Let's Encrypt ya no envía correos de caducidad: cómo seguir recibiendo avisos

Durante años, Let's Encrypt enviaba un correo electrónico cuando un certificado se acercaba a su caducidad sin haberse renovado. Para muchos administradores, era la única señal de que una renovación automática había dejado de funcionar. Este servicio terminó el 4 de junio de 2025.

Qué ha cambiado

Let's Encrypt anunció en enero de 2025 el fin de los correos de recordatorio y los suspendió el 4 de junio de 2025. Actualmente:

• No se envía ningún correo antes de la caducidad, aunque un certificado no se haya renovado.
• La dirección de correo facilitada a Certbot o a otro cliente ACME ya no se utiliza para estos recordatorios.
• Nada cambia en la emisión ni en la renovación de los certificados.

Por qué lo ha dejado Let's Encrypt

La organización ha expuesto varios motivos:

• La renovación automática es la norma: la gran mayoría de los clientes ACME renuevan sin intervención humana.
• La protección de la privacidad: dejar de conservar millones de direcciones de correo asociadas a certificados.
• El coste: el envío de estos correos suponía decenas de miles de dólares al año para una organización sin ánimo de lucro.

Let's Encrypt recomienda ahora utilizar un servicio de vigilancia de terceros.

Por qué es un riesgo real

La renovación automática funciona… hasta el día en que deja de funcionar. Las causas más frecuentes:

• una regla del cortafuegos ha cerrado el puerto 80;
• el DNS apunta ahora a otro servidor o a una CDN;
• el servidor se ha migrado sin trasladar Certbot o su tarea programada;
• el certificado se renueva en el disco, pero el servidor web nunca se ha recargado;
• un plugin DNS ya no tiene las credenciales de API correctas.

En todos estos casos, nadie recibe ningún aviso. La primera señal son los visitantes que se encuentran con NET::ERR_CERT_DATE_INVALID, o una API que rechaza las conexiones.

Y el margen se va a reducir: los certificados de Let's Encrypt pasarán a 64 días en 2027 y a 45 días en 2028.

Cómo sustituir estos correos

Opción 1: vigilar desde el exterior (recomendado)

Un servicio de vigilancia comprueba el certificado que realmente sirve su sitio, como lo haría un visitante. Es el único método que detecta también los servidores que nunca se han recargado y los balanceadores de carga olvidados.

Con SSL Expiration Reminder:

1. Cree una cuenta gratuita: hasta 3 dominios, sin tarjeta bancaria.
2. Añada sus dominios, uno a uno o mediante importación CSV.
3. Elija cuándo recibir el aviso. Para Let's Encrypt, un recordatorio a 15 días es ideal: en ese momento, un certificado en buen estado ya debería haberse renovado. Si llega la alerta, es que la automatización tiene un problema.

Los planes de pago añaden Slack, Telegram y el webhook, y permiten avisar a varias personas. Resulta útil cuando la dirección facilitada a Certbot era la de un antiguo compañero.

Opción 2: un script propio

Para uno o dos servidores, una tarea cron puede bastar:

#!/bin/sh
# Alerta si el certificado servido caduca en menos de 15 días (1.296.000 segundos)
DOMAIN=ejemplo.es
echo | openssl s_client -connect "$DOMAIN:443" -servername "$DOMAIN" 2>/dev/null \
  | openssl x509 -noout -checkend 1296000 \
  || echo "El certificado de $DOMAIN caduca pronto" | mail -s "SSL $DOMAIN" usted@ejemplo.es

Limitaciones: necesita un servidor de correo operativo, el script suele ejecutarse en la misma máquina que vigila y nadie vigila el propio script.

Opción 3: revisar Certbot con regularidad

sudo certbot renew --dry-run
sudo certbot certificates

Es útil para diagnosticar, pero sigue siendo un proceso manual. Y no indica qué certificado se sirve realmente a los visitantes.

En resumen

• Let's Encrypt ya no avisa antes de la caducidad desde el 4 de junio de 2025.
• La renovación automática puede fallar sin hacer ruido.
• Una vigilancia externa, con alertas enviadas a varias personas, sustituye con ventaja a los antiguos correos.

Puede comprobar ya un dominio con el comprobador SSL gratuito.