- ¿Qué es la validación del control de dominio?
- ¿Qué está cambiando y cuándo?
- Cómo funciona la validación de dominio
- ¿Por qué la industria está haciendo esto?
- Qué significa para usted este plazo más corto.
- Cómo mantenerse un paso por delante del reloj
- Cómo puede ayudar la consultoría de cifrado
- Conclusión
En internet se está desarrollando una cuenta atrás silenciosa. Para marzo de 2029, la validación de control de dominio (DCV), la prueba de que controlas un dominio, solo será válida durante 10 días, y un certificado público de Seguridad de la Capa de Transporte (TLS) solo tendrá una validez de 47 días. Hasta hace poco, esta prueba podía reutilizarse durante más de un año, y los certificados podían durar lo mismo; desde el 15 de marzo de 2026, ambos tienen un límite de 200 días. Este es uno de los mayores cambios en la forma en que la web demuestra la confianza, y la mayoría de los equipos aún no lo han notado.
Seguramente ya hayas oído hablar del certificado de 47 días . Esa es solo una parte de la historia. La otra parte es el período de validación de dominio de 10 días. Ambos aspectos son importantes y, en conjunto, transforman la forma en que se emiten y renuevan los certificados. Analicemos qué está cambiando, por qué sucede y cómo prepararse sin prisas de última hora.
¿Qué es la validación del control de dominio?
La validación de control de dominio (DCV, por sus siglas en inglés) es la comprobación que realiza una autoridad de certificación (CA, por sus siglas en inglés) antes de emitir un certificado TLS. Confirma algo muy sencillo: ¿Controlas realmente el dominio que quieres proteger?
Se demuestra el control realizando una acción exclusiva del propietario legítimo. Por ejemplo, se puede añadir un registro DNS especial o colocar un archivo en el servidor web. La autoridad de certificación busca esta prueba. Si la encuentra, se emite el certificado.
Tras superar la verificación, la CA no la olvida de inmediato. Puede reutilizar esa prueba durante un periodo determinado. Durante ese tiempo, puede obtener nuevos certificados para el mismo dominio sin tener que demostrar el control nuevamente. Desde el 15 de marzo de 2026, ese plazo se ha ampliado a 200 días, frente a los 398 anteriores. Por eso, la renovación ha resultado sencilla. La parte más difícil ya estaba resuelta.
¿Qué está cambiando y cuándo?
En abril de 2025, el Foro CA/Browser aprobó la medida denominada SC-081v3 . El Foro es el grupo de autoridades de certificación y fabricantes de navegadores que establecen las normas para los certificados públicos. Los navegadores Chrome, Safari, Firefox y Edge votaron a favor.
La votación logra dos cosas a la vez: reduce la duración de un certificado y limita el tiempo durante el cual se puede reutilizar la validación del dominio. Ambos procesos se desarrollan por etapas.
| Fecha efectiva | Duración máxima del certificado | Reutilización de validación de dominio Máxima |
|---|---|---|
| Hasta el 15 de marzo de 2026 | 398 días | 398 días |
| 15 de marzo de 2026 | 200 días | 200 días |
| 15 de marzo de 2027 | 100 días | 100 días |
| 15 de marzo de 2029 | 47 días | 10 días |
Nótese que, para 2029, el período de reutilización será más corto que la duración del certificado. El efecto práctico es sencillo: la validación del dominio deberá realizarse prácticamente en cada renovación, no solo de vez en cuando.
Hay un cambio más para los certificados de mayor seguridad. Si utiliza certificados de validación de organización (OV) o de validación extendida (EV) , los datos de identidad validados que respaldan el campo "Asunto" del certificado se denominan "Información de identidad del sujeto". A partir del 15 de marzo de 2026, esta información solo podrá reutilizarse durante 398 días, en lugar de los 825 anteriores. Por lo tanto, la verificación de identidad de su empresa pasa de un ciclo de aproximadamente dos años a uno anual.
Dos breves aclaraciones. Algunas autoridades de certificación (CA) ya emiten certificados uno o dos días antes de la fecha límite oficial, dado que la validez se mide al segundo. Por lo tanto, conviene renovarlos con antelación y mantener un margen de seguridad. Estas reglas solo se aplican a certificados de confianza pública. Una CA interna privada en la que los navegadores no confían y que forma parte de su propia infraestructura de clave pública (PKI) no está cubierta, aunque acortar su vigencia sigue siendo una buena práctica.
Cómo funciona la validación de dominio
Para prepararse para una validación mucho más frecuente, resulta útil comprender las formas más comunes en que una Autoridad de Certificación (CA) verifica el control de un dominio.
La validación por correo electrónico envía un mensaje a una dirección como [email protected] y solicita que confirme la propiedad siguiendo un enlace. Es un proceso sencillo, pero generalmente requiere una acción manual, lo que lo hace poco práctico cuando la validación debe repetirse cada 10 días. El Foro CA/B también está eliminando gradualmente la validación por correo electrónico mediante la propuesta SC-090.
La validación basada en HTTP (comúnmente el desafío ACME HTTP-01) requiere que coloques un pequeño archivo de token en una ruta específica de tu servidor web. Funciona bien para servidores individuales, pero se vuelve más difícil de administrar en balanceadores de carga, CDN y grandes entornos distribuidos.
La validación basada en DNS (comúnmente el desafío ACME DNS-01) requiere publicar un registro TXT en el DNS de su dominio. Es el método estándar para certificados comodín y puede automatizarse completamente mediante las API de los proveedores de DNS, lo que la convierte en la opción preferida para renovaciones frecuentes de certificados y revalidación de DCV.
La tecnología que integra todo esto es el protocolo ACME (Automated Certificate Management Environment) , definido en el RFC 8555. ACME automatiza todo el proceso. El cliente solicita un certificado, la CA responde con un desafío, el cliente publica la prueba, la CA la verifica y emite el certificado. No se requiere intervención humana. Es el mismo protocolo que convirtió la emisión automatizada de certificados en un estándar en la web moderna.
Para esta nueva era, DNS-01 con ACME es la opción más segura. Un truco útil es la delegación de CNAME. Se apunta el registro de validación a una zona dedicada pequeña, de modo que la automatización solo afecte a ese espacio reducido y no al DNS principal. Hay algo más que esperar. Las CA ahora confirman el control del dominio desde varias ubicaciones de red a la vez, una medida de seguridad llamada validación multiperspectiva que dificulta enormemente ataques como el secuestro de BGP.
En la práctica, esto significa que la validación debe parecer correcta desde cualquier perspectiva, por lo que una configuración DNS inestable o un cambio incompleto pueden provocar fallos. Una norma relacionada (Ballot SC-085v2, vigente a partir del 15 de marzo de 2026) también exige que las autoridades de certificación comprueben DNSSEC cuando esté presente, por lo que una configuración DNSSEC defectuosa también puede provocar fallos.
¿Por qué la industria está haciendo esto?
Las esperanzas de vida más cortas no se tratan de hacerte la vida más difícil. Corrigen un punto débil real.
Cuando se roba un certificado o su clave privada, el daño persiste mientras el certificado siga siendo válido. Los navegadores no son muy eficientes para revocar certificados rápidamente, ya que las comprobaciones de revocación suelen omitirse o caducar. Un certificado de larga duración supone un riesgo de larga duración. Uno de corta duración limita el período de daño por sí solo, al igual que una clave que deja de funcionar después de unas semanas, incluso si nadie se da cuenta de que ha sido copiada.
También existe una razón de cara al futuro. La industria se está preparando para la criptografía postcuántica . El NIST finalizó sus tres primeros estándares postcuánticos el 13 de agosto de 2024, conocidos como FIPS 203 (ML-KEM), 204 (ML-DSA) y 205 (SLH-DSA). Cambiar algoritmos en miles de certificados es complicado si todos tienen una larga vida útil y se gestionan manualmente. La corta vida útil y la automatización facilitan enormemente esta transición. Nada de esto es nuevo. La guía práctica NIST SP 1800-16 sobre la gestión de certificados de servidor TLS recomendaba inventarios de certificados, monitorización y automatización desde hace años. Las nuevas normas simplemente convierten esta recomendación en obligatoria.
Qué significa para usted este plazo más corto.
Concretemos la carga de trabajo. Un certificado de 47 días necesita renovarse aproximadamente ocho veces al año. Actualmente, la mayoría de los equipos lo renuevan una vez al año. Con el período de reutilización de 10 días, la validación del dominio debe realizarse en casi todas esas renovaciones.
Ahora, multiplique eso en un entorno real. Los servidores web, las API, los balanceadores de carga, las pasarelas de correo y las cargas de trabajo efímeras en Kubernetes utilizan certificados. Un proceso manual que funciona bien con una renovación anual se convierte en una fuente constante de interrupciones cuando se necesitan ocho. Y un solo certificado caducado puede provocar la caída de un flujo de pago, una API o una página de inicio de sesión en cuestión de segundos.
Los analistas del sector coinciden en este punto. Gartner señala que las organizaciones sufren interrupciones frecuentes debido a certificados no gestionados, y que el requisito de 47 días otorga mayor urgencia a la gestión del ciclo de vida de los certificados . El cumplimiento normativo también ejerce presión, ya que estándares como PCI DSS exigen una criptografía sólida y actualizada para los datos en tránsito. Para los equipos que trabajan con plazos gubernamentales, el conjunto de herramientas CNSA 2.0 de la NSA establece hitos concretos para la migración post-cuántica. La validación FIPS 140-3 también rige los módulos que protegen las claves respaldadas por HSM.
Cómo mantenerse un paso por delante del reloj
No es necesario que lo resuelvas todo a la vez. El cronograma por fases es tu punto de partida. Empieza aquí.
- Localiza todos los certificados. No puedes renovar lo que no ves. Crea un inventario completo en la nube, en sistemas locales e internos, y asigna un propietario claro a cada certificado.
- Automatice la emisión y renovación. Adopte ACME y un enfoque de gestión del ciclo de vida de los certificados para que las renovaciones se realicen sin intervención humana.
- Prefiera DNS-01 con delegación. Traslade la validación a los registros DNS controlados por una API y utilice la delegación CNAME para mantener los cambios controlados.
- Eliminar la validación manual y por correo electrónico de la producción. Cualquier cosa que requiera que una persona haga clic en un enlace fallará a esta velocidad.
- Supervise y renueve con anticipación. Controle las fechas de vencimiento, reciba alertas antes de que lleguen y renueve con un margen de tiempo en lugar de hacerlo a última hora.
- Configurar cripto-agilidad Ahora mismo, considere la rotación rápida y automatizada como una capacidad fundamental. Le protege hoy y le prepara para la migración post-cuántica.
Algunos errores que debes evitar. No des por sentado que tu infraestructura de clave pública (PKI) privada se ve afectada, porque no es así. No olvides la verificación anual de identidad OV o EV, ya que este paso sigue siendo manual. No confíes en una única ruta de red para la validación. Y no dejes ningún certificado sin un propietario asignado, porque los certificados huérfanos son los que caducan sin que nadie se dé cuenta.
Cómo puede ayudar la consultoría de cifrado
CertSecure Manager es la plataforma de gestión del ciclo de vida de los certificados de Encryption Consulting, diseñada específicamente para abordar los desafíos descritos anteriormente.
Se integra con los clientes ACME existentes y actúa como sistema de registro empresarial y motor de políticas para autoridades de certificación públicas y privadas. Los clientes ACME siguen funcionando con normalidad, mientras que CertSecure Manager realiza un seguimiento de cada certificado emitido, aplica las políticas criptográficas y ofrece una visión unificada de todo el ciclo de vida en la infraestructura Linux y Windows.
CertSecure Manager se integra con autoridades de certificación públicas como Let's Encrypt y con su propio punto final ACME personalizado, lo que garantiza la automatización completa de la emisión y renovación de certificados. Además, reduce las interrupciones relacionadas con los certificados al proporcionar alertas configurables con 30 días o más de antelación.
En lo que respecta al despliegue, los playbooks de Ansible gestionan de forma consistente la configuración del cliente ACME, el despliegue de certificados y la recarga de servicios en Apache, Nginx, Tomcat e IIS, tanto en entornos locales como en entornos de nube híbrida, todo ello sin intervención manual.
A medida que su entorno crece, CertSecure Manager se adapta a él. Proporciona un inventario unificado de certificados, aplica estándares criptográficos en todos los equipos y ofrece visibilidad de los eventos del ciclo de vida. Sus integraciones operativas para alertas, gestión de incidencias y registro de auditorías transforman la administración de certificados, pasando de ser una tarea reactiva de resolución de problemas a un proceso controlado y auditable.
Conclusión
La cuenta regresiva ya ha comenzado. La duración de los certificados se reduce a 200 días en 2026, 100 días en 2027 y 47 días en 2029, mientras que la reutilización de la validación de dominios se reduce a tan solo 10 días. Certificados más cortos y una validación constante y automatizada son ahora dos caras de la misma moneda.
Los equipos que empiecen ahora apenas notarán los plazos, ya que contarán con un inventario, automatización y una clara asignación de responsabilidades. Los equipos que esperen sentirán cada renovación. Si no tienes claro dónde se almacenan tus certificados o cómo se renuevan, eso es lo primero que debes solucionar. Mapea el sistema, automatízalo y todo lo demás será mucho más sencillo.
