La autoridad certificadora sin fines de lucro Let’s Encrypt, controlada por la comunidad y que proporciona certificados gratuitamente a quienes lo deseen, ha anunciado su decisión de reducir progresivamente la duración de los certificados TLS emitidos de 90 a 45 días. El 10 de febrero de 2027, la duración de los certificados se reducirá a 64 días, y el 16 de febrero de 2028, a 45 días. La opción de obtener certificados con una validez de 45 días estará disponible a partir del 13 de mayo de 2026.
Al mismo tiempo, se reducirá progresivamente el período de validez de la autorización: el 10 de febrero de 2027 se reducirá de 30 a 10 días, y el 16 de febrero de 2028, de 10 días a 7 horas. Por período de validez de la autorización se entiende el tiempo tras la confirmación de sus derechos sobre nombre de dominio, durante el cual el certificado puede ser emitido sin pasar por verificaciones adicionales. Una vez transcurrido este tiempo, se requerirá una nueva confirmación de derechos.
La razón dada para la reducción de la duración de los certificados son los nuevos requerimientos de la asociación CA/Browser Forum, a los que deben adhereirse los fabricantes de navegadores y las autoridades certificadoras. Una reducción similar en la duración también será implementada por todas las autoridades certificadoras. El CA/Browser Forum ha fijado como fecha límite para completar la implementación marzo de 2029, y el tiempo máximo de validez del certificado será de 47 días. Después de marzo de 2029, la aprobación en los navegadores de nuevos certificados cuya validez exceda los 47 días resultará en errores 'ERR_CERT_VALIDITY_TOO_LONG'.
Entre las ventajas de la transición a certificados de corta duración se menciona la posibilidad de reducir el tiempo de implementación de nuevos algoritmos criptográficos en caso de que se detecten vulnerabilidades en los actualmente en uso, así como la mejora de la seguridad. Por ejemplo, en caso de una fuga inadvertida del certificado como resultado de un ataque, los certificados de corta duración impedirían a los atacantes controlar el tráfico de la víctima durante un período prolongado o utilizar certificados para phishing. La verificación más frecuente de la propiedad del dominio y la reducción de los plazos de validez de los certificados también disminuirán la probabilidad de que un certificado continúe vigente después de que la información contenida en él pierda relevancia, reduciendo así el riesgo de difusión de certificados erróneamente emitidos.
Debido a la reducción en la duración de los certificados, Let’s Encrypt ha recomendado a los usuarios no actualizar los certificados manualmente, sino pasar a sistemas automáticos de gestión de certificados. Al mismo tiempo, los usuarios que ya están utilizando sistemas automatizados deben asegurarse de que sus herramientas soporten correctamente los certificados con una duración reducida. Para coordinar la actualización automática oportuna de los certificados, los administradores pueden utilizar la extensión del protocolo ARI (ACME Renewal Information), que permite obtener información sobre la necesidad de renovar los certificados y elegir el momento óptimo para la renovación. También es recomendable configurar un sistema de monitoreo para detectar situaciones en las que el certificado no se haya renovado a tiempo.
Para simplificar la verificación de derechos sobre el dominio, el proyecto Let’s Encrypt planea implementar en 2026 un nuevo método de verificación DNS-PERSIST-01, que a diferencia de los métodos HTTP-01 y DNS-01 no requiere actualizar la información en cada verificación ni que el cliente ACME tenga acceso a la infraestructura web o al servidor DNS. En PERSIST-01, es suficiente con añadir una vez en DNS un determinado registro TXT (‘_validation-persist.example.com. IN TXT («ca.example;» » accounturi=https://ca.example/acct/123″)’) y el cliente ACME podrá llevar a cabo la autorización sin necesidad de actualizar los datos en DNS.
Fuente: opennet.ru
