Ya no es una propuesta. La CA / Foro del navegador Recientemente, se aprobó por unanimidad (25-0) una política para reducir el periodo máximo de validez de los certificados TLS públicos a tan solo 47 días, a partir de marzo de 2029. Esta nueva norma no es una propuesta, sino una política aprobada.
Como bien lo expresó un ingeniero de seguridad: “La confianza en Internet ya no es algo que se establece y luego se olvida”.
Antes de profundizar en los detalles clave de esta política, entendamos el propósito de reducir la vida útil de los certificados.
¿Por qué se prefiere un certificado con una vigencia más corta?
Los certificados de menor duración reducen el margen de oportunidad para que los atacantes exploten una clave comprometida. Si un certificado es robado hoy, se autodestruirá antes, dejando poco margen para su uso indebido. Si un certificado TLS se ve comprometido hoy, su uso indebido termina en semanas, no en meses. Ya no es necesario depender de sistemas de revocación obsoletos, como CRL, para marcarlo.
Vamos a desglosarlo en los puntos siguientes:
- Ventana de riesgo reducido
Una validez de certificado más corta limita significativamente el tiempo en que un certificado comprometido o mal emitido puede ser explotado. Ya sea una clave privada filtrada o un certificado fraudulento, el daño se limita a un período mucho más corto, lo que minimiza el impacto en la seguridad a largo plazo.
- La seguridad exige agilidad
Cuando la vida útil de los certificados es más corta, resulta más fácil adoptar nuevas mejoras de seguridad, como algoritmos criptográficos actualizados o configuraciones parcheadas. En resumen, no se puede defender el futuro con el cifrado de ayer.
- Fomenta la automatización
La renovación manual de certificados no es escalable cuando los certificados caducan cada 47 o 90 días. La reducción de la vida útil obliga a las organizaciones a adoptar soluciones automatizadas de Gestión del Ciclo de Vida de los Certificados (CLM), lo que reduce el error humano y garantiza la puntualidad de las operaciones del ciclo de vida de los certificados, como la emisión, la renovación y la revocación.
- Seguridad preparada para el futuro
Con renovaciones más frecuentes, las organizaciones pueden responder rápidamente a los estándares en evolución (como criptografía post-cuántica) o nuevos mandatos de cumplimiento. Los certificados de corta duración crean un ciclo de actualización natural que favorece la agilidad criptográfica.
Aspecto clave de la validez de 47 días
La hoja de ruta de Apple no sume a la industria en un caos inmediato. En cambio, ofrece una reducción gradual y estratégica de la validez de los certificados TLS, lo que da tiempo a las organizaciones para adaptarse y las anima a adoptar la automatización y prácticas de seguridad modernas.
Así es como se desarrolla la cronología:
- Marzo de 2026 → La vigencia del certificado estará limitada a 200 días.
- Marzo de 2027 → Reducido aún más a 100 días.
- Marzo de 2029 → Limitado a solo 47 días.
Pero la transformación no termina ahí.
La Validación de Control de Dominio (DCV) es el mecanismo utilizado para demostrar la propiedad de un dominio, y además se está reforzando. Septiembre 2027, el período de reutilización del DCV se reducirá a 10 díasEsto significa que, en lugar de validar un dominio una vez y reutilizar esa validación durante semanas, los sistemas deberán reconfirmar la propiedad cada 10 días para la emisión de nuevos certificados.
Para aquellos que utilizan la Validación de la Organización (OV) o Certificados de validación extendida (EV)Hay otra actualización importante. La reutilización de datos de validación de identidad del sujeto, que se refiere a la reutilización de datos organizativos previamente verificados (como el nombre legal, el número de registro, la dirección y otros atributos de identidad de la empresa) durante la emisión de certificados OV y EV, también está restringida.
- Certificados emitidos el 14 de marzo de 2026 o antes: reutilización permitida durante 825 días
- Certificados emitidos a partir del 15 de marzo de 2026: reutilización permitida solo por 398 días
Esto significa que los usuarios de OV/EV deberán rehacer la validación de su organización cada 398 días, lo que añade un nuevo nivel de cumplimiento continuo.
En resumen, esto es más que un simple cambio de cifras. Es un reajuste fundamental de cómo se genera, valida y mantiene la confianza digital en internet.
¿Cómo impacta a su organización?
Esta evolución pone a las organizaciones en una encrucijada. Por un lado, promete mayor seguridad. Por otro, exige velocidad, automatización y nuevos flujos de trabajo.
Esto es lo que está cambiando y por qué es importante.
- Mayor frecuencia de renovación
Los certificados TLS ya no tendrán una validez superior a un año. A partir de 2029, caducarán cada 47 días. Esto reduce significativamente el margen de tiempo que tienen los atacantes para aprovechar un certificado robado o utilizado indebidamente. Pero también implica que el proceso de renovación debe ser riguroso e infalible; no hay margen de error.
- Revalidación de OV/EV cada 398 días
Debido a los cambios aprobados en la reutilización de datos de validación, las organizaciones que usan certificados OV o EV deben volver a realizar la validación organizacional cada 398 días a partir del 15 de marzo de 2026. Esto introduce una sobrecarga administrativa que se debe rastrear y automatizar, o se corre el riesgo de demoras y fallas en la emisión.
- Controles frecuentes del DCV
La Validación de Control de Dominio (DCV), que verifica la propiedad del dominio, debe realizarse cada 10 días. Esto garantiza que los certificados solo se emitan a quienes realmente controlan el dominio, lo que añade una capa de seguridad crucial. Sin embargo, la sobrecarga que supone realizar esta operación manualmente es agotadora, especialmente para organizaciones que gestionan cientos o miles de dominios.
- Los procesos manuales no escalarán
Depender de hojas de cálculo, recordatorios de calendario o de unos pocos miembros del equipo para el seguimiento de vencimientos y revalidaciones no es sostenible. En este entorno de alta frecuencia, la gestión manual de certificados es una desventaja, no una estrategia.
- Aumenta el riesgo de cortes de suministro
Los certificados no solo sirven para sitios web; protegen API, microservicios, VPN, aplicaciones móviles y mucho más. Una renovación omitida o un fallo en la verificación de dominio puede provocar la interrupción de servicios críticos para el negocio. Para las empresas, esto podría significar pérdidas de ingresos, pérdida de confianza y daños a su reputación.
La confianza digital ahora está ligada a la agilidad. Se acabaron los tiempos de la gestión estática. Las organizaciones deben evolucionar de la gestión de certificados estática a sistemas automatizados y dinámicos que puedan hacer frente a las amenazas modernas.
¿Cómo pueden las organizaciones prepararse para el cambio hacia una menor duración de los certificados TLS?
El paso hacia los 47 días duración de los certificados No se trata solo de una actualización de políticas, sino de un cambio fundamental en la gestión de la confianza digital. Y aunque 2029 parezca lejano, es hora de actuar. Las organizaciones que se adapten hoy evitarán dificultades mañana.
No se trata de estar preparado para 2029, sino de demostrar que puedes hacerlo hoy, cada 47 días, sin falta.
A continuación, le indicamos cómo comenzar a prepararse para el cambio de validez del certificado a 47 días:
Cree un inventario de certificados centralizado
No se puede automatizar ni proteger lo que no se ve. Muchas organizaciones tienen docenas, si no cientos, de certificados TLS públicos distribuidos en sitios web, API, VPN, balanceadores de carga y servicios internos. Un certificado caducado en cualquiera de estas ubicaciones puede causar interrupciones graves, afectar a los clientes o interrumpir las operaciones internas.
Plan de ACCION:
- Utilice herramientas de descubrimiento (por ejemplo, Qualys SSL Labs, Censys, plataformas CLM) para encontrar certificados en sus PKI ambiente.
- Tipos de certificados de documentos (DV, OV, EV), CA emisoras, fechas de vencimiento y propietarios responsables.
- Cree un inventario de certificados centralizado, un panel único al que sus equipos puedan hacer referencia.
Implementar la automatización del ciclo de vida de los certificados
A medida que la vida útil de los certificados se reduce de 200 a 100 o 47 días, la renovación manual se vuelve insostenible. Los equipos se verán abrumados al intentar rastrear, renovar, validar e implementar certificados cada pocas semanas.
Plan de ACCION:
- Para certificados DV: utilice protocolos basados en ACME (como Let's Encrypt o EJBCA) para emitir, renovar e implementar automáticamente.
- Para certificados SSL/TLS: Invierta en Gestión del ciclo de vida de los certificados (CLM) plataformas (por ejemplo, CertSecure de Encryption Consulting).
- Asegúrese de que la automatización cubra todas las operaciones de certificados, como la generación de solicitudes, la creación y firma de CSR, la implementación de certificados y los ciclos de renovación o revocación.
- Integre herramientas CLM con su infraestructura de DevOps o nube (por ejemplo, Ansible, Terraform, Jenkins).
Reelaboración de flujos de trabajo de validación y DCV
Actualmente, se puede reutilizar la validación de control de dominio (DCV) durante más de 30 días. A partir de septiembre de 2027, ese plazo se reducirá a 10 días, lo que significa que los certificados emitidos posteriormente requerirán una revalidación de dominio frecuente.
Plan de ACCION:
- Utilice clientes ACME para automatizar DCV basado en DNS o HTTP (a través de registros TXT o tokens de servidor web).
- Prevalide los dominios a través de su CA para reducir la sobrecarga en tiempo real.
- Planifique la rotación de DCV para certificados comodín y multi-SAN.
Pruebe ahora ciclos de renovación más cortos
Esperar a que se aplique la política de 47 días podría dejarlo en apuros. Es necesario simular las pruebas piloto para el entorno futuro ahora, en condiciones controladas, y ajustarlas a sus flujos de trabajo.
Plan de ACCION:
- Establezca intervalos de renovación en 60 o 90 días (ya requerido por algunas CA).
- Ejecute estos flujos de trabajo de prueba de extremo a extremo, incluida la emisión, la validación, la implementación y el manejo de alertas.
- Monitoree la tasa de éxito de las renovaciones, el tiempo de inactividad debido a implementaciones fallidas y los retrasos en la respuesta humana. Esto le permitirá detectar cuellos de botella, errores de configuración y brechas de cobertura antes de que se cumplan los 47 días.
Capacitar equipos multifuncionales
La gestión del ciclo de vida de los certificados no solo afecta a los equipos de seguridad. Si DevOps no está al tanto, el equipo de TI no está alineado o los desarrolladores no comprenden los límites de la automatización, esto podría generar fricción interna e interrupciones.
Plan de ACCION:
- Realizar talleres con equipos de DevOps, seguridad, infraestructura de TI y cumplimiento.
- Actualizar los procedimientos operativos estándar internos y los materiales de incorporación para incluir los nuevos plazos de vencimiento, los requisitos de validación DCV y OV/EV y los protocolos de renovación de emergencia.
- Establecer la propiedad de certificados o los líderes de servicio para mantener la responsabilidad de los certificados clave.
Revisar políticas, contratos y acuerdos de nivel de servicio
No todos los proveedores, plataformas o proveedores de hosting están preparados para la gestión de certificados de ciclo corto. Algunos balanceadores de carga, proveedores de nube o herramientas SaaS pueden carecer de integración de API o compatibilidad con la automatización.
Qué hacer:
- Audite sus herramientas de terceros y plataformas en la nube: Compruebe/audite su automatización de la renovación y el despliegue de certificados.
- Actualizar los SLA del proveedor para reflejar los requisitos de certificado de 47 días.
- Negocie el soporte para las integraciones de ACME o solicite herramientas de automatización como parte de sus expectativas de seguridad.
El cambio a certificados TLS de 47 días y validaciones OV/EV de 398 días no es solo una actualización; es una nueva forma de trabajar. Para mantener la seguridad y la confianza en este entorno, su organización debe adoptar la automatización, eliminar las barreras entre equipos y preparar sus sistemas ahora.
¿Cómo puede ayudar EC?
Administrador de CertSecure Es una solución verdaderamente independiente del proveedor que automatiza todo el ciclo de vida de los certificados SSL/TLS, desde la emisión y el descubrimiento hasta la implementación y las operaciones de certificados con un solo clic, como la renovación, la revocación y la migración de CA. Puede gestionar fácilmente muchos Certificados SSL/TLSCon el panel de control centralizado de CertSecure Manager, obtendrá visibilidad en tiempo real de todos sus certificados, eliminando las cargas de trabajo manuales y minimizando el riesgo de vencimientos inesperados.
Prepárese hoy mismo para el futuro de la gestión del ciclo de vida de los certificados (CLM) experimentando nuestra solución CLM: CertSecure Manager. Solicite una demostración hoy.
Conclusión
La reducción de la vigencia de los certificados TLS a 47 días ya no es un concepto teórico; es un mandato aprobado y respaldado por la industria que transformará la forma en que se mantiene la confianza digital en Internet.
Lo que comenzó en 2020 con la implementación por parte de Apple de certificados de 398 días ahora ha evolucionado hacia una tendencia más amplia e irreversible, que enfatiza la agilidad por sobre la complacencia, la automatización por sobre la supervisión manual y la seguridad por diseño por sobre la tradición.
Para marzo de 2029, todos los TLS públicos certificados Caducará en menos de dos meses y, para marzo de 2026, la reutilización de la validación OV/EV se reducirá a 398 días. Estos no son solo cambios técnicos, sino imperativos operativos. Las organizaciones que no se adapten se arriesgan a algo más que simples inconvenientes: se arriesgan a interrupciones del servicio, pérdida de la confianza de los clientes y posibles incumplimientos normativos.
En un mundo donde la confianza se restablece cada 47 días, los ganadores serán aquellos que se preparen cada día.
- ¿Por qué se prefiere un certificado con una vigencia más corta?
- Aspecto clave de la validez de 47 días
- ¿Cómo impacta a su organización?
- ¿Cómo pueden las organizaciones prepararse para el cambio hacia una menor duración de los certificados TLS?
- Cree un inventario de certificados centralizado
- Implementar la automatización del ciclo de vida de los certificados
- Reelaboración de flujos de trabajo de validación y DCV
- Pruebe ahora ciclos de renovación más cortos
- Capacitar equipos multifuncionales
- Revisar políticas, contratos y acuerdos de nivel de servicio
- ¿Cómo puede ayudar EC?
- Conclusión
