Reducción del tiempo de vida de los certificados SSL/TLS a 47 días para 2029
El CA/Browser Forum, consorcio que establece estándares para la emisión y gestión de certificados digitales, ha aprobado una medida que reducirá drásticamente la validez de los certificados SSL/TLS. Según la decisión, el período máximo de vigencia pasará de los actuales 398 días (13 meses) a solo 47 días en 2029. Este cambio se implementará de forma gradual durante los próximos cuatro años.
Motivación técnica detrás de la reducción
La medida busca fortalecer la seguridad en línea mediante:
- Mitigación de riesgos por certificados comprometidos: Períodos más cortos limitan la ventana de exposición si una clave privada es robada o un certificado es mal emitido.
- Adopción acelerada de mejores prácticas: Fomenta la automatización en la renovación (ACME, protocolo utilizado por Let’s Encrypt) y elimina certificados obsoletos con algoritmos débiles como SHA-1.
- Alineación con modelos de confianza dinámica: Certificados de corta duración son coherentes con enfoques como Certificate Transparency (CT) y verificaciones en tiempo real.
Impacto operativo y desafíos
La reducción afectará múltiples aspectos técnicos y organizacionales:
- Automatización obligatoria: Empresas deberán implementar soluciones como ACME v2 o APIs de CAs para gestionar renovaciones frecuentes sin interrupciones.
- Monitorización reforzada: Sistemas deben alertar sobre certificados próximos a expirar (ejemplo: herramientas como Certbot o OpenSSL).
- Costos operativos: Mayor frecuencia de emisiones podría incrementar gastos en entornos con certificados pagos (OV/EV).
Calendario de implementación
La transición seguirá esta cronología:
- 2025: Reducción a 90 días de validez máxima.
- 2027: Límite ajustado a 60 días.
- 2029: Vigencia final de 47 días.
Recomendaciones para organizaciones
Para adaptarse eficientemente:
- Implementar ACME con clientes como Certbot para automatizar renovaciones.
- Auditar inventarios de certificados usando herramientas como OpenSSL o Nessus.
- Integrar CT logs (ejemplo: crt.sh) para detectar emisiones no autorizadas.
Esta medida refleja la evolución hacia un modelo de seguridad más ágil, donde la rotación frecuente de credenciales minimiza riesgos. Sin embargo, exige mayor madurez técnica en la gestión de infraestructuras PKI. Fuente original
