Let’s Encrypt reducirá la vida útil predeterminada de sus certificados TLS de 90 a 64 días el 10 de febrero de 2027, lo que te dará menos tiempo entre renovaciones si operas un sitio web.

El cambio se aplica a los certificados emitidos o renovados a partir de esa fecha, aunque tú, como suscriptor, podrás seguir eligiendo perfiles de certificados más cortos que ofrecen 45 días o aproximadamente seis días.

Vida útil de los certificados de Let’s Encrypt

Según el anuncio del 7 de octubre publicado por Let’s Encrypt, la autoridad de certificación sin fines de lucro confirmó el calendario. Los certificados existentes seguirán siendo válidos hasta sus fechas de vencimiento normales y Let’s Encrypt no los revocará como parte de la transición. Se espera que el último certificado de 90 días expire el 11 de mayo de 2027.

Una vida útil más corta limita el tiempo que un certificado puede seguir siendo confiable después de que una clave privada sea robada o un certificado sea emitido incorrectamente. También hace que los sistemas de renovación confiables sean más importantes, especialmente para los equipos que aún utilizan calendarios fijos o pasos manuales.

Este movimiento es parte de un cambio más amplio hacia vidas útiles más cortas para los certificados TLS públicos. Anteriormente se informó sobre el plan del CA/Browser Forum para reducir la validez máxima a 47 días.

Let’s Encrypt se está moviendo más rápido, con su perfil predeterminado establecido en 45 días para el 16 de febrero de 2028, tal como se describe en su hoja de ruta anterior sobre la vida útil de los certificados.

Let’s Encrypt comenzará a emitir certificados de 64 días en su entorno de pruebas (staging) el 14 de octubre de 2026. Tú, como administrador, puedes usar este servicio de prueba para verificar el comportamiento de la renovación antes del cambio en producción.

Los certificados de prueba no son confiables para los navegadores y no deben reemplazar a los certificados en sitios web activos. Para configuraciones automatizadas, la característica clave es la Información de Renovación ACME, o ARI. ACME es el protocolo que utilizas para solicitar y renovar certificados automáticamente.

ARI permite que Let’s Encrypt le diga a un cliente compatible cuándo renovar, ayudándole a ajustarse a vidas útiles más cortas sin depender de un calendario fijo. Debes revisar la documentación de tu cliente para confirmar el soporte de ARI. Cuando ARI no esté disponible, Let’s Encrypt recomienda renovar aproximadamente a los dos tercios de la vida útil del certificado.

Para un certificado de 64 días, esto significa alrededor del día 43, en lugar de esperar hasta el antiguo punto de renovación de 60 días. La autoridad también recomienda buscar en tus tareas programadas (cron jobs), scripts envolventes y manuales de ejecución valores codificados como 83, 80 o 60.

Estos números pueden revelar reglas de renovación diseñadas para certificados de 90 días. Actualizar esas reglas ahora también prepara tus sistemas para el predeterminado de 45 días planeado para 2028.

Junto con la validez del certificado, Let’s Encrypt reducirá la reutilización de la autorización de 30 a 10 días. Este es el período durante el cual una verificación de control de dominio anterior puede respaldar otra solicitud de certificado sin repetir dicha verificación.

El período de reutilización caerá a siete horas en 2028. Let’s Encrypt afirma que esto respalda las próximas reglas de validación y elimina la necesidad de volver a verificar la Autorización de la Autoridad de Certificación en datos de validación antiguos.

La mayoría de los suscriptores no necesitarán realizar cambios a menos que tu configuración de ACME dependa específicamente de la reutilización de la autorización. Los límites de velocidad no cambiarán debido a las vidas útiles más cortas, según la guía de límites de velocidad de Let’s Encrypt. Los puntos finales de ACME y las cadenas de emisión de certificados también permanecerán sin cambios.

Tú, como operador, deberías probar todo el flujo de trabajo del certificado, incluyendo el despliegue y el reinicio de servicios, en lugar de verificar solo la renovación. Los equipos que gestionan muchos sitios web también deben confirmar que los certificados renovados lleguen a cada servidor y que el monitoreo verifique el certificado que realmente se sirve a los usuarios después de cada reinicio. Las alertas por renovaciones fallidas pueden ayudarte a detectar problemas antes del vencimiento.

La prioridad práctica es una automatización confiable que mantenga los certificados actualizados a medida que las ventanas de renovación se reduzcan.