Por qué falla la renovación automática del certificado SSL

Cuando la renovación automática SSL falla, casi nunca avisa. El certificado sigue funcionando hasta el último día y, de repente, el navegador muestra «La conexión no es privada» y los visitantes se van. La renovación «automática» lo era hasta que algo cambió alrededor y nadie volvió a mirar.

Aquí van las causas que más se repiten, cómo encontrar la tuya y cómo enterarte con margen.

Por qué importa más que antes

Los certificados duran cada vez menos. Desde el 15 de marzo de 2026, el máximo es de 200 días; en 2027 bajará a 100 y en 2029 a 47, como contamos en certificados SSL de 200, 100 y 47 días. Los de Let's Encrypt ya duran 90 días. Más renovaciones al año son más ocasiones de que una falle.

Y hay un aviso menos: Let's Encrypt dejó de mandar correos de caducidad en junio de 2025. Si contabas con ese correo como red de seguridad, ya no está.

Las causas más comunes

• La validación no llega al servidor. Para renovar, la autoridad comprueba que controlas el dominio, normalmente pidiendo un archivo en /.well-known/acme-challenge/. Una redirección mal puesta, una regla del cortafuegos, un plugin de seguridad o la CDN pueden bloquear esa ruta.
• El dominio ya no apunta a ese servidor. Si cambiaste el DNS a otro hosting o a una CDN, el servidor viejo intenta renovar un dominio que ya no le llega. El nuevo, a veces, nunca emitió el suyo.
• Caducó la credencial de DNS. Si la validación es por DNS, la herramienta usa una clave de la API de tu proveedor de DNS. Si esa clave se revocó o cambió, la renovación falla.
• La tarea de renovación no corre. El temporizador de systemd o el cron de certbot se perdió en una migración o se desactivó.
• Se renovó, pero el servidor no lo usa. El certificado nuevo está en el disco, pero el servidor web no se recargó y sigue sirviendo el viejo.
• Hay más de un servidor. Detrás de un balanceador, uno se renovó y otro no.
• Un registro CAA no autoriza a esa autoridad. Si tu DNS tiene un CAA que solo permite a otra autoridad, la renovación se rechaza.
• El certificado no cubre todos los nombres. Se renovó para tudominio.com pero no para www.tudominio.com, o al revés.

Cómo diagnosticarlo paso a paso

1. Mira el certificado que se sirve de verdad. La herramienta SSL te dice la fecha de vencimiento, quién lo emitió y para qué nombres sirve. Si la fecha es vieja, la renovación no llegó al servidor que contesta.
2. Comprueba a dónde apunta el dominio con la herramienta DNS. Si apunta a otro servidor, ese es el que tiene que renovar.
3. Prueba la renovación en seco. Con certbot, certbot renew --dry-run simula la renovación sin cambiar nada y muestra el error.
4. Revisa el registro de la herramienta. Con certbot suele estar en /var/log/letsencrypt/. En un panel de hosting, busca el apartado de SSL o AutoSSL y su historial.
5. Comprueba que la tarea esté programada. systemctl list-timers muestra si el temporizador de certbot existe y cuándo corrió por última vez.
6. Revisa los registros CAA del dominio, también con la herramienta DNS.

Qué hacer según la causa

• Ruta de validación bloqueada: permite el acceso a /.well-known/acme-challenge/ sin redirecciones ni bloqueos.
• DNS cambiado: renueva en el servidor al que ahora apunta el dominio y retira la tarea del viejo.
• Credencial de DNS caducada: genera una nueva y actualízala en la configuración de la herramienta.
• Servidor sin recargar: añade la recarga del servidor web al final de la renovación (certbot tiene opciones para ejecutar una orden tras renovar).
• Varios servidores: centraliza la emisión o comprueba el certificado de cada uno.

Cómo enterarte antes de que caduque

La renovación automática está bien; lo que falta es alguien que compruebe que funcionó. Un monitor que lea el certificado que entrega tu web y cuente los días restantes te avisa cuando la fecha se acerca y no se movió.

En MonitoraWeb, en cada monitor eliges con cuánta antelación quieres el aviso del certificado: 1, 2, 3, 7, 14, 30 o 60 días antes. Las listas de correo y de WhatsApp lo reciben cuando faltan 3 días o el certificado ya venció. Si la renovación funciona, la fecha se mueve sola y no recibes nada.

Un límite a tener en cuenta: leemos el certificado desde un solo punto, el que nos entrega el servidor que nos contesta. Si tienes varios servidores con certificados distintos, vemos el de uno. Todo esto, en detalle, en monitoreo de vencimiento SSL.

Preguntas frecuentes

Si mi hosting renueva solo, ¿necesito vigilarlo?

Conviene. La renovación automática falla por cambios de DNS, cortafuegos o tareas perdidas, y no suele avisar. Vigilar la fecha es la forma de saber que funcionó.

¿Cómo sé si mi certificado se renovó?

Mira la fecha de vencimiento del certificado que entrega tu web, no la del archivo en el servidor. Si la fecha avanzó, se renovó y se está usando.

El certificado nuevo está en el servidor pero la web muestra el viejo, ¿por qué?

Porque el servidor web no se recargó tras la renovación, o porque otro servidor o la CDN siguen entregando el anterior.

¿Let's Encrypt me avisa antes de que caduque?

Ya no. Dejó de enviar correos de caducidad en junio de 2025, así que hace falta otra forma de vigilarlo.

¿Con cuánta antelación debería recibir el aviso?

Con la suficiente para arreglar la renovación con calma. Con certificados de 90 días o menos, entre 7 y 14 días suele ser un buen margen.

Fuentes

• CA/Browser Forum, votación SC-081 sobre la duración de los certificados: cabforum.org
• Let's Encrypt, fin de los correos de caducidad: letsencrypt.org
• Documentación de certbot: eff-certbot.readthedocs.io