Certificados SSL más cortos: qué cambia en 2026 y 2027 y cómo evitar que tu web muestre un aviso de seguridad

¿Qué cambió y cuál es el calendario?

En abril de 2025 el CA/Browser Forum aprobó la votación SC-081v3, propuesta por Apple, con el voto a favor de 25 autoridades de certificación (ninguna en contra y cinco abstenciones) y de Apple, Google, Microsoft y Mozilla (CA/Browser Forum, DigiCert). La votación fija dos reducciones: la duración máxima del certificado y el tiempo durante el cual la autoridad puede reutilizar la verificación de que controlas el dominio.

Fuente: Requisitos básicos del CA/Browser Forum, secciones 4.2.1 y 6.3.2 (versión 2.3.1, 4 de octubre de 2026).

Los cambios se aplican a los certificados nuevos. Uno emitido antes de cada fecha sigue siendo válido hasta su vencimiento.

¿Son 200 o 199 días?

El límite oficial es de 200 días. Los requisitos dicen que un certificado emitido entre el 15 de marzo de 2026 y el 15 de marzo de 2027 no debe superar los 200 días y recomiendan no pasar de 199 (CA/Browser Forum). Lo mismo pasa después: 100 y 99 días, 47 y 46 días.

Por eso varias autoridades emiten un día menos. DigiCert, por ejemplo, entrega certificados de 199 días como máximo y aclara que su límite es un día más corto que el permitido (DigiCert). Si ves “199 días” en la web de tu proveedor, es la misma regla aplicada con margen.

¿A quién afecta?

A cualquiera que tenga un sitio, una tienda o un servicio con HTTPS. El impacto depende de cómo se renueva hoy el certificado:

• Renovaciones manuales. Si alguien descarga el certificado, lo instala y pone un recordatorio en el calendario, ese trabajo pasa de hacerse una vez al año a casi dos veces por año ahora y a unas cuatro veces por año desde marzo de 2027.
• Compras por varios años. Puedes seguir pagando una cobertura de varios años, pero el certificado instalado tiene que reemitirse cada vez que llega al límite. DigiCert, por ejemplo, permite reemitir sin costo extra mientras dure el plan (DigiCert). Alguien tiene que hacer esa reemisión e instalarla.
• Certificados instalados a mano en servidores y equipos. Servidores de correo, paneles de administración, VPN, balanceadores, cámaras, NAS o aplicaciones internas expuestas a internet. Suelen quedar fuera de la renovación automática.
• Certificados con validación de empresa (OV y EV). Además de la duración, se acorta el tiempo de reutilización de los datos de la organización, que pasa de 825 a 398 días desde marzo de 2026 (CA/Browser Forum).

No afecta a los certificados privados que una empresa emite para uso interno, porque los navegadores no confían en ellos de forma pública. Tampoco a los certificados de origen de Cloudflare, que cifran solo el tramo entre Cloudflare y tu servidor (Cloudflare).

¿Qué pasa con Let’s Encrypt?

Let’s Encrypt, la autoridad gratuita que usan muchos hostings, emite certificados de 90 días y tiene su propio calendario para bajar a 45 (Let’s Encrypt):

• 10 de febrero de 2027: el perfil predeterminado pasa a 64 días y la validación del dominio se puede reutilizar durante 10 días.
• 16 de febrero de 2028: el perfil predeterminado pasa a 45 días y la reutilización de la validación baja a 7 horas.

Let’s Encrypt recomienda no renovar a mano, usar un cliente compatible con ARI (un mecanismo por el que la autoridad le indica al cliente cuándo renovar) y configurar alertas para los certificados que no se renuevan a tiempo.

¿Qué ve un visitante si el certificado vence?

En Chrome aparece una página completa con el aviso “Tu conexión no es privada” y un código como NET::ERR_CERT_DATE_INVALID, que indica un problema de fechas (Google).

El aviso “No es seguro” en la barra de direcciones aparece cuando el sitio no usa una conexión privada, es decir, cuando carga sin HTTPS (Google).

¿Cómo automatizo la renovación?

1. Usa un certificado con renovación automática del hosting. Muchos paneles de hosting instalan y renuevan certificados gratuitos sin intervención. Revisa que esté activado para el dominio principal, para la versión con “www” y para cada subdominio.
2. Si administras el servidor, usa ACME. Es el protocolo estándar para pedir y renovar certificados de forma automática (IETF, RFC 8555). Clientes como Certbot o acme.sh lo hacen con una tarea programada. Let’s Encrypt, DigiCert y otras autoridades lo aceptan (DigiCert).
3. Si tu dominio pasa por Cloudflare, su certificado universal se emite, renueva e instala de forma automática en todos los planes, incluido el gratuito (Cloudflare). El servidor de origen sigue necesitando su propio certificado.
4. Monitorea los vencimientos. Una alerta que avise con dos o tres semanas de margen permite corregir una renovación que falló.

Lista de revisión

• Inventario de todos los dominios y subdominios con HTTPS, incluidos correo, paneles y servicios internos expuestos.
• Para cada uno: quién emite el certificado, cuándo vence y si se renueva solo.
• Renovación automática activada en el hosting o con un cliente ACME.
• Certificados comprados por varios años: quién reemite y en qué fecha.
• Validación del dominio por DNS automatizada si usas certificados comodín (*.tudominio.com).
• Alertas de vencimiento enviadas a una casilla que alguien lee.
• Plan para marzo de 2027, cuando el límite baja a 100 días.

¿Qué ofrecemos en AiDo Creative?

En nuestros planes de hosting y mantenimiento web revisamos los certificados de tus dominios, dejamos la renovación en automático donde se puede y armamos un calendario para los que hay que instalar a mano. Lo mismo hacemos en servidores y equipos dentro del soporte IT. Puedes ver el detalle en Hosting.

Preguntas frecuentes