Desde el 15 de marzo de 2026, un certificado SSL/TLS de confianza pública puede tener una validez máxima de 200 días. El límite baja a 100 días el 15 de marzo de 2027 y a 47 días el 15 de marzo de 2029. Si hoy renuevas algún certificado a mano, en 2029 tendrás que hacerlo al menos ocho veces al año. La respuesta es automatizar la renovación ya y monitorizar que la automatización siga funcionando.
El calendario viene del CA/Browser Forum, el grupo de autoridades de certificación y fabricantes de navegadores que redacta las reglas que sigue todo certificado público. Esta guía explica el calendario, el cambio menos comentado en la validación de dominio y qué hacer antes de cada fecha límite.
El calendario
La votación SC-081v3, aprobada en abril de 2025, modificó los Baseline Requirements del Forum en tres pasos. Bajan dos límites a la vez: cuánto tiempo puede ser válido un certificado y durante cuánto tiempo una autoridad de certificación puede reutilizar una comprobación anterior de que controlas el dominio.
Certificado emitidoValidez máximaValidación de dominio reutilizable duranteAntes del 15 de marzo de 2026398 días398 díasDesde el 15 de marzo de 2026200 días200 díasDesde el 15 de marzo de 2027100 días100 díasDesde el 15 de marzo de 202947 días10 días
La página de la votación tiene el resultado y el texto completo. Los límites se aplican en el momento de la emisión. Un certificado emitido antes de una fecha límite sigue siendo válido hasta su propia fecha de caducidad, así que nada de lo que tienes hoy deja de funcionar el 15 de marzo. Simplemente no se podrá sustituir por otro que dure lo mismo.
Qué significa reutilizar la validación de dominio
Antes de emitir un certificado, la autoridad de certificación comprueba que controlas el dominio, por ejemplo pidiéndote que publiques un registro DNS o que sirvas un archivo por HTTP. Hasta ahora podía reutilizar esa comprobación durante más de un año. A partir de marzo de 2029, el periodo de reutilización es de 10 días, así que casi todas las renovaciones necesitarán una comprobación nueva. Una renovación que antes funcionaba gracias a una validación recordada dependerá ahora de que tu DNS y tu servidor web respondan correctamente cada vez.
Por qué se acorta la validez
La información de un certificado se queda obsoleta. Los dominios se venden, las empresas cambian de hosting, las claves se filtran. Una validez más corta limita el tiempo durante el que se puede usar un certificado desactualizado o comprometido.
La revocación no es fiable. Los navegadores no siempre pueden comprobar si un certificado ha sido revocado. La caducidad es la red de seguridad que siempre funciona, y si es más corta, actúa antes.
Obliga a automatizar. La renovación manual anual es justo el proceso que falla: la persona que se encargaba se fue, el recordatorio llegó a un buzón antiguo. Cuando la renovación es frecuente, tiene que estar automatizada, y los procesos automatizados pueden cambiar de algoritmo o de autoridad rápidamente cuando hace falta.
Let’s Encrypt va más allá
Los certificados de Let’s Encrypt ya duran 90 días, muy por debajo de todos los límites anteriores. En Decreasing Certificate Lifetimes to 45 Days anunció su propio calendario:
13 de mayo de 2026: el perfil opcional tlsserver emite certificados de 45 días.
10 de febrero de 2027: el perfil por defecto classic pasa a certificados de 64 días, y las validaciones se reutilizan durante 10 días en lugar de 30.
16 de febrero de 2028: el perfil por defecto pasa a certificados de 45 días, con validaciones reutilizables durante solo 7 horas.
Let’s Encrypt también dejó de enviar emails de aviso de caducidad en 2025. Si dependías de ellos para enterarte de una renovación fallida, nada los sustituye a menos que lo configures tú.
Checklist para prepararte
1. Localiza todos tus certificados
La web es lo fácil. Incluye también los endpoints de API, los paneles de administración, los entornos de staging, los servidores de correo, los balanceadores de carga, los certificados del edge de la CDN y los subdominios de campañas antiguas. Los registros de Certificate Transparency guardan todos los certificados públicos, así que buscar tu dominio en ellos (por ejemplo en crt.sh) muestra certificados que nadie recuerda haber pedido. El comprobador SSL muestra la fecha de caducidad, el emisor, los nombres y la cadena de cualquier host.
2. Automatiza la renovación con ACME
ACME es el protocolo estándar para solicitar y renovar certificados sin intervención humana (RFC 8555). Lo hablan Certbot, acme.sh y Caddy, igual que la mayoría de los paneles de hosting, balanceadores de carga y CDN. Muchas autoridades comerciales también lo admiten, así que los certificados de pago también se pueden automatizar. Renueva con bastante antelación, cuando quede aproximadamente un tercio de la validez, para que un intento fallido tenga tiempo de reintentarse.
3. Haz que la validación funcione siempre
Con un periodo de reutilización de 10 días, cada renovación necesita una validación superada. Revisa el método que usas:
La validación HTTP necesita el puerto 80 abierto y /.well-known/acme-challenge/ accesible, sin una redirección a una página de inicio de sesión ni una regla de firewall de por medio.
La validación DNS necesita acceso a la API de tu proveedor de DNS y credenciales que no caduquen sin avisar.
Los registros CAA, si los publicas, deben nombrar a la autoridad que usas. Un registro CAA que quedó de un proveedor anterior bloquea la emisión. Consúltalos con la herramienta de consulta DNS.
Un registro DNS modificado es uno de los motivos más habituales por los que una renovación que funcionaba desde hace años falla de repente. La monitorización DNS te avisa cuando cambia alguno.
4. Despliega lo que renuevas
Un certificado renovado en el disco no sirve de nada hasta que el servidor lo carga. Asegúrate de que tu cliente recarga el servidor web tras la renovación y de que todos los servidores detrás de un balanceador de carga reciben el certificado nuevo, no solo aquel en el que se ejecutó la renovación. Los appliances y servicios en los que hay que subir el certificado a mano son donde más duele una validez corta; averigua ya si pueden obtener uno automáticamente.
5. Replantéate los certificados comprados a mano
Un certificado vendido como producto de un año ya no se puede emitir para un año. Desde marzo de 2026 hay que volver a emitirlo al menos una vez durante el periodo contratado, y a partir de 2029, aproximadamente cada seis semanas. Si necesitas un certificado con validación de organización, pregunta a tu autoridad cómo admite ACME antes del paso a 100 días de 2027.
6. Monitoriza el certificado que se sirve realmente
La automatización falla en silencio: un token de la API de DNS caducado, una migración de servidor que se saltó el temporizador de renovación, una recarga que nunca ocurrió. La única prueba fiable es mirar el certificado que reciben los visitantes, desde fuera y de forma periódica. Nuestra guía sobre la monitorización de la caducidad de certificados SSL entra en detalle, y los errores de certificado SSL explicados muestra lo que ven los visitantes cuando algo sale mal.
Qué supone cada fecha límite en la práctica
Ahora, con 200 días: cada certificado se sustituye al menos dos veces al año. Un proceso manual todavía funciona, pero es el momento de hacer el inventario y automatizar, mientras una renovación olvidada aún es poco frecuente.
Desde el 15 de marzo de 2027, con 100 días: al menos cuatro sustituciones al año. Un certificado subido a mano a un appliance o a un panel de hosting se convierte en una tarea trimestral que alguien olvidará.
Desde el 15 de marzo de 2029, con 47 días: al menos ocho sustituciones al año, cada una con una validación de dominio nueva. Todo lo manual fallará tarde o temprano, y también la automatización cuyas credenciales de DNS, reglas de firewall o paso de recarga nadie haya probado.
El trabajo es el mismo en cada paso: menos certificados manuales, una renovación que valida y despliega por sí sola, y una comprobación externa que te avise cuando no lo haya hecho.
Cómo vigila Uptimecheck tus certificados
Cada monitor HTTPS de Uptimecheck lee el certificado en cada comprobación, así que no hay que configurar un monitor SSL aparte.
Los recordatorios llegan a los canales de alerta del monitor 30, 14, 7 y 1 día antes de que caduque el certificado, y el mismo día.
Los días restantes se ponen en ámbar por debajo de 30 y en rojo por debajo de 14, y los certificados que caducan en 14 días o menos aparecen en Needs attention en la vista general.
Un certificado caducado, autofirmado o que no coincide hace fallar la comprobación, así que abre un incidente como cualquier otra caída. Si falta un certificado intermedio, aparece como Incomplete chain.
Ajusta los recordatorios al momento de tus renovaciones. Si tu cliente renueva cuando quedan más de 30 días, cualquier recordatorio significa que una renovación ha fallado. Si renueva más tarde, como ocurrirá con los certificados de 47 días, el recordatorio de 30 días llega antes de cada renovación, y el primer recordatorio posterior al punto de renovación de tu cliente es el que exige actuar. Consulta cómo monitorizar la caducidad de los certificados SSL.
El registro del dominio tiene su propia fecha de caducidad, y ningún certificado sirve de nada si vence. La monitorización de dominios te avisa los mismos días; comprueba cualquier dominio con el comprobador de caducidad de dominios.
Certificados más cortos no tienen por qué significar más caídas. Prueba Uptimecheck gratis durante 14 días, sin tarjeta de crédito.