Certificados de 200, 100 y 47 días. Qué cambia para tu web

Hasta marzo de 2026, un certificado SSL podía durar 398 días: renovabas una vez al año y te olvidabas. Eso se acabó. Los navegadores y las autoridades que emiten certificados votaron acortarlos en tres pasos, y el primero ya está en vigor.

Si todo lo tuyo se renueva solo, quizá no notes nada. Si algún certificado se instala a mano, este artículo es para ti.

El calendario

Lo decidió el CA/Browser Forum, el grupo donde se ponen de acuerdo los navegadores y las autoridades de certificación, con la votación SC-081v3 de abril de 2025. Cada fecha vale para los certificados emitidos a partir de ese día:

La última columna importa más de lo que parece. Para emitir un certificado, la autoridad tiene que comprobar que el dominio es tuyo. Hoy esa comprobación vale 200 días; en 2029 valdrá 10. O sea: casi cada renovación exigirá volver a demostrar que el dominio es tuyo.

Un certificado emitido antes de cada fecha conserva su duración. No hay que cambiar nada el mismo día, pero el siguiente que emitas ya entra en la regla nueva.

Let's Encrypt va por su cuenta, y más rápido

Let's Encrypt, que emite gratis los certificados de buena parte de la web, ya daba certificados de 90 días. Ahora va a acortarlos también:

• 13 de mayo de 2026: un perfil opcional empezó a dar certificados de 45 días a quien los pida.
• 10 de febrero de 2027: el perfil normal pasa a 64 días.
• 16 de febrero de 2028: el perfil normal pasa a 45 días.

Y hay otro cambio que pasó casi sin ruido: desde el 4 de junio de 2025, Let's Encrypt ya no manda correos avisando de que un certificado va a vencer. Si contabas con ese correo como red de seguridad, ya no existe. Ellos mismos recomiendan usar un servicio de vigilancia externo.

Lo que se va a romper

Con un certificado al año, un fallo de renovación podía pasar una vez al año. Con certificados de 47 días son, como mínimo, ocho renovaciones al año: ocho ocasiones de fallar. Esto es lo que suele fallar:

• Certificados de pago instalados a mano en el panel del hosting. Con 47 días, renovar a mano deja de ser una tarea anual y pasa a ser casi mensual.
• El certificado se renueva, pero el servidor sigue sirviendo el viejo. El archivo nuevo está en el disco, pero nadie reinició el servidor web y sigue entregando el anterior. Pasa más de lo que parece.
• Copias en otro sitio. El certificado se renueva en el servidor, pero hay una copia en el balanceador, en la CDN o en otro servidor que nadie actualiza.
• Tareas programadas con un intervalo fijo, por ejemplo «renovar cada 60 días». Con certificados de 45 días, esa tarea llega tarde siempre.
• Validación por DNS con credenciales caducadas. Si la renovación tiene que crear un registro DNS y la clave de la API del proveedor de DNS ya no vale, falla en silencio.

Cómo prepararte

1. Automatiza la renovación con ACME (el protocolo que usan Let's Encrypt y cada vez más autoridades de pago). Si tu cliente ACME lo admite, usa ARI: el servidor le dice cuándo conviene renovar.
2. Si no puedes usar ARI, renueva a dos tercios de la vida del certificado, no en una fecha fija. Es lo que recomienda Let's Encrypt.
3. Vigila el certificado que se sirve de verdad, desde fuera, y no el archivo del disco. El que importa es el que recibe el visitante.
4. Ajusta el aviso a la duración nueva. Con certificados de 47 días, avisar «a 30 días» saltaría casi justo después de cada renovación. Lo útil es saber que la renovación no llegó a tiempo.

En MonitoraWeb miramos el certificado que entrega tu web, desde fuera, y los días de aviso se eligen en cada monitor: 1, 2, 3, 7, 14, 30 o 60. Para un certificado de Let's Encrypt de 90 días, 14 días de margen sobra. Para uno de 47 días, con 7 o menos vas bien.

Fuentes

• CA/Browser Forum, votación SC-081v3: cabforum.org
• Let's Encrypt, de 90 a 45 días: isrg.org
• Let's Encrypt, fin de los correos de vencimiento: letsencrypt.org y aviso de cierre