Azure Key Vault es un repositorio de confianza para secretos, claves y certificados. Para las organizaciones que utilizan Microsoft Azure, se ha convertido en el lugar predeterminado para almacenar certificados TLS y las claves privadas que los respaldan, y cumple su función a la perfección. El problema surge cuando los equipos asumen que almacenar certificados en Key Vault es lo mismo que gestionarlos en toda la empresa. No lo es, y esta discrepancia está a punto de convertirse en un grave problema operativo.
La razón es el factor tiempo. La vida útil de los certificados se está reduciendo drásticamente. Tras la aprobación de la propuesta SC-081v3 por parte del Foro de Autoridades de Certificación/Navegadores , la validez máxima de los certificados TLS públicos se redujo a 200 días en marzo de 2026, a 100 días en marzo de 2027 y a tan solo 47 días en marzo de 2029. Con 47 días, un certificado debe renovarse aproximadamente ocho veces al año. En un conjunto de mil certificados, esto se traduce en unas veinte operaciones de renovación cada día laborable.
Los procesos manuales y la automatización parcial simplemente no pueden seguir ese ritmo. Este blog analiza las ventajas de Azure Key Vault para los certificados, sus limitaciones y cómo crear sistemas de automatización que se adapten a la realidad de los 47 días.
Lo que Azure Key Vault hace bien
Key Vault se ha ganado su reputación como almacén seguro. Proporciona almacenamiento reforzado y con control de acceso para certificados y claves privadas, se integra perfectamente con otros servicios de Azure y ofrece algunas funciones realmente prácticas para los certificados que residen completamente dentro del ecosistema de Azure.
Para los certificados emitidos a través de una de las CA asociadas a Key Vault, puede configurar la renovación automática, y Key Vault se encargará de la reemisión según el calendario que usted defina. Puede enviar notificaciones cuando un certificado alcanza un porcentaje determinado de su vida útil, avisando a los equipos antes de su vencimiento. Para una organización cuya infraestructura de certificados se encuentra integrada en Azure y utiliza una CA integrada, estas funciones cubren una parte importante de sus necesidades diarias.
La clave, sin embargo, reside en la frase "completamente dentro del ecosistema de Azure". Ahí es donde empiezan a notarse los límites.
Dónde se agota la gestión integrada de Key Vault
Si bien Azure Key Vault simplifica la administración de certificados dentro de Azure , las operaciones a escala empresarial pronto se topan con limitaciones en cuanto a la flexibilidad de las CA, la automatización de la implementación, la visibilidad y la gobernanza. Las siguientes áreas destacan dónde la administración integrada comienza a quedarse corta:
Flexibilidad limitada de la autoridad certificadora
La práctica renovación automática de Key Vault solo funciona correctamente con sus socios CA integrados. En el momento en que necesite un certificado de una CA no integrada, ya sea una PKI privada interna , una CA comercial fuera de la lista de socios o una CA heredada tras una adquisición, la experiencia fluida desaparece. Tendrá que recuperar el nuevo certificado manualmente e importarlo a Key Vault mediante scripts o pasos manuales. Para las organizaciones que utilizan varias CA por motivos de resiliencia, costes o cumplimiento normativo, esto representa una limitación estructural, no un inconveniente menor.
No hay despliegue de última milla más allá de Azure.
Esta es la brecha más importante. Almacenar un certificado renovado en Key Vault no es lo mismo que implementarlo en los sistemas que realmente lo utilizan. Los certificados no solo residen en el almacén. Residen en balanceadores de carga, puertas de enlace de aplicaciones, servidores NGINX y Apache , controladores de entrada de Kubernetes, mallas de servicios, firewalls e innumerables otros puntos finales, muchos de los cuales se encuentran completamente fuera del ámbito de automatización de Azure.
Key Vault puede almacenar el certificado, pero no lo enviará a un balanceador de carga F5 , ni lo vinculará a un servidor web que no sea de Azure, ni actualizará un controlador de entrada en un clúster que se ejecute en otro lugar, ni verificará que la implementación se haya realizado correctamente. Ese último paso, instalar el certificado en el punto final correcto y confirmar que el servicio lo detectó, es precisamente donde se producen las interrupciones relacionadas con los certificados. Dejar esta tarea en manos de scripts personalizados y trabajo manual es precisamente la fragilidad que pondrá de manifiesto el ciclo de 47 días.
Visibilidad fragmentada en un entorno real
La mayoría de las empresas no utilizan exclusivamente Azure. Ejecutan cargas de trabajo en múltiples nubes, infraestructura local y configuraciones híbridas. Key Vault ofrece visibilidad de los certificados almacenados en Key Vault, pero no de los certificados que se encuentran en AWS, Google Cloud, servidores físicos en un centro de datos o en un clúster de Kubernetes fuera de Azure. El resultado es una visión fragmentada, y esta visibilidad fragmentada es la causa de la aparición de certificados ocultos y vencimientos inesperados. No se puede administrar, renovar ni proteger un certificado que no se puede ver.
Gobernanza que no abarca todo el patrimonio.
La gestión de certificados empresariales requiere políticas coherentes, como autoridades de certificación (CA) aprobadas, tamaños mínimos de clave, algoritmos permitidos, reglas de validez y acceso basado en roles, aplicadas uniformemente en todas partes según las mejores prácticas del sector. Key Vault puede controlar su contenido, pero no puede aplicar una política única y coherente en todas las nubes, todas las CA y todos los dispositivos locales que utilice su organización. Sin esa uniformidad, la gobernanza se vuelve inconsistente, y la inconsistencia es la base de las auditorías.
El modelo correcto: la orquestación por encima de la bóveda de claves, no en su lugar.
La solución no consiste en abandonar Azure Key Vault . Key Vault es un sistema de almacenamiento robusto y no hay razón para reemplazarlo. La solución consiste en integrar una plataforma de gestión del ciclo de vida de los certificados, que actúe como capa de orquestación y convierta a Key Vault en un componente bien gestionado de un ecosistema de certificados más amplio, automatizado e independiente de la CA.
En ese modelo, la plataforma CLM se encarga del trabajo para el que Key Vault nunca fue diseñada. Tres capacidades definen lo que significa un buen desempeño.
Descubrimiento inteligente en todos los ámbitos. La automatización eficaz comienza con una visibilidad completa. La plataforma debe descubrir continuamente los certificados dondequiera que se encuentren: en Azure Key Vault, en otras nubes, en entornos locales y en contenedores, consolidándolos en un único inventario con información sobre el emisor, la fecha de caducidad, el tamaño de la clave, el algoritmo y la ubicación. Las organizaciones suelen descubrir muchos más certificados de los esperados tras realizar un escaneo adecuado, y detectar los desconocidos es el primer paso para controlarlos.
Automatización de ciclo cerrado, independiente de la CA y con protocolo flexible. La plataforma gestiona el ciclo completo de renovación sin intervención humana, independientemente de la CA que emita el certificado: detecta la fecha de vencimiento, verifica la política, genera la solicitud de firma, contacta con la CA, recupera el certificado, lo almacena en Key Vault y, finalmente, lo envía al punto final correcto y verifica la vinculación. La compatibilidad con protocolos como ACME , SCEP y EST, junto con las integraciones directas con las CA, permite su funcionamiento en entornos heterogéneos. Esto elimina la brecha de última milla que Key Vault por sí solo deja abierta.
Aplicación y gobernanza de políticas en todas partes. La plataforma debe aplicar un conjunto único de políticas criptográficas, autoridades de certificación aprobadas, niveles de seguridad de claves, algoritmos y reglas de validez, de forma consistente en todos los entornos, con control de acceso basado en roles e informes listos para auditoría. Esto proporciona una gobernanza uniforme y la evidencia de cumplimiento que los controles de Key Vault, limitados al ámbito de la bóveda, no pueden generar por sí solos.
Con esta arquitectura, Key Vault sigue haciendo lo que mejor sabe hacer: almacenamiento seguro e integración perfecta con Azure, mientras que la plataforma CLM ofrece la visibilidad, la automatización entre entornos y la gobernanza que exige la gestión de certificados a escala empresarial bajo un mandato de 47 días.
Cómo puede ayudar la consultoría de cifrado
La creación de esa capa de orquestación es precisamente lo que permite Encryption Consulting, ya que cuenta con la plataforma y la experiencia necesarias para integrar Azure Key Vault en una práctica de certificados automatizada y resiliente.
CertSecure Manager es nuestra solución de gestión del ciclo de vida de los certificados, diseñada para funcionar por encima de almacenes como Azure Key Vault, como la capa de orquestación descrita aquí. Ofrece detección inteligente en Azure, otras nubes, entornos locales y de contenedores, consolidando todos los certificados en un único inventario para que nada quede oculto.
Su automatización de circuito cerrado, independiente de la CA, gestiona la emisión, renovación y revocación independientemente de la CA que haya emitido un certificado, y lo lleva hasta el punto final, ya sea un recurso de Azure, un balanceador de carga F5 o NGINX, un ingress de Kubernetes o un servidor local, para luego validar la implementación.
Su motor de políticas centralizado aplica uniformemente las CA aprobadas, los tamaños de clave, los algoritmos y las reglas de validez en toda su infraestructura, con el control de acceso basado en roles y los registros de auditoría que exige el cumplimiento normativo. Bajo el mandato de 47 días, esta automatización integral convierte un volumen inmanejable de renovaciones en un proceso rutinario y automático, mientras que Key Vault continúa funcionando como su almacén seguro.
Para ampliar aún más la protección, CBOM Secure extiende el descubrimiento más allá de los certificados, abarcando todo su panorama criptográfico de algoritmos, claves y protocolos, generando la lista de materiales criptográficos que respalda el cumplimiento y lo prepara para la transición post-cuántica que sigue al cambio hacia ciclos de vida más cortos.
Para las organizaciones que necesitan certificados de una CA ajena a los socios integrados de Key Vault, PKI-as-a-Service proporciona una CA privada moderna y escalable sin la sobrecarga de infraestructura local ni la dependencia de un proveedor específico, y HSM-as-a-Service protege las claves privadas que respaldan sus certificados con un aislamiento de hardware de alta seguridad.
En el ámbito del asesoramiento, nuestro equipo de Servicios PKI ayuda a diseñar y modernizar la infraestructura de clave pública (PKI) empresarial y de Microsoft que sustenta la emisión de certificados; nuestros Servicios de Protección de Datos en la Nube le ayudan a proteger los datos y las claves en Azure y otras nubes; y nuestros Servicios de Asesoramiento sobre Cumplimiento garantizan que sus prácticas de certificación cumplan con PCI-DSS, HIPAA, NIST y otros marcos normativos.
Ya sea que tenga dificultades con las renovaciones que Key Vault no puede gestionar, se esté preparando para el plazo de 47 días o esté desarrollando una estrategia unificada de certificados en la nube, Encryption Consulting puede ayudarle. Contáctenos para evaluar sus operaciones de certificados de Azure y crear automatización escalable.
Conclusión
Azure Key Vault es una excelente opción para almacenar certificados, pero el almacenamiento no es lo mismo que la administración. Sus funcionalidades integradas funcionan bien para certificados que residen completamente en Azure y utilizan una CA integrada, pero resultan insuficientes en cuanto el entorno incluye otras CA, otras nubes, sistemas locales o puntos finales que requieren la implementación y verificación de certificados, lo que describe prácticamente a cualquier empresa real.
La reducción de la vida útil de los certificados convierte esa brecha, que antes era una molestia tolerable, en un riesgo operativo. Cuando los certificados se renuevan ocho veces al año en miles de puntos finales, cada paso manual y cada punto final inaccesible se convierte en una posible interrupción del servicio. La solución no es reemplazar Key Vault, sino potenciarlo, implementando una plataforma CLM independiente de la CA para ofrecer el descubrimiento, la automatización integral y la gobernanza uniforme que exige la era de los certificados de 47 días.
Key Vault debería seguir haciendo lo que mejor sabe hacer. Dejemos que una capa de orquestación se encargue del resto, y los próximos años de acelerados cambios criptográficos se convertirán en una cuestión de automatización rutinaria en lugar de una constante lucha contra incendios.
