Certificados de 45 días de Let's Encrypt: cronograma y cómo prepararse

Introducción#

Let's Encrypt está reduciendo la vida útil de sus certificados de 90 a 45 días. El cambio se implementará por fases entre 2026 y 2028, y no es solo una decisión de Let's Encrypt: el CA/Browser Forum ya ha votado limitar todos los certificados TLS de confianza pública a 47 días para marzo de 2029. Para los equipos que gestionan cientos o miles de dominios, la renovación deja de ser una tarea periódica y pasa a ser algo que debe ejecutarse por sí solo.

Si tu equipo todavía gestiona las renovaciones SSL de forma manual, está a punto de sentir la presión. Lo que antes eran cuatro ciclos de renovación al año pasa a ser ocho. Lo que era una tarea trimestral manejable se convierte en una carga operativa continua. El plazo ya está en marcha, y los equipos de infraestructura que se preparen ahora navegarán la transición sin problemas. Los que no lo hagan se enfrentarán a un mayor riesgo de interrupciones y a una sobrecarga operativa creciente.

Esta guía cubre las fechas exactas, qué cambia en las renovaciones, cómo se compara la automatización ACME con la gestión manual de certificados y una lista de verificación para redirecciones y dominios aparcados, que son los certificados que con más frecuencia se olvidan.

El anuncio: Let's Encrypt pasa de certificados de 90 días a 45 días#

En diciembre de 2025, Let's Encrypt anunció que acortará la vida útil de los certificados de 90 días a 45 días en varias etapas, y reducirá durante cuánto tiempo puede reutilizarse una validación (autorización) de dominio. Los cambios se aplican a los certificados emitidos recientemente, por lo que verás la vida útil más corta en tu siguiente renovación después de cada fecha.

Let's Encrypt ha emitido certificados de 90 días desde su lanzamiento, en una época en la que la mayoría de los certificados comerciales duraban un año o más. Las vidas útiles cortas estaban pensadas para empujar a todos hacia la automatización. El paso a 45 días continúa con ese objetivo y coincide con el calendario de toda la industria que se muestra a continuación.

El impacto práctico es sencillo: cada dominio protegido por Let's Encrypt necesitará renovar el certificado con el doble de frecuencia. Para las organizaciones que ya han automatizado su proceso de renovación, la transición puede ser fluida. Para los equipos que dependen de procesos manuales o flujos de trabajo semiautomatizados, el impacto operativo será significativo.

Por qué está ocurriendo: práctica recomendada de seguridad — limitar la ventana de compromiso#

Una vida útil más corta de los certificados es, en esencia, una mejora de seguridad. Cada certificado TLS representa un posible vector de ataque. Si la clave privada de un certificado se ve comprometida, un atacante puede suplantar al dominio legítimo hasta que el certificado expire o sea revocado. Cuanto mayor es la vida útil del certificado, más tiempo permanece abierta esa ventana de compromiso.

Los certificados de cuarenta y cinco días reducen esa ventana a la mitad en comparación con el estándar actual de 90 días. Si una clave se ve comprometida el primer día, la exposición máxima es de 45 días en lugar de 90. En la práctica, la exposición suele ser más corta, pero el límite importa, especialmente para las organizaciones que pueden no detectar un compromiso de inmediato.

También existe el argumento de la revocación. La revocación de certificados mediante CRL y OCSP ha sido históricamente poco fiable. Los navegadores no siempre comprueban el estado de revocación de forma coherente, y a veces los certificados revocados siguen siendo de confianza. Los periodos de validez más cortos reducen la dependencia de la infraestructura de revocación. Si un certificado solo dura 45 días, revocarlo se vuelve menos crítico: de todos modos expirará pronto.

La comunidad de seguridad lleva mucho tiempo abogando por vidas útiles más cortas para los certificados. La medida de Let's Encrypt hace operativo lo que los investigadores de seguridad han estado recomendando durante años.

No es solo Let's Encrypt: la regla de 47 días del CA/Browser Forum#

En 2025, el CA/Browser Forum, el organismo de autoridades de certificación y fabricantes de navegadores que establece las reglas para los certificados TLS públicos, adoptó la propuesta SC-081v3. Reduce en tres चरणes la vida máxima de todos los certificados de confianza pública, de cualquier CA, incluidas DigiCert, Sectigo y GlobalSign, y acorta el tiempo durante el cual puede reutilizarse la validación de dominio:

Así que, si compras hoy certificados comerciales de un año, ya están limitados a 200 días, y seguirán el mismo camino hasta 47. Los periodos de validez cortos son ahora la norma para toda la web, no una rareza de una sola CA gratuita.

Cronología de Let's Encrypt: las fechas que importan#

Cada cambio llega al entorno de pruebas de Let's Encrypt aproximadamente un mes antes que a producción, así que primero puedes probar tu configuración allí.

La reutilización de autorizaciones durante 7 horas es el cambio que suele tomar a la gente por sorpresa. Hoy, un dominio validado una vez puede volver a emitirse durante semanas sin validarse de nuevo. A partir de 2028, casi todas las renovaciones necesitarán una validación nueva, así que el registro DNS o el desafío HTTP deberán seguir funcionando en el momento de la renovación, no solo el día en que configuraste el dominio.

Let's Encrypt también ofrece un perfil de corta duración con certificados de 6 días para equipos que quieren ir más allá.

El plazo práctico es tu calendario de renovación. Let's Encrypt dice que un intervalo fijo de renovación de 60 días ya no es suficiente. Usa ACME Renewal Information (ARI) si tu cliente lo admite, ya que permite que la CA te indique cuándo renovar; si no, renueva aproximadamente a los dos tercios de la vida útil del certificado.

Qué significan realmente 45 días: 8 ciclos de renovación por año frente a los 4 actuales#

La matemática es simple, pero el impacto operativo no lo es. Pasar de certificados de 90 días a 45 días significa:

La frecuencia de renovación se duplica. En lugar de cuatro ciclos de renovación al año por dominio, gestionas ocho. Para un equipo que administra 100 dominios, eso supone 800 eventos de renovación al año en lugar de 400. Para equipos que gestionan miles de dominios, las cifras se vuelven inmanejables sin automatización completa.

Las ventanas de renovación se reducen. Con certificados de 90 días, renovar 30 días antes de la expiración deja un margen cómodo. Con certificados de 45 días, renovar a dos tercios de la vida útil deja unos 15 días para detectar y corregir un fallo.

La tolerancia a fallos disminuye. Con certificados de 90 días, un fallo en la renovación te da semanas para investigar y resolver antes del vencimiento. Con certificados de 45 días, tienes días. Cada fallo de renovación es más urgente, y tu monitorización debe ser más reactiva.

La limitación de tasa se convierte en una preocupación. Let's Encrypt aplica límites de tasa en la emisión de certificados. Duplicar la frecuencia de renovación significa consumir el doble del presupuesto de límite de tasa. Los equipos que están cerca de sus límites con certificados de 90 días pueden alcanzarlos con certificados de 45 días y necesitar ajustar sus patrones de emisión.

En resumen: los procesos de renovación manuales o semiautomatizados que apenas funcionaban con 90 días fallarán con 45 días. La automatización completa ya no es opcional.

A quién afecta más: equipos que gestionan más de 100 dominios con procesos SSL manuales#

La era de los certificados de 45 días no afecta a todo el mundo por igual. Aquí está quién siente el mayor impacto:

Inversores en dominios y gestores de carteras. Los equipos que administran cientos o miles de dominios aparcados, redirigidos o monetizados afrontan la mayor carga operativa. Cada dominio necesita su propio certificado. La renovación manual a esta escala ya era dolorosa con 90 días. Con 45 días, no es viable.

Agencias que gestionan dominios de clientes. Las agencias digitales suelen gestionar SSL para docenas o cientos de dominios de clientes. Cada cliente puede usar una infraestructura distinta, procesos de renovación distintos y distintos niveles de automatización. El plazo de 45 días amplifica cada inconsistencia en sus flujos de renovación.

Plataformas de comercio electrónico con múltiples escaparates. Las operaciones de comercio electrónico de múltiples marcas ejecutan dominios separados para cada marca, cada región y cada campaña. El número de certificados se multiplica rápidamente, y también la carga de renovación.

Plataformas SaaS con dominios personalizados. Los productos SaaS que permiten a los clientes traer sus propios dominios suelen gestionar el aprovisionamiento de SSL como parte de la incorporación. Con certificados de 45 días, la infraestructura de renovación tiene que ser a prueba de fallos: un fallo de renovación para el dominio de un cliente significa que su sitio muestra una advertencia de seguridad.

Los equipos con renovación completamente automatizada basada en ACME pueden no notar el cambio en absoluto. La duración del certificado queda abstraída por una infraestructura que renueva automáticamente. La línea divisoria es la automatización: si tu proceso de renovación implica que una persona revise un panel o ejecute un script, estás del lado equivocado.

La brecha de preparación empresarial#

Bastantes equipos automatizaron los certificados hace años y nunca volvieron a revisarlo. Las carencias aparecen en los mismos sitios:

certificados registrados en una hoja de cálculo en lugar de supervisados, scripts de renovación que alguien tiene que activar, alertas de expiración que llegan a una bandeja de entrada que nadie lee, y dominios que solo redirigen, así que nadie piensa en ellos como si tuvieran un certificado en absoluto.

La brecha de preparación es mayor en las organizaciones que adoptaron Let's Encrypt pronto pero nunca automatizaron por completo su flujo de renovación. Configuraron Certbot en unos pocos servidores hace cinco años, añadieron una tarea cron y no han revisado la configuración desde entonces. Esas tareas cron pueden ejecutarse cada 60 días, lo que no será suficiente para certificados de 45 días.

Audite ahora, mientras todavía tiene certificados de 90 días como margen de seguridad: enumere todos los certificados, confirme que cada uno se renueva automáticamente y pruebe qué sucede cuando falla una renovación.

ACME frente a la gestión manual de certificados#

Lista de verificación para redirecciones y dominios aparcados#

Los dominios que solo redirigen son fáciles de olvidar, pero un visitante que escriba https:// también necesita un certificado válido antes de que pueda producirse la redirección. Antes de las fechas de 2027 y 2028:

1. Enumera todos los dominios que redirigen, incluidos marcas antiguas, dominios con errores tipográficos y dominios de campañas, así como tanto el dominio raíz como www.
2. Para cada uno, anota quién emite su certificado y cómo se renueva. "La redirección del registrador" a menudo significa que no hay HTTPS en absoluto.
3. Comprueba que cada cliente ACME admita ARI o renueve a los dos tercios de la vida útil, no con un cron fijo de 60 días.
4. Asegúrate de que la validación siga funcionando en el momento de la renovación: que el DNS siga apuntando al lugar donde se responde el desafío HTTP, o que las credenciales del desafío DNS sigan funcionando.
5. Configura la supervisión de vencimientos para que alerte a un canal compartido, no a la bandeja de entrada de una sola persona.
6. Prueba en el entorno de pruebas de Let’s Encrypt antes de cada cambio en producción.

O elimina por completo los dominios de redirección de tu lista moviéndolos a una plataforma de redirección que emita y renueve HTTPS para cada dominio que обслужa.

Conclusión#

Se acerca la era de los certificados de 45 días, y no es solo un cambio de política de Let’s Encrypt: es una transición a nivel de toda la industria hacia vidas útiles de certificados más cortas, impulsada por las mejores prácticas de seguridad. Para los equipos empresariales, la línea divisoria entre quienes sentirán el impacto y quienes no es simple: la automatización.

Si tu proceso de renovación de SSL está totalmente automatizado mediante ACME —si los certificados se renuevan, instalan y verifican sin intervención humana—, quizá no notes el cambio más allá de actualizar un parámetro de configuración. Si tu proceso de renovación implica pasos manuales, hojas de cálculo o scripts activados por personas, el plazo de 45 días pondrá en evidencia cada brecha de tu infraestructura.

Los pasos prácticos son sencillos: audita tu inventario de certificados, verifica la cobertura de automatización, prueba escenarios de fallo en la renovación y asegúrate de que la supervisión detecte los vencimientos antes de que los usuarios vean advertencias del navegador. Los equipos que hagan esto ahora —antes de que el plazo se reduzca— afrontarán la transición sin incidentes.

¿Gestionas dominios de redirección? Consulta cómo redirigir un dominio por HTTPS sin errores de certificado.