Cuánto dura un certificado SSL: 100 días desde marzo de 2027 y qué tienes que revisar
Cuánto dura un certificado SSL ahora y desde marzo de 2027, cuando el máximo baja a 100 días. Qué pasa con Let's Encrypt, por qué falla la renovación automática y cómo renovar un certificado SSL caducado.
En este artículo
En corto
- ¿Cuánto dura un certificado SSL? Los que se emiten hoy, 200 días como máximo. Los emitidos antes del 15 de marzo de 2026 pueden durar más, hasta 398 días, hasta que caduquen. Los que se emitan desde el 15 de marzo de 2027 no podrán pasar de 100 días. En 2029 el límite bajará a 47.
- Let's Encrypt se adelanta: desde el 10 de febrero de 2027 sus certificados pasan de 90 a 64 días.
- Si tu certificado se renueva solo, lo normal es que no tengas que hacer nada. El problema está en los que se instalan a mano y en las renovaciones automáticas que llevan tiempo fallando sin que nadie lo sepa.
Cada vez que hay un certificado SSL caducado, el navegador enseña a tus clientes una pantalla de aviso a toda página y muchos se marchan. Hasta ahora, si tenías que renovar el certificado SSL a mano, era una tarea para una o dos veces al año. A partir de marzo serán unas cuatro, y en 2029 unas ocho. Si lo que renuevas es un certificado de correo, un NAS o un balanceador del que nadie se acuerda, conviene mirarlo ahora.
Cuánto dura un certificado SSL: el calendario
Lo aprobó en abril de 2025 el CA/Browser Forum, el organismo donde las autoridades de certificación y los navegadores pactan estas reglas. DigiCert publicó el calendario completo. Con los certificados también se acorta el tiempo que una autoridad puede reutilizar una validación ya hecha:
| Desde | Vida máxima | Validación del dominio | Datos de la empresa (OV y EV) | Renovaciones al año |
|---|---|---|---|---|
| 15/03/2026 | 200 días | 200 días | 398 días | 2 |
| 15/03/2027 | 100 días | 100 días | 398 días | 4 |
| 15/03/2029 | 47 días | 10 días | 398 días | 8 o más |
El límite se aplica a la fecha de emisión. Un certificado emitido el 14 de marzo de 2027 todavía puede durar 200 días, hasta finales de septiembre. Los que ya tienes instalados no se acortan: el cambio te llegará en la siguiente renovación.
Cuánto dura un certificado de Let's Encrypt
Es la autoridad que hay detrás de la mayoría de los certificados gratuitos, y sus plazos ya eran más cortos que el máximo. Según su propio calendario, baja así:
| Desde | Duración | Reutilización de la validación | Se renueva cada |
|---|---|---|---|
| Hoy | 90 días | 30 días | unos 60 días |
| 10/02/2027 | 64 días | 10 días | unos 43 días |
| 16/02/2028 | 45 días | 7 horas | unos 30 días |
La última columna es la recomendación de Let's Encrypt de renovar cuando han pasado dos tercios de la vida del certificado. Fíjate en lo que implica: un script programado para renovar cada 60 días fijos, que hoy funciona, dejará caducar el certificado a partir de 2028 si no se revisa antes. Y con 64 días apenas le quedará margen.
¿Tienes que cambiar algo para renovar tu certificado SSL?
| Tu caso | Qué tienes que hacer |
|---|---|
| Hosting con SSL automático | Normalmente nada. Eso sí, revisa los fallos de validación que explicamos más abajo. |
| VPS o dedicado con Certbot, acme.sh u otro cliente | Comprobar que renueva por tiempo restante y no por un intervalo fijo, y que recarga los servicios. |
| Certificado de pago instalado a mano | Pasar a un sistema automático o asumir unas cuatro instalaciones al año. |
| Correo, NAS, routers, impresoras, balanceadores | Hacer inventario. Suelen ser los primeros en caducar porque nadie se acuerda de ellos. |
| Certificados de una CA privada interna | Las reglas no les afectan: son solo para certificados de confianza pública. |
Si pagas un certificado para dos o tres años, en realidad compras una suscripción. Tienes el servicio durante ese tiempo, pero el certificado hay que volver a emitirlo e instalarlo cada vez que caduca. Pagar más años no te libra de instalarlo.
Por qué falla la renovación automática de un certificado SSL
La automatización solo funciona si la autoridad puede comprobar que el dominio sigue siendo tuyo. Estos son los fallos más habituales:
- DNS que apunta a otro sitio. Has movido la web y un registro A o AAAA sigue en el servidor antiguo. Te lo contamos en qué son los DNS.
- Un
.htaccesso un cortafuegos que bloquea la ruta/.well-known/acme-challenge/. También pasa con los bloqueos por país: la validación puede llegar desde fuera de España. - Un CDN o proxy delante que no deja pasar esa validación. Pasa con configuraciones estrictas de Cloudflare.
- Un registro CAA que no autoriza a la autoridad que emite tu certificado.
- El servicio no se recarga. El certificado nuevo está en el disco, pero Nginx o el servidor de correo sigue sirviendo el antiguo hasta que alguien lo reinicia.
Cómo comprobar la caducidad y renovar el certificado SSL
En diez minutos lo tienes revisado:
- Mira cuándo caduca lo que tu servidor está sirviendo de verdad, no lo que hay en el disco:
Repítelo con el correo, cambiando el puerto y el nombre (por ejemplo,echo | openssl s_client -connect tudominio.es:443 -servername tudominio.es 2>/dev/null | openssl x509 -noout -enddatemail.tudominio.es:993). - Si usas Certbot, simula una renovación:
certbot renew --dry-run - Comprueba que recarga los servicios. En Certbot se hace con un deploy hook:
certbot renew --deploy-hook "systemctl reload nginx" - Busca intervalos fijos en tus crontabs y scripts: cualquier «renueva cada X días» hay que cambiarlo por «renueva cuando quede poco».
- Pon una alerta externa. Let's Encrypt dejó de enviar avisos de caducidad por correo en 2025, así que no cuentes con ellos. Sirve cualquier monitor que vigile el certificado, como Uptime Kuma, que puedes montar tú mismo (lo incluimos en aplicaciones self-hosted).
Si tu certificado SSL ya ha caducado
La web sigue ahí, pero los visitantes ven el aviso del navegador hasta que haya un certificado válido instalado. Depende de cómo lo tengas:
- Renovar el certificado SSL en cPanel: entra en Estado de SSL/TLS y ejecuta AutoSSL. Si da error, el mensaje suele apuntar a una de las causas de arriba.
- En un servidor con Let's Encrypt: lanza
certbot renew, lee el error si lo hay y recarga el servidor web. - Certificado de pago: vuelve a emitirlo con tu proveedor e instálalo. Recuerda instalar también el certificado intermedio.
Nuestra recomendación
Si dependes de una persona y un recordatorio en el calendario, cámbialo antes de marzo. Y si vas a comprar un certificado de pago, decide antes quién lo va a reinstalar cada vez que caduque.
En nuestro hosting el SSL gratuito está incluido y se renueva solo, sin que tengas que instalar nada, y ya estamos preparados para los nuevos plazos. Si tienes un VPS administrado, nos encargamos nosotros. Y si necesitas un certificado de pago (DV, Wildcard o multidominio), te ayudamos a instalarlo.
Ver certificados SSLRackmarkt
Certificados SSL
SSL gratuito con renovación automática en todos nuestros planes de hosting, y certificados DV, Wildcard o multidominio de pago si los necesitas. Te ayudamos a instalarlos.
Ver certificados SSL
Equipo de Rackmarkt
Escrito por el equipo técnico que administra nuestra plataforma de hosting, VPS y servidores. Conoce a nuestro soporte.
En este artículo
