GoDaddy inició una revocación masiva de 404.607 certificados SSL/TLS tras descubrir que los certificados emitidos no coincidían con sus políticas de certificados publicadas. La empresa incumplió el plazo de revocación requerido, creando un segundo problema de cumplimiento. Un aviso actualizado para los clientes indica que los certificados emitidos incorrectamente fueron revocados el 21 de octubre de 2026.

El incidente afecta a los certificados emitidos bajo las cadenas de certificados de GoDaddy y Starfield. Si tú sigues usando un certificado afectado, podrías enfrentarte a advertencias de seguridad del navegador o problemas de acceso al sitio web hasta que instales un reemplazo, según la guía para el cliente de GoDaddy. Recibir un reemplazo por sí solo no confirma que tu sitio web lo esté utilizando.

GoDaddy revoca 404.607 certificados TLS

Según el informe original del incidente, un tercero señaló diferencias entre los certificados emitidos y los perfiles descritos en la Política de Certificados y la Declaración de Prácticas de Certificación de Starfield, conocidas como CP/CPS. Estos documentos establecen las reglas que la autoridad de certificación sigue al emitir certificados.

Las diferencias involucraban información de la política del certificado, incluidos los identificadores de objeto de política (OIDs) y los calificadores de política URI de la CPS. Estos campos identifican las políticas de certificación y hacen referencia a las prácticas publicadas de la autoridad. Los certificados emitidos no coincidían con los perfiles documentados. Los informes describen un fallo de cumplimiento, no un robo confirmado de claves privadas.

GoDaddy detuvo la emisión de certificados tras confirmar el informe. Su investigación reveló diferencias adicionales en los perfiles afectados. La empresa corrigió y publicó su documentación antes de reanudar la emisión. Comprobaciones posteriores encontraron problemas similares en la cadena más antigua, Starfield G2, que ya no emitía certificados activamente.

Los certificados validados de dominio representaron la mayor parte de la población afectada. Starfield R1 DV sumó 208.896 certificados, mientras que Starfield G2 DV sumó 187.159. También se vieron afectados cantidades menores de certificados validados de organización y de validación extendida en las cadenas de GoDaddy y Starfield.

GoDaddy incumplió el plazo de revocación

El informe de revocación retrasada cita la Sección 4.9.1.1 de los Requisitos Básicos de TLS. Para la violación de política declarada, los certificados afectados deberían revocarse en 24 horas y deben revocarse obligatoriamente en cinco días, excepto para los certificados de suscriptores de corta duración. El motivo de revocación especificado es "superado".

GoDaddy comenzó a contactar a los suscriptores el 14 de octubre. Su comunicación incluyó a clientes con grandes inventarios de certificados y organizaciones que prestan servicios gubernamentales, financieros y de salud. Sin embargo, solo se habían revocado 170.566 certificados cuando venció el plazo del 18 de octubre a las 23:45 UTC.

Para las 05:29 UTC del 19 de octubre, el total de revocados había alcanzado los 227.422. GoDaddy afirmó que equipos dedicados se encargaban del contacto con el cliente, el reemplazo, la revocación y el seguimiento del progreso a través de correo electrónico, SMS y llamadas telefónicas. Su aviso posterior a los clientes indica que los certificados emitidos incorrectamente fueron revocados el 21 de octubre.

Si tú eres un administrador afectado, deberías revisar la sección de certificados SSL de tu cuenta de GoDaddy y seguir cualquier aviso de reemplazo. GoDaddy advierte que un certificado actualizado puede existir en la cuenta mientras el dominio continúa sirviendo el certificado antiguo. Si recibes una alerta de instalación, descarga e instala el reemplazo inmediatamente.

El caso recuerda a las revocaciones de certificados de DigiCert anteriores tras un error de validación de DNS, aunque los fallos subyacentes son diferentes. También resalta las preocupaciones operativas cubiertas en el informe sobre la mala gestión de certificados.