Vigencias más cortas de los certificados de Let's Encrypt: ¿qué significa esto para usted?

Let's Encrypt es el emisor gratuito de certificados que utilizan la mayoría de los sitios web, también en WebOké. Actualmente, un certificado de Let's Encrypt es válido durante 90 días. Ese plazo se va a acortar, y Let's Encrypt ya no envía correos de aviso cuando un certificado está a punto de caducar. Aquí puede leer qué cambia y qué debe hacer.

Qué cambia

También se recordará durante menos tiempo una validación correcta de su nombre de dominio: a partir de febrero de 2027, diez días; a partir de febrero de 2028, solo siete horas. Lo notará sobre todo si solicita un certificado manualmente mediante un registro DNS: tendrá que repetir ese paso con más frecuencia.

Con esto, Let's Encrypt sigue las normas del CA/Browser Forum, que se aplican a todos los emisores. Un certificado con una validez más corta limita los daños si algo sale mal, como una clave filtrada. La consecuencia para usted: renovar manualmente ya no es una opción. Debe hacerse de forma automática, y usted mismo debe vigilar que funcione.

En su plan de hosting: no tiene que hacer nada

En un plan de hosting, DirectAdmin solicita el certificado y lo renueva automáticamente. No necesita cambiar nada para ello. Eso sí, su dominio debe seguir apuntando a nuestro servidor, ya que Let's Encrypt vuelve a comprobarlo en cada renovación. Consulte Activar y renovar un certificado SSL y solucionar problemas.

Puede ver hasta cuándo es válido su certificado con Salud del dominio. Si caduca en menos de 14 días, la herramienta le indicará que la renovación va con retraso. En ese caso, compruebe en DirectAdmin, en SSL Certificates, si hay validaciones fallidas.

¿Utiliza un certificado también fuera de su plan, por ejemplo porque lo copia manualmente a otro dispositivo o a otro servicio? Entonces pronto tendrá que hacerlo cada pocas semanas. Es preferible que ese dispositivo o servicio solicite su propio certificado.

En un VPS: gestionarlo y comprobarlo usted mismo

En un VPS, usted mismo se encarga de la renovación, con certbot, Caddy o el cliente ACME de su software. Consulte nginx con un certificado de Let's Encrypt y Caddy: un sitio web con https automático. Con certbot, compruebe lo siguiente:

1. Compruebe si el temporizador de renovación existe y está activo:

   systemctl list-timers 'certbot*'

2. Realice una renovación de prueba. No solicita un certificado real:

   sudo certbot renew --dry-run

   Si termina con un mensaje indicando que todas las simulaciones se han realizado correctamente, la renovación funciona.
3. ¿Carga su servidor web también el nuevo certificado? Con el plugin para nginx, certbot se encarga de ello. Si utiliza certbot certonly, configure un deploy hook que recargue su servidor web.
4. Mantenga su cliente ACME actualizado a través del repositorio de paquetes. Let's Encrypt recomienda ARI (ACME Renewal Information): con ello, el propio Let's Encrypt indica cuándo debe renovarse un certificado.

¿Ha creado su propio script o una línea de cron que renueva, por ejemplo, cada 60 días? Fallará en cuanto los certificados tengan una validez más corta. Deje que el cliente decida cuándo es el momento y haga que lo compruebe al menos una vez al día.

Usted gestiona el VPS y todo lo que se ejecuta en él. Nosotros le ayudamos con la parte de WebOké: el panel, la red y las snapshots.

Vigile la fecha de caducidad

Como ya no se envían correos de aviso, el propio Let's Encrypt recomienda vigilar que la renovación funcione. Un servicio de monitorización que lea la fecha de caducidad de su certificado y avise cuando queden menos de 14 días detectará a tiempo una renovación que ha fallado sin aviso. Consulte Monitorizar su sitio web: disponibilidad, certificado y dominio.

Más información

• Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, en inglés)
• Expiration Notification Service Has Ended (Let's Encrypt, en inglés)

¿Quiere aprender más? Siga el curso gratuito de VPS y administración de servidores Linux, lección 7.3 https con Let's Encrypt.