Cloudflare ha anunciado sus planes para convertirse en una Autoridad de Certificación (CA) pública, expandiendo su papel en la seguridad de la web global. La empresa tiene como objetivo ofrecer certificados digitales gratuitos y automatizados para sitios web, mientras prepara Internet para la criptografía post-cuántica.

Una Autoridad de Certificación, o CA, es una organización de confianza que emite certificados digitales. Estos certificados permiten que los sitios web utilicen HTTPS, cifren el tráfico entre los visitantes y los servidores web, y demuestren que tú te estás conectando al dominio correcto en lugar de a un sitio suplantado.

Cloudflare aún no está emitiendo certificados. Sin embargo, ha iniciado el proceso de aprobación necesario para convertirse en una CA ampliamente confiable. La empresa ha solicitado la entrada en los programas de raíz operados por Google Chrome, Apple, Microsoft y Mozilla. Estos programas deciden en qué Autoridades de Certificación confían los navegadores, los sistemas operativos y los dispositivos.

La compañía también ha firmado un acuerdo para adquirir una raíz de confianza ya existente de GlobalSign. Esto es importante porque un certificado raíz recién creado puede tardar años en llegar a los navegadores, teléfonos, sistemas operativos y dispositivos integrados.

Una raíz establecida de GlobalSign ya es confiable en muchos sistemas antiguos, lo que ayudará a Cloudflare a proporcionar una compatibilidad más amplia una vez que comience a emitir certificados.

Cloudflare lanza una Autoridad de Certificación gratuita

Cloudflare dijo que su nueva CA se basará en el protocolo Automated Certificate Management Environment, o ACME. El ACME es ampliamente utilizado para automatizar la emisión y renovación de certificados.

Los operadores de sitios web que ya utilizan servicios de certificados automatizados deberían poder cambiarse a Cloudflare simplemente cambiando la URL del directorio ACME, en lugar de desplegar nuevas herramientas o reconstruir su flujo de trabajo de gestión de certificados.

Este movimiento también podría mejorar la resiliencia en el ecosistema de la Infraestructura de Clave Pública (PKI) de la Web. Actualmente, la emisión de certificados gratuitos está concentrada en un número reducido de proveedores.

Let’s Encrypt, una de las CA gratuitas más grandes, emite alrededor de 10 millones de certificados por día, soporta más de 500 millones de sitios web y superó los 4.000 millones de certificados activos en 2025, según Cloudflare.

Una interrupción importante en una CA gratuita dominante podría afectar a gran parte de la web cifrada. El servicio planeado por Cloudflare está diseñado para añadir otra alternativa gratuita, automatizada y de alta escala.

Cloudflare planea requerir que los suscriptores de certificados admitan la Información de Renovación ACME, definida en el RFC 9773. Este mecanismo permite que una CA notifique a los clientes cuándo deben reemplazar sus certificados.

Esto podría ayudar a Cloudflare a distribuir las renovaciones de certificados a lo largo del tiempo durante incidentes de seguridad, problemas de cumplimiento o eventos de revocación a gran escala, reduciendo el riesgo de caducidad repentina de certificados y caídas de sitios web.

La empresa también planea emitir Certificados de Árbol de Merkle post-cuánticos, o MTCs. Estos certificados están diseñados para proporcionar una autenticación más compacta para un futuro en el que la criptografía post-cuántica podría hacer que las cadenas de certificados convencionales sean más grandes y lentas durante los saludos (handshakes) TLS.

Cloudflare tiene como objetivo la primera emisión de MTC en producción para el primer trimestre de 2027. La empresa afirmó que pretende soportar tanto los certificados WebPKI clásicos como los MTC desde la misma CA, permitiendo que las organizaciones adopten una autenticación resistente a la cuántica sin tener que operar sistemas de certificados separados.

Cloudflare dijo que publicará compilaciones reproducibles para el software de firma de certificados, dará fe de los módulos de seguridad de hardware que protegen las claves de la CA y operará un panel público para el estado de la emisión e incidentes.

La empresa también planea utilizar su propia CA internamente antes de su disponibilidad general, siguiendo su enfoque de "Cliente Cero" para probar nuevos servicios a la escala de Cloudflare.

Este anuncio se basa en el lanzamiento de Universal SSL de Cloudflare en 2014, que proporcionó TLS gratuito a los sitios web detrás de su red. Con una CA pública, Cloudflare pasa de ser un consumidor importante de certificados a convertirse en un proveedor directo de confianza para todo Internet.