Si tu página web, tu tienda en línea o el portal de clientes usan el candado gratuito de Let's Encrypt, apunta esta fecha: 10 de febrero de 2027. Ese día la autoridad certificadora más usada del mundo deja de emitir certificados de 90 días y pasa a 64 días por defecto. Lo anunció el 7 de octubre de 2026 en su blog oficial, y el cambio ya está activo en su entorno de pruebas (staging) desde el 14 de octubre.
No es el último recorte. El calendario que Let's Encrypt publicó en diciembre de 2025 marca otro paso el 16 de febrero de 2028, cuando la duración bajará a 45 días.
El calendario completo
| Fecha | Duración del certificado | Reutilización de la validación del dominio |
|---|---|---|
| Hoy | 90 días | 30 días |
| 14-oct-2026 | 64 días en staging (pruebas) | — |
| 10-feb-2027 | 64 días (perfil por defecto) | 10 días |
| 11-may-2027 | Vence el último certificado de 90 días, según Let's Encrypt | — |
| 16-feb-2028 | 45 días | 7 horas |
Fuente: blog de Let's Encrypt, publicaciones del 2 de diciembre de 2025 y del 7 de octubre de 2026. Quien quiera adelantarse ya puede pedir certificados de 45 días (perfil tlsserver) o de 6 días (perfil shortlived).
Let's Encrypt aclara tres cosas que tranquilizan: no revocará certificados vigentes, no cambian los límites de emisión ni las direcciones ACME, y la cadena de certificados sigue igual. El cambio se nota en la primera renovación posterior al 10 de febrero.
Por qué le importa a una PyME
Con 90 días, muchas empresas sobrevivían con un recordatorio en el calendario. Con 64 días son casi seis renovaciones al año por certificado; con 45, más de ocho. Y cada olvido se ve igual para tu cliente: el navegador muestra "La conexión no es privada", la tienda deja de vender y los formularios de contacto se quedan sin llenar.
El riesgo no está solo en la página principal. En una PyME típica hay certificados en lugares que nadie recuerda:
- El sitio web y la tienda en línea, a veces en un hosting distinto.
- El portal de clientes o de proveedores conectado al ERP.
- El NAS o el servidor de archivos con acceso desde fuera.
- La consola del firewall o el portal de la VPN SSL.
- Herramientas internas publicadas con un proxy inverso: Nextcloud, mesa de ayuda, monitoreo.
- APIs que usan tus integraciones (pasarela de pago, timbrado, paquetería).
Ya vimos este año lo que pasa cuando un certificado se queda olvidado, aunque sea en otro nivel: con el certificado de Secure Boot que venció el 19 de octubre y con los certificados de Windows Update que vencen en 2027.
Qué hacer antes de febrero
- Haz el inventario. Lista cada dominio y subdominio con candado, quién lo administra y dónde vive el certificado. Una forma rápida: busca tu dominio en un registro público de transparencia de certificados (como crt.sh); ahí aparecen todos los certificados emitidos a tu nombre, incluso los que nadie recuerda.
- Confirma que la renovación es automática. Si usas Certbot, acme.sh, Traefik, Caddy o el panel de tu hosting, revisa que exista la tarea programada y que la última renovación haya funcionado. Si alguien sigue copiando archivos
.pema mano, ese es el primer punto a corregir. En nuestras guías de Nginx con SSL y de Traefik con Docker dejamos la renovación configurada desde el inicio. - Quita los días fijos. Let's Encrypt pide buscar en cron, scripts y manuales valores como 83, 80 o 60: un script que renueva "cada 60 días" deja vencer un certificado de 64. La recomendación es renovar a unos dos tercios de la vida del certificado o, mejor, activar ARI (ACME Renewal Information), con la que la autoridad le indica al cliente cuándo renovar. Revisa en la documentación de tu cliente si lo soporta.
- Automatiza también la recarga. Renovar el archivo no sirve si el servidor web, el balanceador o el firewall siguen usando el viejo hasta que alguien los reinicia. Verifica que tras cada renovación se recargue el servicio y, si el certificado se copia a otros equipos, que esa copia también sea automática.
- Prueba en staging. Desde el 14 de octubre el entorno de pruebas ya emite certificados de 64 días. Apuntar ahí un servidor de prueba te dice hoy si tu configuración aguanta el cambio.
- Pon una alerta independiente. Un monitor externo que revise la fecha de vencimiento y avise con 14 días de margen detecta lo que la automatización no hizo. Si ya tienes Grafana y Prometheus, agrega el chequeo de certificados.
- Revisa los equipos que no hablan ACME. Algunos firewalls, impresoras, conmutadores o sistemas antiguos solo aceptan certificados cargados a mano. Esos son los que más sufren con vigencias cortas: decide si los publicas detrás de un proxy que sí renueve solo o si los sacas de internet.
La lectura de fondo
Una vigencia corta reduce el tiempo que un certificado robado o mal emitido sigue sirviendo, pero exige que la renovación sea un proceso automático. Hacia marzo de 2029 todos los certificados públicos, gratuitos o de pago, durarán 47 días o menos: lo que automatices ahora no tendrás que repetirlo en cada recorte.
Si quieres que revisemos tus certificados, la renovación y las alertas, podemos ayudarte desde nuestro servicio de servidores o como parte de una revisión de ciberseguridad.
