Los certificados TLS ya duran 200 días. Esto es lo próximo que se rompe.
El 15 de marzo de 2026 entró en vigor el primer paso de la reducción de validez de los certificados de confianza pública acordada por el CA/Browser Forum. El periodo máximo de validez de los certificados TLS de confianza pública emitidos a partir de ahora es de 200 días, frente a los 398 anteriores. 1
Y es solo la primera reducción. El calendario continúa con 100 días desde el 15 de marzo de 2027 y 47 días desde el 15 de marzo de 2029. El mismo calendario acorta también el periodo máximo de reutilización de las validaciones de dominios y direcciones IP, así que habrá que demostrar el control sobre ellos con más frecuencia. En los certificados OV y EV, la reutilización de la información de identidad del sujeto baja de 825 a 398 días con el paso de marzo de 2026. 1
El calendario salió de la votación SC-081 del CA/Browser Forum, propuesta por Apple y desarrollada en el procedimiento del Foro con la participación de grandes miembros del ecosistema, entre ellos Apple, Google, Mozilla y Sectigo. 2
La revocación nunca fue suficiente
Acortar la vida de los certificados es sobre todo una medida de seguridad, no un cambio burocrático. El texto de la votación explica que los mecanismos actuales de estado de certificados, como las CRL y OCSP, tienen límites a escala de internet: privacidad, rendimiento, actualidad y exactitud. Los certificados cortos no sustituyen a la revocación, pero reducen el tiempo que un certificado comprometido o mal emitido puede seguir siendo útil en la internet pública. 2
El impacto operativo es considerable. Pasar de una validez máxima de 398 días a 47 significa unas 8,5 veces más ciclos de renovación posibles en el mismo periodo. Incluso la etapa intermedia de 100 días, en marzo de 2027, es lo bastante corta como para romper cualquier proceso que aún dependa de recordatorios en el calendario, tickets manuales o de que alguien entre al panel después de un aviso de caducidad.
Cuatro cosas que conviene hacer este trimestre
Empieza por el inventario. Muchas organizaciones no tienen una lista exacta de todos los certificados que gestionan, y la automatización no puede renovar un certificado cuya existencia nadie conoce. Los registros de Certificate Transparency son una buena forma de descubrir los certificados públicos emitidos para tus dominios.
Después, automatiza todos los servicios que usen TLS. El ecosistema ACME ha convertido la renovación automática en el estándar, con herramientas como Let's Encrypt, Certbot, acme.sh, lego o la gestión de certificados integrada en Caddy. Elige un método y estandarízalo.
No te olvides de los sistemas que no son webs al uso. Servidores de correo, balanceadores de carga, API internas, plataformas de monitorización, concentradores VPN e interfaces IPMI también dependen de certificados, y suelen recibir menos atención que los servidores web.
Por último, vigila la caducidad desde fuera. No basta con alertar sobre los trabajos de renovación. Una tarea de renovación puede terminar bien mientras falla el despliegue, la validación DNS, una regla del cortafuegos o la recarga del servicio. Comprueba el certificado que reciben de verdad los usuarios de internet.
Las plataformas gestionadas tienen aquí un problema
Automatizar es sencillo cuando controlas el sistema operativo. Se complica cuando la plataforma esconde el proceso de renovación.
Muchos productos de hosting gestionado emiten los certificados desde un panel de control o un sistema del proveedor, con acceso limitado a los hooks de ACME o al despliegue de certificados. Con una ventana de 398 días se podía convivir con eso. Con 100, y con el tiempo 47, el cliente depende cada vez más de que la automatización del proveedor funcione absolutamente siempre.
El acceso root elimina una dependencia grande
Damos acceso root porque el control importa precisamente para este tipo de exigencias operativas.
Nuestros VPS funcionan con virtualización KVM y acceso root completo, y los planes VDS dan el mismo control a mayor escala. Puedes instalar el cliente ACME que prefieras, elegir tu propio calendario de renovación y escribir tus hooks de despliegue para nginx, HAProxy, Postfix o cualquier otro servicio que necesite certificados al día.
Como la máquina virtual la controlas tú, la emisión y la renovación no dependen ni de nuestro panel interno ni de una automatización gestionada por el proveedor. Tu infraestructura, tu automatización, tus certificados.
Eso cubre también montajes más avanzados. Puedes resolver los retos DNS-01 con tu propio proveedor de DNS, mantener un sistema central de automatización para varios servidores o repartir certificados a servicios internos que no están expuestos directamente a internet.
Si tienes servicios en varias ubicaciones —Tirana, Skopie, Ámsterdam o Dublín—, el mismo enfoque de automatización sirve en todas, porque cada servidor sigue siendo un sistema Linux que controlas tú.
Los planes empiezan en 5 €/mes, aceptamos criptomonedas y no pedimos KYC. Despliega uno y monta hoy mismo tu automatización de certificados.
La fecha límite real es marzo de 2027
El 15 de marzo de 2027 es cuando muchas organizaciones notarán el golpe. Una ventana de 100 días es lo bastante corta como para que los procesos manuales trimestrales dejen de caber con holgura en el ciclo de renovación.
Hay tiempo para prepararse. Montar la automatización lleva minutos, frente al lío que provoca un certificado caducado.
Preguntas frecuentes
¿Los certificados SSL están ahora limitados a 200 días?
En el caso de los certificados TLS de confianza pública recién emitidos por autoridades públicas, sí. Los certificados privados y las PKI internas no se rigen por las normas del CA/Browser Forum.
¿Afecta esto a los certificados de Let's Encrypt?
El cambio se aplica a los certificados de confianza pública en general. Servicios como Let's Encrypt ya usan el protocolo ACME, así que quien tenga la renovación automática configurada está en gran medida preparado para validez más corta.
¿Los certificados privados tienen que respetar el límite de 200 días?
No. Las normas del CA/Browser Forum se aplican a los certificados de confianza pública en los que confían navegadores y sistemas operativos. En una PKI privada eliges tú la duración.
¿Qué pasará cuando los certificados duren 47 días?
La automatización pasará a ser prácticamente obligatoria para la mayoría de servicios expuestos a internet. Cuanto más corto es el margen entre emisión y caducidad, más arriesgado resulta renovar a mano.
Fuentes
- TLS Certificate Lifetimes Will Officially Reduce to 47 Days, DigiCert
- Ballot SC-081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods, CA/Browser Forum Server Certificate Working Group