A partir del 10 de febrero de 2027, los certificados de Let's Encrypt tendrán una validez predeterminada de 64 días, en lugar de 90. La autoridad de certificación abierta presenta el cambio como un paso intermedio hacia certificados de 45 días, previsto para 2028, según la cobertura de SecurityWeek. Quienes tengan renovaciones programadas en un calendario fijo disponen de unos meses para ajustarlas.
La duración predeterminada de 64 días no sustituye los perfiles más cortos de 45 o seis días para quienes los elijan.
Calendario del cambio
Todos los certificados emitidos o renovados a partir del 10 de febrero de 2027 tendrán un período de 64 días. Los certificados ya emitidos con 90 días seguirán vigentes hasta que caduquen, y se espera que el último de ellos venza el 11 de mayo de 2027.
El objetivo de 45 días procede de un calendario que Let's Encrypt publicó en una entrada de blog de diciembre de 2025, como informa SecurityWeek. La fase de 64 días se sitúa entre la duración predeterminada actual y ese objetivo.
El argumento de seguridad
Let's Encrypt presenta el período más corto como coherente con los Baseline Requirements del CA/Browser Forum. Los beneficios esperados son una revocación más eficiente y una ventana más estrecha en la que un certificado comprometido puede ser utilizado de forma indebida.
SecurityWeek también recoge la declaración de la CA según la cual todas las autoridades de certificación con confianza pública realizarán cambios comparables.
Preparación de las renovaciones
Let's Encrypt pasará a certificados de 64 días en su entorno de pruebas el 14 de octubre de 2026, según su anuncio oficial. Recomienda probar allí antes del cambio en producción.
El trabajo que implica depende de cómo se activen las renovaciones:
- Clientes que admiten ACME Renewal Info (ARI): Let's Encrypt indica que las renovaciones automatizadas no deberían requerir cambios, ya que ARI permite a la CA indicar al cliente cuándo renovar. Su recomendación es consultar la documentación del cliente ACME para comprobar si ARI está implementado.
- Renovaciones con calendarios fijos: renovar cuando hayan transcurrido aproximadamente dos tercios de la vida útil del certificado, en lugar de mantener un intervalo fijo pensado para certificados de 90 días.
La CA también recomienda automatizar el despliegue y la recarga de certificados y añadir alertas de renovaciones fallidas. La emisión por sí sola no sustituye el despliegue del certificado renovado en el servicio que lo utiliza.
Se reduce aún más la reutilización de autorizaciones
Un segundo cambio afecta al tiempo durante el que puede reutilizarse una validación de dominio completada. Let's Encrypt señala que el período de reutilización de autorizaciones bajará a 10 días «el próximo año» y a siete horas en 2028.
La CA da dos razones. Quiere cumplir con una reducción, prevista para 2029, de los períodos máximos de reutilización de validaciones. También quiere eliminar el «CAA rechecking», que la obliga a rehacer parte de la validación cuando los datos de validación tienen más de siete horas.
Let's Encrypt afirma que los endpoints de ACME, las cadenas de emisión y los límites de tasa no se ven afectados por el cambio.
