Certificados de 64 días: Let’s Encrypt acorta su vigencia

Certificados de 64 días: es lo que Let’s Encrypt emitirá por defecto a partir del 10 de febrero de 2027, en lugar de los 90 días actuales. Se trata del primer recorte en la historia de la autoridad certificadora gratuita, que protege millones de sitios con HTTPS. Por eso, una renovación manual o una tarea cron con fechas fijas puede dejar un sitio sin su candado de seguridad.

Qué cambia con los certificados de 64 días

Según el anuncio del 7 de octubre de 2026, el entorno de pruebas (staging) emite certificados de 64 días desde el 14 de octubre. Después, el 10 de febrero de 2027, ese plazo pasará a ser el valor por defecto en producción. De hecho, el último certificado de 90 días vencerá hacia el 11 de mayo de 2027.

Además, la reutilización de la validación del dominio bajará de 30 a 10 días. En otras palabras, Let’s Encrypt comprobará con más frecuencia que controlas el dominio. No obstante, la organización aclaró que no revocará ningún certificado válido durante la transición.

Por qué Let’s Encrypt acorta la vigencia

El cambio responde a la votación SC-081 del CA/Browser Forum, aprobada en 2025, que reduce la vigencia máxima de todos los certificados públicos. Así, el límite pasó a 200 días en marzo de 2026, bajará a 100 días en marzo de 2027 y llegará a 47 días en marzo de 2029.

Por su parte, Let’s Encrypt prefiere avanzar por etapas. Por ejemplo, en febrero de 2028 su plazo por defecto bajará otra vez, a 45 días, y la reutilización de la validación quedará en solo siete horas. En este sentido, un certificado más corto limita el daño si una clave privada llega a filtrarse.

Cómo preparar tu servidor para los certificados de 64 días

En la práctica, la mayoría de los sitios con renovación automática no notará nada. Aun así, conviene revisar la configuración antes de febrero. Puedes ver más artículos sobre servidores y seguridad en nuestro blog.

• Activar ARI: si tu cliente ACME soporta ACME Renewal Information, Let’s Encrypt le indica cuándo renovar y no tienes que cambiar nada.
• Revisar tus cron: busca en tus scripts valores fijos como 60, 80 u 83 días y programa la renovación a unos dos tercios de la vigencia, cerca del día 42.
• Probar en staging: valida tu proceso de renovación contra el entorno de pruebas antes del cambio.
• Añadir alertas: configura un aviso por correo para cuando falle una renovación.

Finalmente, los certificados de 64 días son solo el primer paso hacia vigencias cada vez más cortas. Por lo tanto, automatizar la renovación ya no es opcional para quien administre un sitio web.

Recuerda que estaremos publicando constantemente en nuestro blog más contenido sobre tecnología.

Puedes encontrarnos en Facebook y LinkedIn para más contenido relacionado con seguridad en internet y muchos temas más.

Fuentes: Let’s Encrypt, Scott Helme, Ars Technica.