Let’s Encrypt, la autoridad de certificación sin ánimo de lucro que proporciona certificados TLS/SSL gratuitos para millones de sitios web, ha anunciado actualizaciones importantes en sus políticas de emisión.

Los cambios introducen una nueva jerarquía de raíz “Generación Y”, dejan obsoleta la autenticación de cliente TLS y acortan progresivamente la vida útil de los certificados para ajustarse a los requisitos del CA/Browser Forum.

Para garantizar una transición fluida, Let’s Encrypt aprovecha los perfiles ACME, lo que te da control sobre el momento de la implementación. Para la mayoría, no se necesita ninguna acción inmediata.

En el centro de la actualización se encuentra la jerarquía “Generación Y”: dos nuevas CA raíz y seis CA intermedias, firmadas cruzadamente por las raíces “Generación X” existentes (X1 y X2).

Esto mantiene una amplia compatibilidad de confianza. Los nuevos intermediarios omiten el Uso de Clave Extendida (EKU) de Autenticación de Cliente TLS, abordando un mandato de programa raíz próximo. Let’s Encrypt ya había detallado planes para finalizar el soporte de TLS Client Auth desde febrero de 2026.

Los plazos específicos del perfil varían. Los usuarios en el perfil clásico predeterminado cambian a la Generación Y el 13 de mayo de 2026. Aquellos que necesiten la autenticación de cliente TLS heredada pueden permanecer en el perfil tlsclient, que permanece en la Generación X hasta mayo de 2026.

Mientras tanto, los perfiles tls server y de corta duración pasan a la Generación Y esta semana, permitiendo la activación de certificados de corta duración con soporte para direcciones IP. Esto marca la disponibilidad general de certificados de corta duración, lo que ayuda a las renovaciones automatizadas y reduce las ventanas de exposición.

Acortar la vida útil cumple con los requisitos básicos en evolución de CA/Browser Forum. El próximo año, los primeros usuarios probarán certificados de 45 días a través de tlsserver. Los valores predeterminados bajan a 64 días en 2027 y luego a 45 días en 2028, según lo detallado en la publicación de Let’s Encrypt sobre la reducción de la vida útil.

Resumen del cronograma

Estas actualizaciones fortalecen la seguridad al minimizar los riesgos de compromiso de claves a través de una validez más corta y EKUs refinadas, sin interrumpir la mayoría de los flujos de trabajo. Let’s Encrypt te insta a revisar las publicaciones y foros de la comunidad enlazados para casos extremos, como los certificados IP.

A medida que el soporte en Let’s Encrypt crece, asegurando más de 300 millones de dominios, estos cambios subrayan la adaptación proactiva a los estándares de la industria, lo que podría influir en los ecosistemas PKI más amplios.