¿Cuánto tiempo es válido ahora un certificado SSL y cómo va a cambiar?

La validez máxima de un certificado SSL es ahora de 200 días, frente a los 398 días vigentes hasta el 15 de marzo de 2026. El 15 de marzo de 2027 baja a 100 días, y el 15 de marzo de 2029 a 47 días, según los Baseline Requirements que el CA/Browser Forum fija para todas las autoridades de certificación del mundo. Let's Encrypt, el mayor emisor de certificados gratuitos, anunció el 7 de octubre de 2026 que sus certificados pasan de 90 días a 64 días a partir del 10 de febrero de 2027. En la práctica, un certificado que su empresa renovaba una vez al año ahora debe renovarse al menos dos veces, luego cuatro veces y después unas ocho veces. Si la renovación sigue siendo una tarea que alguien tiene que recordar, algún día un cliente abrirá su sitio web y verá una advertencia de que la conexión no es segura.

El calendario: de 398 días a 47

Certificado emitidoValidez máximaReutilización máxima de la validación del dominio
Antes del 15 de marzo de 2026398 días398 días
Desde el 15 de marzo de 2026200 días200 días
Desde el 15 de marzo de 2027100 días100 días
Desde el 15 de marzo de 202947 días10 días

La última columna importa más de lo que parece. La validación del dominio es el paso en el que demuestra a la autoridad de certificación que controla su dominio, añadiendo un registro DNS o colocando un archivo en su servidor. Hoy una validación puede reutilizarse durante 200 días; a partir de marzo de 2029 solo vale 10 días, así que casi cada renovación necesitará una validación nueva. El Forum adoptó este calendario el 11 de abril de 2025, con 25 autoridades de certificación votando a favor y ninguna en contra, y con los cuatro fabricantes de navegadores con derecho a voto a favor. No es una propuesta que pueda retrasarse. Es una regla que toda autoridad de certificación cumple para que los navegadores sigan confiando en sus certificados.

¿Qué cambia para los certificados gratuitos de Let's Encrypt?

Muchos sitios web pequeños y medianos funcionan con certificados gratuitos de Let's Encrypt, a menudo sin que el propietario lo sepa. Según su anuncio oficial y el calendario publicado:

  • 14 de octubre de 2026: el entorno de pruebas (staging) empieza a emitir certificados de 64 días, para que pueda probar sus sistemas antes de la fecha real.
  • 10 de febrero de 2027: todo certificado emitido o renovado a partir de esta fecha es válido durante 64 días, y el periodo de reutilización de la autorización baja de 30 días a 10 días.
  • 16 de febrero de 2028: la validez baja a 45 días, y una validación vale solo 7 horas.

Let's Encrypt advierte de un error común: scripts y tareas programadas escritos en torno a un certificado de 90 días, con puntos de renovación fijos como 83, 80 o 60 días. Esos deben cambiarse. La recomendación es renovar a unos dos tercios de la vida del certificado, aproximadamente el día 42 de 64. Si su cliente de renovación es compatible con ACME Renewal Information (ARI), no necesita ningún cambio, porque la propia autoridad de certificación le indica al cliente cuándo renovar.

Un detalle más: Let's Encrypt dejó de enviar correos de aviso de caducidad el 4 de junio de 2025. Si esperaba un correo que le recordara renovar, no va a llegar.

¿Qué le pasa a su negocio el día en que caduca el certificado?

  • Sitio web y tienda en línea: el navegador muestra una advertencia a pantalla completa en lugar de su sitio, diciendo que la conexión no es privada. La mayoría de los visitantes cierra la página y no vuelve, y quienes continúan lo hacen preocupados por introducir su tarjeta.
  • Aplicación móvil: la aplicación se comunica con su servidor mediante una conexión cifrada y se niega a conectarse en cuanto caduca el certificado del servidor. El usuario ve un error genérico o una pantalla en blanco sin saber por qué.
  • Integraciones con otros sistemas: las notificaciones de pago, las integraciones de envío y los sistemas de contabilidad funcionan sobre enlaces cifrados. Un certificado caducado los detiene en silencio, y puede que solo se entere cuando un cliente que ya pagó se queje de que su pedido nunca se confirmó.
  • Correo electrónico y paneles internos: los servidores de correo, los paneles de administración y las herramientas del personal también tienen certificados, y suelen ser los más olvidados porque nadie los mira todos los días.

Compró un certificado de pago por un año completo. ¿Qué ha cambiado?

Comprar ya no equivale a instalar. Ninguna autoridad de certificación puede emitirle hoy un certificado válido por más de 200 días, así que siguen vendiendo una suscripción anual y vuelven a emitir el certificado dentro de ella. SSL.com, por ejemplo, dice que su compra sigue siendo una licencia de 12 meses, que ahora emite certificados válidos durante 198 días y que la reemisión dentro de su plazo no tiene coste adicional. Pero cada reemisión implica una nueva validación del dominio y una nueva instalación en el servidor. A partir de marzo de 2027 eso ocurre al menos 4 veces al año, y a partir de marzo de 2029 unas 8 veces. La pregunta ya no es cuánto cuesta el certificado. Es quién lo instala, con qué frecuencia y quién responde cuando se olvida.

Un plan de cinco pasos para su empresa

  1. Haga un inventario de todos los certificados: sitio web, tienda en línea, servidor de la aplicación móvil, correo electrónico, paneles de administración y cada subdominio. Anote el emisor, la fecha de caducidad y la persona responsable de cada uno.
  2. Automatice la renovación: con un cliente de renovación en el servidor, o con certificados que su proveedor de nube o su red de distribución de contenidos gestiona y renueva automáticamente. Si su tienda funciona en una plataforma alojada, pregúntele por escrito: ¿renueva el certificado por sí sola y quién hace el seguimiento si la renovación falla?
  3. Vigile la caducidad con una herramienta independiente: no dé por hecho que la automatización funciona. Los servicios de monitorización le avisan días antes del vencimiento, y cuando puso fin a sus correos de aviso, Let's Encrypt recomendó un servicio de monitorización gratuito que cubre hasta 250 certificados.
  4. Revise los scripts antiguos: busque números fijos pensados para un certificado de 90 días y pruebe la renovación contra el entorno de pruebas, que empieza a emitir certificados de 64 días el 14 de octubre.
  5. Nombre al responsable en el contrato: añada a su contrato de alojamiento o mantenimiento una cláusula clara que indique que la renovación y la monitorización de los certificados corresponden al proveedor, con un tiempo de respuesta fijado si un certificado caduca.

Cómo ayuda Origami

En los sitios web y las aplicaciones que desarrollamos en Origami, la renovación de los certificados está automatizada desde el primer día, y una monitorización independiente nos avisa antes de que algo caduque, así que nada depende de la memoria de nadie. Si ya tiene un sitio web o un sistema, hacemos el inventario de sus certificados y los pasamos a renovación automática como parte del servicio de mantenimiento posterior al lanzamiento que describimos en nuestro artículo sobre mantenimiento y soporte después del lanzamiento. Consulte también los fundamentos de ciberseguridad para pequeñas y medianas empresas.

Fuentes