El Reloj Corre: Los Certificados SSL con Vida Más Corta Ya Están Aquí

Let's Encrypt acaba de soltar una noticia que todo desarrollador, sysadmin y engineer de DevOps necesita grabar en la cabeza. A partir del 10 de febrero de 2027, esta autoridad certificadora querida por todos emitirá certificados con una validez de 64 días por defecto. Sí, leíste bien: menos de los 90 días a los que estábamos acostumbrados.

Pero ojo, esto no es un bombazo. Let's Encrypt lleva tiempo dando señales sobre esta dirección, y si has estado al día con el panorama de seguridad, los certificados con vida más corta eran pan de cada día. El objetivo es claro: reducir el riesgo. Mientras más corto vive un certificado, menos tiempo tiene una clave comprometida o un certificado mal emitido para hacer daño.

¿Qué Cambia Exactamente el 10 de Febrero de 2027?

Vamos con el desglose:

• 10 de febrero de 2027: Todos los certificados nuevos y renovados tendrán un período de validez de 64 días
• 11 de mayo de 2027: El último certificado de 90 días (emitido justo antes del corte) finalmente expirará
• 2028: Esperen otra reducción a 45 días
• 2029: Los períodos de reutilización de autorización se reducirán drásticamente a solo siete horas

¿La buena noticia? Let's Encrypt activará los cambios en su entorno de staging el 14 de octubre de 2026, dándote una ventana decente para probar antes de que todo sea producción. Te recomendamos fuerte que aproveches esto.

¿Estás Listo para Gestionar Tus Certificados?

Aquí es donde las cosas se ponen interesantes. Hablemos de lo que necesitas revisar:

Si Usas Clientes Compatibles con ARI

Si tu configuración de renovación automática depende de un cliente ACME que soporta ACME Renewal Info (ARI), quizás estés en terreno seguro. ARI permite que Let's Encrypt se comunique directamente con tu cliente sobre el momento óptimo para renovar. Es básicamente un enfoque más inteligente y dinámico que no depende de horarios rígidos.

Pero, y aquí viene lo importante, no asumas que todo está bien. Revisa la documentación de tu cliente para confirmar que ARI realmente está implementado y funcionando. Las suposiciones son donde nacen los outages.

Si Tienes Fechas de Renovación Hardcodeadas

Aquí es donde muchos nos la pegamos. Si tu lógica de renovación dice algo como "renovar 30 días antes del vencimiento" o "renovar cada 90 días", necesitas actualizar tu enfoque.

Let's Encrypt recomienda renovar aproximadamente a las dos terceras partes de la vida del certificado. Para certificados de 64 días, eso equivale más o menos a 42-43 días. Pero aquí va un tip profesional: las matemáticas se simplifican si configuras tus renovaciones para que se activen alrededor de los 80 días para certificados de 90 días hoy. Así no tendrás que correr cuando llegue el cambio.

Busca en tus cron jobs, scripts wrapper y runbooks números como 83, 80, 60 o 30. Esos son sinais claros de lógica de renovación hardcodeada que necesita atención.

Reutilización de Autorización: El Cambio Silencioso que Podrías Perderte

Hay otro cambio escondido en el anuncio que merece atención: el período de reutilización de autorización está bajando de 30 días a solo 10.

Para la mayoría de usuarios, esto no requerirá cambios. La reutilización de autorización es una optimización que permite a tu cliente ACME saltarse la revalidación del control del dominio si ya lo hiciste recientemente. A menos que hayas construido tu infraestructura específicamente para depender de este comportamiento, probablemente puedas ignorarlo.

Sin embargo, Let's Encrypt está haciendo este cambio para eliminar la necesidad de "revisión de CAA", un proceso donde la validación tiene que repetirse si los datos originales tienen más de 7 horas. Empezando en 2029, los períodos máximos de reutilización de validación se reducirán a solo siete horas, así que esto es preparar el terreno.

Esta Es Tu Señal para Mejorar tu Gestión de Certificados

Aquí va nuestra opinión: este cambio es en realidad un regalo. No porque las vidas más cortas sean convenientes (básicamente no lo son), sino porque nos obligan a dejar de tratar la gestión de certificados como algo de "configúralo y olvídalo".

Si todavía te conectas por SSH a tus servidores cada 89 días para renovar certificados manualmente, estás jugando con fuego. Los certificados expiran en el peor momento posible: viernes por la tarde, fines de semana largos, madrugada durante un incidente. La automatización elimina toda esa clase de problemas.

Mientras estás en ello, considera agregar:

• Alertas para fallos de renovación: Notifícate antes de que expire un certificado, no después
• Despliegue automatizado: Vincula la renovación de certificados directamente con el proceso de recarga de tu servicio
• Health checks: Monitorea las fechas de expiración de certificados en toda tu infraestructura

La Línea Final

Let's Encrypt no está cambiando nada sobre límites de tasa, endpoints ACME o cadenas de emisión. Esto es puramente un ajuste de vida útil con beneficios de seguridad que van alineados con el empuje general de la industria hacia períodos de validez más cortos.

La transición debería ser suave para cualquiera que ya tenga flujos de trabajo de renovación automatizada. ¿Para el resto de nosotros? Considera esto tu empujoncito (o no tan gentil) para finalmente implementar automatización correcta de certificados.

El entorno de staging abre en octubre de 2026. Ese es tu campo de pruebas. Úsalo.

¿Preguntas sobre SSL, automatización de certificados o preparar tu infraestructura para estos cambios? Nuestro equipo está feliz de ayudarte a auditar tu configuración actual y asegurar que estés preparado para la transición.

Mantente seguro por ahí. Tus usuarios (y tu rotación de guardia) te lo agradecerán.