Let's Encrypt anunció el 7 de octubre que sus certificados pasan a durar 64 días en lugar de 90. El cambio es para los certificados que se emitan o renueven a partir del 10 de febrero de 2027. Si tu web está en nuestro hosting, no tienes que hacer nada. Si tienes un VPS donde renuevas los certificados tú, merece la pena revisar un par de cosas antes de febrero.
Las fechas
- 14 de octubre de 2026: el entorno de pruebas (staging) de Let's Encrypt empieza a emitir certificados de 64 días, para que quien quiera pueda probar su sistema de renovación antes de tiempo.
- 10 de febrero de 2027: todo certificado nuevo o renovado dura 64 días.
- 11 de mayo de 2027: caducan los últimos certificados de 90 días.
- 2028: la duración por defecto vuelve a bajar, esta vez a 45 días.
Los certificados que ya tienes siguen siendo válidos hasta su fecha: Let's Encrypt ha dejado claro que no va a revocar ninguno por este cambio. Tampoco cambian los límites de emisión ni las cadenas de certificación.
El otro cambio: la validación del dominio
Para emitir un certificado, Let's Encrypt comprueba primero que controlas el dominio. Hasta ahora, esa comprobación se podía reutilizar durante 30 días: si renovabas dentro de ese plazo, no hacía falta repetirla. Desde el 10 de febrero ese plazo baja a 10 días, y en 2028 a siete horas. En la práctica significa que casi cada renovación va a volver a validar el dominio, así que el dominio tiene que seguir apuntando al servidor que pide el certificado.
Por qué lo hacen
Un certificado que dura menos limita el daño si alguien roba la clave privada o si un certificado se emite por error: deja de valer antes. Además, en 2029 las normas del sector acortan el plazo máximo para reutilizar una validación, y Let's Encrypt prefiere llegar por pasos.
Si tu web está en nuestro hosting
Nada que hacer. En el hosting con Plesk, la renovación de Let's Encrypt es automática: el panel lo renueva solo antes de que caduque, sin que tengas que entrar. Lo que sí conviene es que el certificado esté puesto con la opción de mantener el sitio protegido y que tu dominio apunte a nuestro servidor. Cómo comprobarlo y qué hacer si una renovación falla lo tienes en Cómo se renueva tu certificado SSL y qué hacer si caduca. Si aún no tienes certificado en algún subdominio, en unos minutos lo activas con Cómo activar un certificado Let's Encrypt gratis en tu dominio.
Si tienes un VPS y renuevas tú
Aquí sí hay deberes, sobre todo si montaste la renovación a mano hace tiempo con certbot, acme.sh o un script propio:
- Busca números fijos. Let's Encrypt pide revisar las tareas de cron, los scripts y las notas internas en busca de cifras como
60,80u83días. Un script pensado para certificados de 90 días puede llegar tarde con uno de 64. - Renueva a los dos tercios. Si tu sistema renueva por plazo fijo, la recomendación es hacerlo hacia los dos tercios de la vida del certificado, y no por un número de días escrito a mano.
- Mejor aún, usa ARI. Si tu cliente ACME admite ACME Renewal Info, es Let's Encrypt quien le dice cuándo renovar. Mira en la documentación de tu cliente si lo admite.
- Automatiza también el después. Que el servidor web recargue el certificado nuevo sin intervención y que te llegue un aviso si una renovación falla.
- Prueba en staging desde el 14 de octubre si quieres comprobarlo antes de que cuente.
Si tu VPS lleva Plesk, el panel se ocupa igual que en el hosting. Si no tienes claro quién mantiene qué en tu servidor, aquí está la diferencia entre VPS administrado y no administrado. Toda la gama está en servidores VPS y los planes de alojamiento, en hosting web.
Fuente: 64-Day Certificate Lifetimes Coming Feb 2027 (Let's Encrypt)