Certificados de 64 días de Let's Encrypt: qué cambia en febrero de 2027 y qué revisar
El 7 de octubre de 2026 Let's Encrypt anunció que, desde el 10 de febrero de 2027, todo certificado que emita o renueve será válido 64 días en lugar de 90. Si tus renovaciones son automáticas y tu software le pregunta a Let's Encrypt cuándo renovar, no cambia nada para ti. Si algo renueva con un calendario fijo, por ejemplo cada 60 u 80 días, tienes que cambiarlo antes de febrero o el HTTPS de la web caducará. Esta guía explica qué cambia y cuándo, a quién afecta y cómo revisar una web en pocos minutos.
Qué cambia y cuándo
Desde el 10 de febrero de 2027, Let's Encrypt da certificados de 64 días a todos sus usuarios por defecto. La única excepción es quien ya eligió una duración más corta: 45 o 6 días, dos opciones que ya existen. Cualquier certificado emitido o renovado a partir de esa fecha es válido 64 días. Los certificados de 90 días que ya existen no se revocan: caducan en su propia fecha, y Let's Encrypt calcula que el último caducará el 11 de mayo de 2027.
El entorno de staging, la versión de pruebas del servicio, pasa a certificados de 64 días el 14 de octubre de 2026, así que puedes probar una renovación antes de que cambie producción. Las cadenas de certificados, los endpoints ACME con los que habla tu cliente y los límites de uso no cambian.
A la vez llega un segundo cambio: una validación del dominio se puede reutilizar durante 10 días en lugar de 30. Salvo que tu cliente ACME esté hecho para depender de esa reutilización, no tienes que cambiar nada. Let's Encrypt prevé ir más lejos en 2028, con certificados de 45 días por defecto y una reutilización de la validación de 7 horas.
Según Let's Encrypt, el motivo es la seguridad: las duraciones más cortas reducen el riesgo de claves comprometidas y de certificados emitidos por error. Es una norma de una autoridad de certificación, no una ley, y esta guía no es asesoramiento legal.
Quién tiene que hacer algo
Si tu hosting, tu CDN o una plataforma de WordPress gestionado emite el certificado por ti, es su automatización la que tiene que absorber el cambio, no tú. Aun así conviene mirar las fechas del certificado de tu web después de febrero: un certificado caducado muestra a los visitantes un aviso del navegador a pantalla completa, sea quien sea quien olvidó renovarlo.
Si tienes tu propio servidor con un cliente ACME como Certbot, comprueba si tu cliente admite ACME Renewal Info (ARI). Con ARI, Let's Encrypt le dice al cliente cuándo renovar, así que la duración más corta se gestiona sola. La documentación de tu cliente indica si tiene ARI.
Lo que falla son las configuraciones que renuevan con un calendario fijo. Let's Encrypt sugiere buscar en tareas cron, scripts y runbooks números fijos como 83, 80 o 60. Una tarea que renueva cuando el certificado tiene 60 días deja solo 4 días de margen con un certificado de 64. Una que espera 80 u 83 días renueva cuando el certificado ya ha caducado. Let's Encrypt recomienda renovar hacia los dos tercios de la duración: sobre el día 43 de 64, con unas tres semanas por delante.
Cómo revisar el certificado de tu web
En el navegador: haz clic en el icono a la izquierda de la dirección, abre los detalles del certificado y mira el emisor y las dos fechas de validez, desde cuándo vale y cuándo caduca. La distancia entre ambas es la duración del certificado. Después del 10 de febrero de 2027, un certificado nuevo de Let's Encrypt muestra 64 días.
En un terminal, el comando de abajo muestra quién emitió el certificado y sus fechas de validez. Ejecútalo para las dos direcciones de la web, con y sin www, porque cada una puede tener su propio certificado.
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -issuer -dates
Prueba la renovación antes de febrero
Si gestionas tú el cliente ACME, apúntalo al entorno de staging de Let's Encrypt después del 14 de octubre de 2026 y lanza una renovación. El certificado de prueba debería volver con 64 días de validez, y la próxima renovación que indique tu cliente debería quedar bastante antes de la caducidad.
Revisa también los pasos posteriores: recargar el servidor web, copiar el certificado a un balanceador o a una CDN, reiniciar un servidor de correo que use el mismo certificado. Con duraciones más cortas, esos pasos se repiten más a menudo, y uno que solo funciona cuando alguien lo hace a mano falla antes.
Let's Encrypt también aconseja añadir una alerta para las renovaciones fallidas. Una renovación que falla no hace ruido: la web sigue funcionando con el certificado antiguo hasta el día en que caduca.
Qué más puede bloquear una renovación
Más renovaciones significan más ocasiones para que algo ajeno se interponga. Un registro CAA en tu DNS indica qué autoridades pueden emitir certificados para el dominio; si alguien lo cambia y deja fuera a Let's Encrypt, la siguiente renovación se rechaza. Una validación HTTP falla cuando un cortafuegos, una redirección o una página de mantenimiento responde a la petición de validación en lugar del servidor. Una validación DNS falla cuando dejan de funcionar las credenciales de la API del proveedor de DNS.
Nada de esto se ve en la web hasta que caduca el certificado antiguo. Con un certificado de 64 días renovado a tiempo, quedan unas tres semanas entre la renovación fallida y el aviso del navegador.
Cómo lo detecta Relvato
El monitor SSL certificate de Relvato se conecta a tu web por HTTPS y lee su certificado: el emisor, la fecha de caducidad y los días que quedan. Informa de un problema cuando el certificado ha caducado o no es de confianza (autofirmado, emitido para otro nombre o con la cadena incompleta), y de un aviso cuando caduca en 14 días o menos. Revisa igual la otra dirección de la web, con www o sin él, y avisa si el servidor todavía acepta TLS 1.0 o 1.1. No necesita plugin.
Un certificado de 64 días renovado según lo previsto tiene unas tres semanas por delante cuando se renueva, así que el aviso de 14 días solo aparece si una renovación se ha atascado. Te quedan dos semanas para arreglarlo antes de que los visitantes vean un aviso del navegador. El monitor lee el certificado tal como está; no entra en tu hosting ni renueva nada por su cuenta.
El monitor Certificates & subdomains comprueba que tus registros CAA permiten a la autoridad que emite tu certificado, para que un cambio en el DNS no bloquee la siguiente renovación sin que nadie lo note. También vigila los registros públicos de certificados por si aparece alguno que no pediste.
En el plan Free, los monitores se ejecutan cuando pulsas Run, o cada semana con el calendario que elijas. Una ejecución semanal cae al menos una vez dentro de la ventana de 14 días. Desde Pro, se ejecutan a diario.
Cambios de duración de los certificados de Let's Encrypt
| Fecha | Qué cambia |
|---|---|
| 14 de octubre de 2026 | El entorno de staging emite certificados de 64 días para pruebas |
| 10 de febrero de 2027 | Producción: todo certificado nuevo o renovado vale 64 días por defecto; la reutilización de la validación baja de 30 a 10 días |
| 11 de mayo de 2027 | Caducan, según lo previsto, los últimos certificados de 90 días |
| 2028 | Certificados de 45 días por defecto; reutilización de la validación de 7 horas |
Preguntas frecuentes
¿Tengo que sustituir mi certificado actual?
No. Let's Encrypt no revoca nada. Tu certificado actual sigue siendo válido hasta su propia fecha de caducidad, y la primera renovación a partir del 10 de febrero de 2027 es la que trae la duración de 64 días.
Mi hosting se encarga del HTTPS. ¿Tengo que hacer algo?
Normalmente no. La automatización de tu hosting tiene que admitir la duración más corta. Mira las fechas del certificado una vez después de febrero, o deja que un monitor vigile la fecha de caducidad por ti.
¿El cambio afecta a los límites de uso?
No. Let's Encrypt dice que sus límites de uso no cambian con esto, y las cadenas de certificados y los endpoints ACME siguen igual.
¿Puedo seguir con certificados de 90 días?
Con Let's Encrypt, no después del 10 de febrero de 2027. El valor por defecto pasa a 64 días, y las únicas otras opciones que ofrece son más cortas: 45 o 6 días.
¿Qué es ARI?
ACME Renewal Info permite que la autoridad de certificación le diga a tu cliente ACME cuándo renovar. Un cliente con ARI se adapta solo a una nueva duración, y por eso Let's Encrypt dice que esas configuraciones no necesitan cambios.