los avisos y los procesos respondan como se espera.

ARI, validaciones y próximos cambios

ACME es el protocolo que permite automatizar la emisión y renovación de certificados entre clientes y autoridades certificadoras, mientras que ARI aporta información sobre el momento recomendado para renovar. Aunque estas herramientas ya están disponibles, muchos sistemas todavía se guían por intervalos predeterminados, como una renovación programada 60 días antes del vencimiento, en vez de seguir las indicaciones de ARI.

La diferencia puede volverse más importante a medida que se acorten las vigencias, porque un calendario de renovación diseñado para certificados de 90 días no necesariamente encaja con uno de 64. Una configuración adaptable puede evitar que el cambio obligue a rehacer manualmente cada ciclo, pero los operadores deberán confirmar que su cliente y sus procesos realmente consultan y aplican la información disponible.

El recorte de vigencia llegará acompañado por plazos más breves para reutilizar autorizaciones de validación. Let’s Encrypt reducirá ese periodo de 30 días a 10 días y prevé llevarlo a siete horas para 2028. Esto acortará el tiempo durante el cual los clientes podrán reutilizar autorizaciones guardadas y puede afectar especialmente a quienes dependen de datos de validación almacenados en caché.

Los administradores tienen alrededor de cuatro meses desde el inicio de las pruebas del 14 de octubre para revisar sus automatizaciones antes de la fecha prevista para el cambio, el 10 de febrero de 2027. Además de revisar scripts y clientes, deberán confirmar que las alertas funcionan y que los servicios pueden recuperarse de un fallo. Quienes dejen intactos los intervalos antiguos se exponen a que un certificado expire y provoque tiempo de inactividad.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados