La autoridad certificadora sin fines de lucro Let’s Encrypt, controlada por la comunidad y que ofrece certificados gratuitamente a todos los interesados, ha comenzado a emitir certificados gratuitos para direcciones IP y también ha proporcionado la posibilidad de obtener certificados TLS cuya vida útil está limitada a 160 horas (6 días). El 13 de mayo se tiene previsto añadir soporte para la emisión opcional de certificados con una validez de 45 días. De acuerdo con el plan previamente anunciado, a partir del 10 de febrero de 2027, el máximo período de validez de los certificados se reducirá de 90 a 64 días, y el 16 de febrero de 2028, a 45 días.
Los certificados para direcciones IP, disponibles desde hoy, se emiten por 6 días y permiten configurar acceso encriptado y seguro a los hosts, no solo utilizando nombres de dominio, sino también accediendo directamente a IP. El acceso seguro al servidor web a través de una dirección IP puede ser útil para interactuar con dispositivos domésticos; al configurar inicialmente o probar nuevos servidores; para establecer conexiones seguras entre los backend en la infraestructura interna; para crear páginas de parada que se muestren al acceder por IP; al desplegar servidores personales; para organizar el acceso a servidores DoH (DNS sobre HTTPS) directamente por IP.
Los certificados para dominios, cuya validez está limitada a 6 días, pueden usarse para aumentar la seguridad de la infraestructura: en caso de que un certificado se filtre inadvertidamente como resultado de un hackeo, los certificados de corta duración impedirán que los atacantes controlen el tráfico de la víctima durante un período prolongado o utilicen los certificados para phishing.
Para solicitar un certificado de corta duración para un dominio y un certificado para una dirección IP, es necesario que el cliente ACME soporte la extensión del protocolo que implemente los perfiles, así como el perfil "shortlived". Para confirmar la propiedad de la dirección IP solo se pueden usar los métodos http-01 y tls-alpn-01 (el método dns-01 está prohibido).
Fuente: opennet.ru
