Certificados SSL: el periodo de validez pasa a 47 días

La vida útil de los certificados SSL/TLS públicos se está reduciendo a gran velocidad. En abril de 2025, el CA/Browser Forum aprobó la votación SC-081: la duración máxima bajará por etapas hasta llegar a 47 días en 2029. La primera etapa ya está en vigor desde el 15 de marzo de 2026.

El calendario

Dos puntos importantes:

• La regla se aplica a los certificados emitidos después de cada fecha. Un certificado de un año comprado en febrero de 2026 sigue siendo válido hasta su vencimiento.
• La reutilización de la validación también se reduce. En 2029, la prueba de control del dominio solo será válida durante 10 días: habrá que repetirla prácticamente en cada renovación.

¿A quién afecta?

A todos los certificados públicos, tanto gratuitos como de pago: DV, OV y EV, sea cual sea la autoridad. Los navegadores (Chrome, Safari, Firefox, Edge) rechazarán los certificados que superen estas duraciones.

Los certificados emitidos por una autoridad interna de la empresa (PKI privada) no se ven afectados.

¿Y Let's Encrypt?

Los certificados de Let's Encrypt ya duran 90 días, es decir, por debajo de los límites de 2026. Sin embargo, Let's Encrypt ha anunciado su propia hoja de ruta para su perfil por defecto:

• 10 de febrero de 2027: 64 días.
• 16 de febrero de 2028: 45 días.

Let's Encrypt recomienda que los clientes ACME admitan ARI (ACME Renewal Information): es la propia autoridad la que indica cuándo renovar. Para los clientes sin ARI, la recomendación es renovar a los dos tercios de la vida útil, en lugar de en una fecha fija.

¿Por qué este cambio?

• Limitar el impacto de una clave comprometida o de un certificado emitido por error: desaparece al cabo de unas semanas, en lugar de un año.
• La revocación funciona mal en la práctica: los navegadores apenas comprueban las listas de revocación, o no lo hacen. Una duración corta es más fiable.
• Forzar la automatización: una infraestructura capaz de renovar cada mes también podrá sustituir todos sus certificados de urgencia, en caso de vulnerabilidad o de cambio de autoridad.

Lo que cambia en la práctica

Con 47 días de validez, un certificado renovado «a mano» requerirá una intervención unas ocho veces al año por dominio. Para alguien que gestiona treinta sitios, eso supone más de 200 renovaciones al año. El enfoque manual deja de ser viable.

Los puntos que debe vigilar:

1. Automatizar cada renovación: Certbot, acme.sh, cert-manager para Kubernetes o las funciones ACME de su proveedor de alojamiento o de su CDN.
2. Hacer inventario de los certificados instalados a mano: appliances, balanceadores de carga, NAS, servidores antiguos, servicios de terceros en los que se haya subido un certificado.
3. Planificar los certificados OV/EV de pago: pregunte a su proveedor si ofrece renovación mediante ACME. Si no, tendrá que hacer un pedido cada pocos meses.
4. Vigilar desde el exterior. Cuanto más frecuentes son las renovaciones, más ocasiones hay de fallos silenciosos. Una tarea programada rota, un puerto cerrado, un DNS modificado: con 47 días de validez, queda poco tiempo para darse cuenta.

Cómo le ayuda SSL Expiration Reminder

• Cada certificado se comprueba automáticamente, todos los días.
• Usted elige cuándo recibir el aviso: 30, 15, 7, 5, 3 o 1 día(s) antes del vencimiento, por correo electrónico, Slack, Telegram o webhook.
• También se envía una alerta en cuanto un certificado deja de ser válido.
• Las agencias pueden avisar a cada cliente solo sobre sus propios dominios.

El plan gratuito cubre 3 dominios, sin tarjeta bancaria. También puede empezar comprobando un sitio con el comprobador SSL.