Los certificados TLS tendrán una vida útil máxima de 47 días: qué significa para tu empresa

Si administras sitios web o gestionas infraestructura en tu empresa, hay un cambio importante que debes conocer: los certificados TLS, esos que activan el candado en el navegador y cifran la comunicación entre tu servidor y tus usuarios, están a punto de volverse mucho más cortos. Y no un poco más cortos. Hablamos de pasar de casi 400 días de validez a tan solo 47 días en un plazo de tres años.

¿Quién tomó esta decisión y por qué?

La CA/Browser Forum, el organismo que agrupa a las autoridades de certificación y los principales fabricantes de navegadores, aprobó formalmente esta reducción. Apple fue quien propuso el cambio, y Google lo respaldó casi de inmediato. El argumento es claro: con el paso del tiempo, la información que contiene un certificado se vuelve menos confiable. Un dominio puede cambiar de dueño, una empresa puede desaparecer, una clave privada puede quedar expuesta. Cuanto más corta sea la vida del certificado, menor es la ventana de riesgo.

No es una decisión arbitraria. Es la respuesta de la industria a años de incidentes donde certificados comprometidos o mal gestionados permanecieron activos demasiado tiempo, causando brechas de seguridad que pudieron haberse evitado.

El calendario de cambios

El cambio no ocurre de golpe. El CA/Browser Forum estableció una transición progresiva en cuatro etapas. La primera ya está vigente:

Además, la reutilización de la validación de dominio también se acorta: a partir de 2029, la información de dominio validada solo podrá reutilizarse por 10 días antes de requerir una nueva verificación. Esto afecta especialmente a los certificados OV y EV, que incluyen datos sobre la organización.

¿Por qué la automatización ya no es opcional?

Hoy, muchas empresas renuevan sus certificados manualmente. Un administrador recibe un recordatorio por correo, entra al panel de su proveedor, genera el certificado, lo instala en el servidor y listo. Ese proceso puede llevar horas o días, y con una validez de 398 días había margen de error. Con 200 días ya no sobra tanto tiempo, y con 47 días no hay margen para nada.

DigiCert lo dice sin rodeos: los procedimientos manuales con certificados de vida tan corta son una receta para interrupciones del servicio. Imagina renovar certificados en docenas de servidores cada mes y medio. Sin automatización, es prácticamente imposible hacerlo de forma sostenible.

La solución está en protocolos como ACME (Automated Certificate Management Environment), que permite que los servidores soliciten, validen e instalen certificados de forma completamente automática. Plataformas como Let’s Encrypt ya usan este protocolo, y los grandes proveedores como DigiCert también lo están adoptando en sus herramientas de gestión.

Qué debes hacer desde ahora

Si aún no tienes automatización de certificados en tu infraestructura, el momento es ahora. El límite de 200 días ya está vigente desde el 15 de marzo de 2026, y el siguiente recorte llega en marzo de 2027. Identifica cuántos certificados gestionas, dónde están instalados y si tu proveedor actual ofrece renovación automática con ACME u otro mecanismo similar.

Para las empresas con muchos dominios o servidores, la inversión en una herramienta de gestión centralizada de certificados deja de ser un lujo y pasa a ser una necesidad operativa. El costo de no hacerlo, una interrupción de servicio por certificado vencido, siempre será más alto.

¿Tu empresa ya usa alguna herramienta para automatizar la renovación de certificados TLS, o todavía lo hacen de forma manual? Cuéntanos en los comentarios.