Cómo renovar su certificado SSL

Renovar un certificado consiste en obtener un certificado nuevo para los mismos nombres de dominio e instalarlo antes de que caduque el anterior. El procedimiento depende sobre todo de cómo se obtuvo el certificado. Empiece por identificar su caso.

1. Identificar quién emite su certificado

Abra el comprobador SSL o haga clic en el candado de su navegador y fíjese en el emisor:

• Let's Encrypt (emisores R10, R11, E5, E6…): certificado gratuito de 90 días, que normalmente renueva de forma automática un cliente ACME como Certbot.
• Su proveedor de alojamiento o su CDN (Cloudflare, OVHcloud, o2switch, Vercel…): la renovación la gestiona la plataforma. Su papel se limita a comprobar que se realiza.
• Una autoridad comercial (Sectigo, DigiCert, GlobalSign…): la renovación implica un pedido, una validación y después una instalación manual o a través de su panel de administración.

2. Caso Let's Encrypt: comprobar la automatización

Con Certbot, la renovación la lanza una tarea programada (temporizador de systemd o cron). Solo sustituye el certificado cuando se acerca su caducidad. Compruebe que existe y que funciona:

# Lista de los certificados gestionados por Certbot y su fecha de caducidad
sudo certbot certificates

# Simula una renovación completa sin modificar nada
sudo certbot renew --dry-run

# Comprueba que la tarea programada está activa (instalación mediante apt/dnf)
systemctl list-timers | grep certbot

Si el --dry-run falla, la renovación real también fallará. Las causas más habituales: puerto 80 cerrado o redirigido, carpeta webroot movida, DNS que ya no apunta a este servidor. Nuestro asistente de renovación genera los comandos adecuados para su servidor web.

Un último punto que se suele olvidar: recargar el servidor web después de la renovación. De lo contrario, Nginx o Apache siguen sirviendo el certificado antiguo hasta el siguiente reinicio.

sudo certbot renew --deploy-hook "systemctl reload nginx"

3. Caso de certificado comercial: los pasos

1. Genere una nueva clave privada y una CSR (solicitud de firma). Es posible reutilizar la clave anterior, pero es preferible una clave nueva.

   openssl req -new -newkey rsa:2048 -nodes \
     -keyout ejemplo.es.key -out ejemplo.es.csr \
     -subj "/CN=ejemplo.es"
   

2. Solicite la renovación a su proveedor y pegue la CSR. Recuerde incluir todos los nombres necesarios (ejemplo.es y www.ejemplo.es).

3. Valide el dominio: correo electrónico a admin@, registro DNS TXT o archivo HTTP, según el método elegido.

4. Descargue el certificado y los intermedios y únalos en el orden correcto: primero su certificado y después los intermedios.

5. Instálelos en el servidor, el balanceador de carga o el panel del proveedor de alojamiento y recargue el servicio.

6. Compruebe desde el exterior que se sirve la nueva fecha de caducidad (vea más abajo).

Desde marzo de 2026, un certificado comercial no puede superar los 200 días de validez. La renovación «una vez al año» es cosa del pasado: prevea al menos dos renovaciones al año, y más a partir de 2027.

4. ¿Cuándo renovar?

• Let's Encrypt: Certbot renueva automáticamente unos 30 días antes del vencimiento. Si quedan menos de 20 días, algo no funciona.
• Certificado comercial: inicie el proceso 30 días antes de la caducidad. Una validación OV o EV puede tardar varios días, y el tiempo restante del certificado anterior normalmente ya no se traslada al nuevo.

5. Comprobar que el nuevo certificado está en línea

La renovación no termina hasta que el servidor sirve el nuevo certificado. Compruébelo desde su equipo:

echo | openssl s_client -connect ejemplo.es:443 -servername ejemplo.es 2>/dev/null \
  | openssl x509 -noout -enddate

O vuelva a usar el comprobador SSL. Si tiene varios servidores detrás de un balanceador de carga, o una CDN delante de su sitio, compruebe cada punto de entrada.

Deje de depender de su memoria

Una renovación automática puede fallar durante semanas sin que nadie se dé cuenta. Además, desde junio de 2025 Let's Encrypt ya no envía correos antes de la caducidad. Añada sus dominios a SSL Expiration Reminder: cada certificado se comprueba automáticamente y usted recibe una alerta 30, 15 o 7 días antes del vencimiento, según su configuración. Si una fecha no cambia cuando debería haberlo hecho, lo sabrá a tiempo.