Let’s Encrypt: certificados de 64 días desde febrero de 2027

Let’s Encrypt, la autoridad de certificación (CA) gratuita gestionada por la organización sin ánimo de lucro Internet Security Research Group (ISRG), reducirá la validez predeterminada de sus certificados TLS de 90 a 64 días a partir del 10 de febrero de 2027. Es el primer paso hacia los 45 días previstos para 2028. Lo han publicado Ars Technica, SecurityWeek y Help Net Security, a partir de las indicaciones de la propia CA.

No es una vulnerabilidad y no hay CVE: es un cambio operativo que afecta a cualquiera que use certificados de Let’s Encrypt en sitios web, proxies inversos, portales VPN, servidores de correo o dispositivos. Si renuevas de forma realmente automática, no tendrás que hacer nada; si dependes de intervalos fijos o de procedimientos manuales, te arriesgas a certificados caducados y servicios inaccesibles.

Qué cambia y cuándo

Las fechas que indican las fuentes:

• 14 de octubre de 2026: el entorno de pruebas (staging) de Let’s Encrypt empieza a emitir certificados de 64 días, para que puedas comprobar tu configuración antes del cambio en producción;
• 10 de febrero de 2027: todos los certificados nuevos o renovados tienen una validez de 64 días;
• 11 de mayo de 2027: según SecurityWeek y Help Net Security, la fecha en que caducará el último certificado de 90 días;
• 2028: validez predeterminada de 45 días.

Según Help Net Security, durante la transición Let’s Encrypt no revocará certificados válidos, y quien ya usa los certificados opcionales de 45 o de 6 días no se ve afectado. SecurityWeek añade que, según la CA, el cambio no afecta a los endpoints ACME, a las cadenas de emisión ni a los límites de frecuencia (rate limits).

Por qué acortar la validez

El motivo es el mismo que llevó a Let’s Encrypt a elegir los 90 días en 2016, cuando los certificados solían durar de uno a tres años: un certificado de vida corta limita el daño si se roba la clave privada o si se emite por error. Help Net Security recoge la declaración de ISRG según la cual la reducción disminuye el riesgo de compromiso de claves y de emisiones erróneas; SecurityWeek recuerda que la medida sigue los Baseline Requirements del CA/Browser Forum y hace más eficaz la revocación, y que según Let’s Encrypt todas las CA de confianza pública harán cambios similares.

Detalles técnicos: ARI y renovaciones a intervalo fijo

La clave es ACME Renewal Information (ARI), la extensión del protocolo ACME con la que la CA indica al cliente cuándo renovar. Si las renovaciones son automáticas y el cliente admite ARI, según Let’s Encrypt no hay que cambiar nada; la documentación de tu cliente ACME te dirá si ARI está implementado.

El problema está en los valores escritos a mano: tareas cron, scripts envoltorio y runbooks que renuevan tras un número fijo de días. Let’s Encrypt recomienda buscar valores como 83, 80 o 60, típicos de los certificados de 90 días, y renovar a unos dos tercios de la validez. Con 64 días, según nuestro cálculo, eso significa renovar hacia el día 42–43, unas tres semanas antes de la caducidad. Una renovación fijada a 80 u 83 días desde la emisión, por ejemplo, llegaría cuando el certificado ya ha caducado.

Reutilización de autorizaciones: de 30 días a 7 horas

Let’s Encrypt también acorta el periodo durante el que se puede reutilizar una validación del control del dominio ya superada: de 30 a 10 días (SecurityWeek sitúa este paso en 2027) y después a 7 horas en 2028. Según la CA, el cambio sirve para cumplir la reducción de los periodos máximos de reutilización prevista para 2029 y para eliminar el “CAA rechecking”, es decir, repetir parte de la validación cuando los datos tienen más de 7 horas. Solo los clientes ACME diseñados expresamente para depender de la reutilización de validaciones tendrán que modificarse.

Impacto para las empresas europeas e italianas

Let’s Encrypt está muy extendido también en Europa, a menudo en instalaciones creadas hace años y nunca revisadas: un servidor web configurado a mano, un dispositivo con un script de renovación propio, un servicio interno expuesto a proveedores. Un certificado caducado no es un ataque, pero para el usuario el efecto es el mismo: servicio inaccesible y errores en los clientes y en las integraciones entre aplicaciones.

Para las entidades sujetas a NIS2, la continuidad de los servicios y la gestión de activos forman parte de las obligaciones de gestión del riesgo: un inventario de certificados, con quién los renueva y cómo, entra en ese trabajo. En el sector sanitario, donde los portales para pacientes y las integraciones entre sistemas dependen de conexiones TLS, una renovación fallida puede interrumpir servicios esenciales. Además, la tendencia no se limita a Let’s Encrypt: la validez se acortará en todas las CA públicas, así que conviene tratar la automatización de las renovaciones como un requisito, no como una opción.

Qué hacer ya

1. Haz un inventario de los certificados de Let’s Encrypt en uso y de los sistemas que los renuevan, incluidos dispositivos y servidores poco cuidados.
2. Comprueba si tu cliente ACME admite ARI; si no, actualízalo o revisa los scripts de renovación.
3. Busca valores fijos (83, 80, 60) en cron, scripts y runbooks y llévalos a unos dos tercios de la validez del certificado.
4. Automatiza también la recarga del certificado en el servicio y su distribución donde haga falta, no solo la emisión.
5. Configura alertas para renovaciones fallidas y certificados a punto de caducar.
6. Desde el 14 de octubre, prueba tu configuración en el entorno de staging, antes del 10 de febrero de 2027.
7. Revisa los clientes ACME personalizados que dependen de la reutilización de autorizaciones.

Cómo ayuda ARXDOME

ARX Expose muestra la superficie de ataque de tu empresa a partir de los dominios declarados, incluidos los nombres y los certificados expuestos en Internet, con una verificación diaria: un punto de partida para el inventario de certificados públicos. En la red interna, ARX Watch también identifica los certificados de los dispositivos, con el escaneo activo en las sedes aprobadas.

Última actualización: 12 de octubre de 2026