Let’s Encrypt, un proveedor clave de certificados TLS gratuitos, ha lanzado certificados de corta duración y basados en direcciones IP para uso general. Estas nuevas opciones estuvieron disponibles a partir de principios de 2026, abordando problemas de larga data en la seguridad de los certificados.

Los certificados de corta duración duran solo 160 horas, aproximadamente seis días y medio, mientras que los basados en IP se vinculan directamente a direcciones IP en lugar de nombres de dominio. Los usuarios los activan seleccionando el perfil “short-lived” en su cliente ACME.

Este cambio llega mientras las organizaciones impulsan protecciones TLS más fuertes ante el aumento de compromisos de claves y ataques a la cadena de suministro. Let’s Encrypt anunció la disponibilidad general en una publicación de blog, basándose en pruebas beta realizadas a finales de 2025.

Los certificados de corta duración mejoran la seguridad

Los certificados TLS tradicionales duran hasta 90 días, creando amplias ventanas de daño si las claves privadas se filtran. Los atacantes pueden explotar claves robadas hasta que se active la revocación o el certificado expire.

Pero los sistemas de revocación, como CRLs y OCSP, a menudo fallan: muchos clientes los ignoran debido a la latencia o a una configuración incorrecta. Los certificados de corta duración reducen drásticamente este riesgo.

Al forzar la renovación cada seis días, exigen una validación fresca frente a la autoridad certificadora (CA). Esto disminuye la dependencia de revocaciones poco fiables. Si una clave se compromete, el certificado caduca rápidamente, limitando la exposición a horas en lugar de semanas.

Let’s Encrypt enfatiza que esta es una función opcional. Las configuraciones automatizadas se renuevan sin esfuerzo mediante ACME, pero los usuarios manuales podrían preferir mantener plazos más largos por ahora.

El equipo planea reducir a la mitad la duración predeterminada a 45 días en los próximos años, como se detalla en su actualización de diciembre de 2025. Este cambio gradual fomenta la automatización sin interrupciones. Los primeros adoptantes informan de operaciones fluidas, demostrando que los certificados de corta duración escalan para entornos de producción.

Los certificados basados en IP cubren un vacío clave

Los certificados basados en IP permiten a los servidores autenticar TLS mediante direcciones IP sin procesar, soportando tanto IPv4 como IPv6. A diferencia de los certificados de dominio, que usan validación DNS, estos se vinculan a IPs específicas mediante métodos de validación de direcciones IP. Let’s Encrypt exige que sean de corta duración, reconociendo que las IPs cambian con frecuencia (piensa en instancias dinámicas en la nube o redes móviles).

Los casos de uso incluyen sistemas heredados sin dominios, aplicaciones en contenedores en redes privadas y TLS rápido para entornos de prueba. La validación se realiza mediante desafíos ACME que demuestran el control de la IP, a menudo a través de una conexión directa. Let’s Encrypt emitió su primer certificado basado en IP en julio de 2025, validando el enfoque.

Los expertos en seguridad elogian esta medida por cerrar brechas en redes híbridas. Los firewalls y balanceadores de carga ahora pueden asegurar tráfico solo con IP sin soluciones alternativas como certificados autofirmados.

Para los cazadores de amenazas y equipos de SecOps, estos certificados significan rotación de claves más estricta y menos seguimiento de revocaciones. Integra estos certificados en tuberías CI/CD para configuraciones de confianza cero. Monitorea mediante herramientas como los registros de Transparencia de Certificados para detectar anomalías tempranas.