Let’s Encrypt, la autoridad de certificación más utilizada a nivel mundial para asegurar conexiones HTTPS, está preparando un plan audaz para reducir drásticamente la duración de sus certificados digitales. Para el año 2028, la validez máxima de sus certificados estándar se acortará a 45 días, marcando un cambio significativo respecto a los actuales 90 días. Este movimiento no es un experimento aislado, sino parte de un cambio más amplio en la industria, impulsado por el CA/Browser Forum, un organismo que establece normas cruciales entre los navegadores y las autoridades de certificación.
Esta transición, nacida de una propuesta inicial de Apple, ha obtenido el consenso del foro de establecer un límite máximo de 47 días para los certificados públicos, excluyendo los certificados raíz. Let’s Encrypt se está alineando con estos nuevos estándares, ajustando también algunas de sus políticas internas para una implementación fluida.
Para los equipos de operaciones, DevOps y SRE, el mensaje es explícito: los certificados de vida corta son el futuro y la renovación automática dejará de ser opcional. El plan de implementación de este cambio se desarrollará en varias etapas para permitir que todo el ecosistema adapte sus procesos a la nueva normativa. La primera fase, programada para el 13 de mayo de 2026, introducirá un perfil de pruebas opcional que emitirá certificados con 45 días de validez. En febrero de 2027, la validez de los certificados en el perfil clásico será de 64 días antes de alcanzar el objetivo final de 45 días en febrero de 2028.
Además, la ventana de reutilización de autorizaciones de dominio se reducirá significativamente, pasando de 30 días a un mínimo de solo 7 horas para 2028. Esta medida incrementará la seguridad al reducir el tiempo durante el cual una validación de dominio puede reutilizarse para emitir certificados adicionales.
El impulso detrás de esta decisión se centra en mejorar la seguridad en la web. Certificados de corta duración limitan el impacto potencial en caso de que una clave privada sea comprometida, dado que el plazo para explotarla se acorta significativamente. Esto también reduce la dependencia de sistemas de revocación tradicionales, que han sido históricamente lentos y poco fiables.
Para facilitar esta transición, Let’s Encrypt está promoviendo el uso de ACME Renewal Information (ARI), que permite a la autoridad de certificación indicar al cliente cuándo renovar un certificado en lugar de seguir intervalos de tiempo fijos. Esto es crucial bajo los nuevos plazos de 45 días, donde los ciclos tradicionales de renovación carecen de sentido.
Con estas actualizaciones, queda claro que las renovaciones manuales quedarán obsoletas. La frecuencia y complejidad de los procesos hacen que el riesgo de errores humanos sea alto, especialmente con ventanas de validación tan cortas. Let’s Encrypt enfatiza la necesidad de adoptar procesos de emisión y renovación completamente automatizados para evitar interrupciones en el servicio.
El desarrollo de un nuevo método de validación, DNS-PERSIST-01, busca reducir la fricción en la automatización ACME al permitir un control de dominio persistente mediante un registro TXT estable en DNS, sin necesidad de cambios constantes.
A medida que plataformas y operadores adopten estas nuevas prácticas, la capa TLS de la web se volverá más robusta y menos vulnerable a compromisos prolongados. El giro hacia certificados de 45 días por Let’s Encrypt no solo representa un cambio técnico, sino una transformación estructural en cómo se gestiona la confianza y la seguridad en internet.
Más información y referencias en Noticias Cloud.
