Resumen ejecutivo: Los programas raíz de los navegadores están reduciendo la vigencia de los certificados TLS (Transport Layer Security) de 100 días a tan solo 47 días para 2029, y la ventana de validación de dominio que permite su emisión se está acortando igual de rápido. Si añadimos la criptografía post-cuántica a la ecuación, la gestión de certificados deja de ser una tarea trimestral para convertirse en una operación continua. Los procesos manuales de renovación no sobrevivirán este cambio. La emisión automatizada y monitorizada sí lo hará.
Puntos clave:
- La vigencia de los certificados TLS baja a 64 días en 2027 y a 45 días en febrero de 2028, llevando a la mayoría de las organizaciones de cuatro renovaciones al año a unas 12 o 13 por cada certificado.
- Las ventanas de reutilización de la autorización de control de dominio se reducen de los 30 días actuales hasta solo 7 horas, por lo que los flujos de emisión no pueden asumir que las validaciones anteriores siguen siendo válidas.
- Los objetivos de migración a criptografía post-cuántica (PQC) van desde 2029 para Google hasta 2033 para los sistemas de seguridad nacional de EEUU, y afectan tanto a los formatos de los certificados como al intercambio de claves.
- Las brechas en el inventario de certificados, especialmente los privados, internos y de terceros, resultan más peligrosas a medida que disminuye la vigencia, porque los certificados desconocidos caducan antes.
Por qué están reduciéndose las vigencias de los certificados
La vigencia de los certificados TLS que protegen tus sitios web, APIs, servicios internos e integraciones de terceros está a punto de acortarse considerablemente, y con ello también aumentará la frecuencia de renovación.
Los programas raíz de los navegadores están limitando el tiempo durante el cual un certificado es considerado confiable tras su emisión. Matthew McPherrin, líder técnico del equipo de ingenieros de fiabilidad de sitio (SRE) de Let's Encrypt, explicó este cambio en un reciente webinar de Red Sift presentado por Billy McDiarmid, VP de Customer Engineering. Fue claro al respecto: la industria se dirige hacia certificados medidos en semanas, no en meses.
El cronograma publicado es el siguiente:
- Febrero 2027: certificados de 64 días
- Febrero 2028: certificados de 45 días
- Marzo 2029: límite general en la industria de 47 días, según la propuesta SC-081v3 del CA/Browser Forum
La mayoría de las organizaciones actualmente utilizan certificados de 90 días, renovados aproximadamente cuatro veces al año. Con una vigencia de 47 días, esto implica 12 o 13 ciclos de renovación por año para cada certificado. El doble de renovaciones significa el doble de posibilidades de que una renovación fallen sin ser detectada, y con una ventana mucho más estrecha para reaccionar antes de que ocurra una interrupción.
El argumento de seguridad para vigencias más cortas
Las vigencias cortas parecen más trabajo operativo, y de hecho lo son. Pero la lógica de seguridad detrás de este enfoque es sólida.
McPherrin señaló dos beneficios concretos. Un certificado comprometido solo es útil para un atacante mientras siga siendo válido, por lo que acortar la vigencia reduce esa ventana sin importar cuándo se detecte la brecha. Además, la revocación se simplifica. Las listas de revocación de certificados (CRLs) tienden a crecer durante incidentes, y los certificados de corta duración significan menos dependencia de datos de revocación de larga vida.
La revocación en sí suele ser la parte más complicada a nivel operativo. Implica coordinación entre equipos, notificación a clientes y trabajo manual de reemplazo. Las vigencias más cortas reducen el tiempo que dura ese ciclo de respuesta.
La reutilización de validaciones también se está restringiendo
La validación del control de dominio, la prueba de que realmente eres dueño de un dominio antes de que una autoridad certificadora (CA) emita un certificado para él, también tendrá una validez mucho menor.
La mayoría de las CAs permiten actualmente reutilizar una autorización validada hasta por 30 días. Esa ventana bajará a 10 días y eventualmente hasta solo 7 horas.
Si tu proceso de emisión depende de suposiciones de larga duración, un paso manual de aprobación, credenciales que nadie revisa seguido o un proceso de renovación que solo se ejecuta trimestralmente, aquí es donde fallará primero. La automatización debe volver a validar automáticamente cuando expire la reutilización. No puede esperar a que alguien se de cuenta del fallo.
La automatización deja de ser opcional
El consejo que más se repite en la industria: automatiza la emisión y renovación usando protocolos estándar, para que los certificados se reemplacen sin intervención manual.
La automatización también falla a veces. Las credenciales expiran, las APIs se comportan de forma inesperada, los pipelines pueden fallar. La solución no es que alguien revise una hoja de cálculo una vez al trimestre. Se trata de monitorización, lógica de reintentos y visibilidad sobre todo el trayecto de renovación, desde la emisión hasta la recarga.
Esto se traduce en la práctica en:
- Automatizar la emisión y renovación usando ACME (Automated Certificate Management Environment), protocolo que soportan la mayoría de las autoridades certificadoras.
- Monitorizar el éxito de la renovación de forma continua, no solo revisando las fechas de caducidad de los certificados.
- Probar la cadena completa de extremo a extremo: emisión, renovación, distribución y recarga del servicio.
- Evitar flujos de trabajo que dependan de suposiciones con autorizaciones de larga vida.
- Pilotar perfiles de corta duración en entornos de pruebas antes de que los plazos lleguen a producción.
ACME evoluciona para mantenerse al día
ACME ya ayuda a evitar el bloqueo con un solo proveedor, ya que la mayoría de las CAs soportan el mismo protocolo y tus herramientas no necesitan cambiar si cambias de proveedor. Vale la pena prestar atención a algunas extensiones.
Los perfiles ACME permiten a los clientes optar por certificados de menor vigencia antes de la fecha límite obligatoria. Esto da margen a las organizaciones grandes para probar la transición a 45 días antes de que sea obligatorio.
Renewal Info está diseñado para hacer que la revocación del lado de la CA ya no sea una crisis, permitiendo que los clientes aprendan automáticamente el camino de remediación correcto sin tener que investigar qué falló.
Los certificados de corta duración, incluyendo opciones de seis días bajo mecanismos de opt-in, llevan aún más lejos la necesidad de automatización. McPherrin advierte con realismo: esto solo funciona si tu monitorización ya está bien afinada, pues no hay margen para una intervención manual lenta.
También se están desarrollando nuevos métodos de validación para facilitar la adopción de validaciones de dominio basadas en DNS a organizaciones cuya infraestructura no se adapta bien a los tipos actuales de desafío.
La mayoría de las empresas no saben realmente qué certificados tienen
La renovación automatizada no resuelve nada si no sabes qué estás renovando. La visibilidad suele limitarse a los certificados expuestos al público que uno o dos equipos gestionan activamente. Pero la realidad es mucho más amplia:
- Certificados privados e internos
- Certificados en entornos shadow IT
- Certificados de terceros integrados en herramientas SaaS e integraciones
- Certificados en servicios dados de baja que nadie limpió
- Certificados ligados a CDNs u otras plataformas externas
- Desajustes de inventario tras fusiones y adquisiciones
Un inventario de certificados es la lista completa y actual de todos los certificados de tu entorno, incluyendo dónde están instalados, qué CA los emitió, cuándo caducan y qué sistemas los presentan o confían en ellos. Con vigencias más cortas, los certificados desconocidos fallarán antes y el impacto de un olvido crecerá en la misma medida.
La criptografía post-cuántica vuelve a cambiar las reglas
Las vigencias cortas representan el reto inmediato. La criptografía post-cuántica (PQC) es el de largo plazo y afecta a la confianza en los navegadores, los formatos de certificados, los algoritmos de firma de las CAs y los plazos de soporte de dispositivos, todo a la vez.
Los objetivos de migración varían según el sector. Google apunta a 2029. Los sistemas de seguridad nacional de EEUU apuntan a 2030 y 2033. NIST y programas alineados con el gobierno están definiendo los estándares detrás de ambos plazos.
PQC no es un único interruptor a accionar. Las firmas post-cuánticas suelen ser más grandes que las actuales, y firmas más grandes implican un mayor consumo de ancho de banda y conexiones TLS más lentas a gran escala. Una solución propuesta, los Merkle Tree Certificates, agrupa los datos de validación de firmas y los distribuye a los navegadores por fuera de la negociación TLS, en vez de adjuntar una firma completa a cada conexión. Pero solo será útil cuando navegadores y clientes lo soporten.
Las mejoras al intercambio de claves pueden hacerse ahora
La migración a PQC no sólo implica certificados. El intercambio de claves, la parte de TLS que negocia el secreto compartido de cada sesión, es igual de importante debido a un modelo de amenaza conocido como "captura ahora, descifra después": un atacante graba tráfico cifrado hoy y espera a que la computación cuántica pueda descifrarlo en el futuro.
El consejo de McPherrin aquí es más fácil de implementar que el de los certificados: usa TLS 1.3 y activa el intercambio de claves híbrido post-cuántico allí donde tu infraestructura lo soporte. Esto conlleva menos riesgo que hacer una migración completa de certificados, ya que es más probable que sea compatible hacia atrás y no requiere cambiar el formato de los certificados.
Los dispositivos IoT necesitan su propio plan
Los dispositivos con recursos limitados no encajan bien en un plan estándar de PKI web (infraestructura de clave pública). Límites de batería, bajo ancho de banda y mecanismos de actualización limitados hacen que las implementaciones IoT acaben normalmente con mayor diversidad de algoritmos que servidores y navegadores. Algunos dispositivos podrán utilizar enfoques basados en Merkle tree. Otros necesitarán estrategias de firmas distintas con diferentes compromisos de ancho de banda. Sea como sea, comprueba la compatibilidad con el ciclo de vida de los dispositivos antes de asumir que tu estrategia web sirve para IoT.
Secuencia el trabajo, no lo hagas todo de una vez
Intentar solucionar al mismo tiempo la vigencia de los certificados, la automatización con ACME, las brechas en el inventario y la preparación para PQC es una receta segura para un tiempo de inactividad no planificado. Divide el trabajo en partes que puedas probar con seguridad:
- Pilota perfiles de corta duración en un entorno de pruebas.
- Refuerza la monitorización de renovaciones y el flujo de despliegue y recarga asociado.
- Crea un inventario de certificados completo, incluyendo los internos y los de terceros que la mayoría de los equipos suele pasar por alto.
- Activa TLS 1.3 y el intercambio de claves híbrido post-cuántico allí donde sea posible.
- Planifica la preparación de certificados PQC teniendo en cuenta plazos realistas de soporte en navegadores y dispositivos, no solo la fecha más próxima posible.
Qué hacer este trimestre
La gestión de certificados pasa de ser algo a revisar cada trimestre a convertirse en una operación continua. Como señaló McPherrin, la Web PKI tendrá cada vez menos paciencia con quienes sigan haciendo esto de forma manual.
Saber cuáles son realmente tus certificados, automatizar su renovación y vigilar todo el proceso te permitirá detectar a tiempo cualquier error antes de que ocurra una caída de servicio.
Si aún llevas el control en una hoja de cálculo, Red Sift's Certificate Essentials proporciona visibilidad total y monitorización en tiempo real para que no se escape nada. Cubre revisión de DNS, seguridad TLS y seguimiento especializado para PQC, dejando margen para futuras adaptaciones. Para comenzar con la automatización ACME, la guía de inicio de Let's Encrypt es una excelente forma de empezar a probar.
También puedes ver el webinar completo bajo demanda para el apartado de preguntas y respuestas, incluidos los desafíos con IoT y cómo funcionarán los certificados post-cuánticos a través de ACME.