Let’s Encrypt prepara certificados HTTPS con validez de 64 días

La era de los certificados de 90 días de Let’s Encrypt llega a su fin: el 10 de febrero de 2027 la autoridad de certificación cambiará el perfil classic, que se usa por defecto, a una duración de 64 días. La organización anunció que todos los certificados nuevos y renovados después de esa fecha serán válidos por 64 días, a menos que el titular haya elegido un perfil más corto.

Será posible comprobar la infraestructura con antelación el 14 de octubre de 2026, cuando los certificados de 64 días aparezcan en el entorno de pruebas de Let’s Encrypt. No revocarán antes de tiempo los certificados de 90 días en vigor. El último de esos certificados, según los cálculos de la organización, debería expirar el 11 de mayo de 2027, tras lo cual el perfil habitual pasará por completo al nuevo ciclo.

Para sistemas con automatización normal, la transición debería ser imperceptible. Los clientes ACME con soporte para la información de renovación ACME reciben de la autoridad de certificación la ventana de renovación recomendada y pueden elegir el momento apropiado. Si el plazo de renovación está fijado de forma rígida en cron, en un script o en una instrucción, Let’s Encrypt aconseja iniciar la renovación aproximadamente después de dos tercios de la validez del certificado.

Al mismo tiempo, el periodo de reutilización de la validación de dominio se reducirá de 30 a 10 días. Se trata de los datos con los que la autoridad de certificación confirma el control sobre un dominio al emitir un certificado. En 2028 la ventana se reducirá a siete horas. Let’s Encrypt espera que, gracias a este régimen, deje de ser necesaria una verificación CAA adicional para datos de autorización antiguos.

Los 64 días serán solo una etapa intermedia. En febrero de 2028, el perfil classic debería pasar a certificados de 45 días. Este calendario se ajusta a la dirección general del Web PKI: CA/Browser Forum fijó la reducción paulatina del periodo máximo de validez de los certificados TLS públicos hasta 47 días a partir del 15 de marzo de 2029.

El cambio no afectará los límites de emisión, las direcciones ACME ni las cadenas de certificación. Let’s Encrypt explica la reducción de la vigencia como una forma de disminuir el daño en caso de compromiso de una clave o emisión errónea de un certificado. Cuanto menos tiempo permanezca válido un certificado, menos tiempo habrá para su abuso. La transición también refuerza la tendencia del sector hacia la renovación automática.

Se recomienda a los administradores comprobar el entorno de pruebas antes de febrero, eliminar intervalos fijos como 60, 80 o 83 días de los scripts y automatizar no solo la emisión, sino también la instalación de certificados con el reinicio de los servicios. Las notificaciones separadas sobre fallos de renovación también se vuelven más importantes: con un ciclo de 64 días y luego de 45 días, el margen para una corrección manual se reducirá notablemente.