Renovar certificado SSL: renovación automática y pasos para certificados de pago

Cómo renovar un certificado SSL: renovación automática con Let's Encrypt, renovación paso a paso de un certificado de pago y plazos de validez más cortos.

Preguntas frecuentes

¿Cómo renuevo un certificado de Let's Encrypt?

Ejecuta `sudo certbot renew`. Solo renueva los certificados que están próximos a caducar, así que es seguro programarlo. La mayoría de las instalaciones de Certbot ya incluyen una tarea programada que lo hace, y `sudo certbot renew --dry-run` prueba el proceso contra el servidor de pruebas (staging) de Let's Encrypt sin guardar los certificados de prueba.

¿Cuánto dura un certificado SSL en 2026?

Según la votación SC-081v3 del CA/Browser Forum, los certificados de confianza pública tuvieron un límite de 398 días hasta el 15 de marzo de 2026. Desde esa fecha el límite es de 200 días. Bajará a 100 días el 15 de marzo de 2027 y a 47 días el 15 de marzo de 2029. Algunas autoridades de certificación emiten certificados con una vigencia algo menor al límite, y Let's Encrypt tiene su propio calendario, más corto.

¿Qué pasa si mi certificado SSL caduca?

Los navegadores muestran a los visitantes una advertencia de seguridad a pantalla completa, y muchos no dejan continuar sin una confirmación manual. Los clientes de API y las integraciones de pago o de inicio de sesión que validan los certificados de forma estricta pueden fallar por completo. Se soluciona renovando e instalando un certificado nuevo, y los visitantes no tienen que hacer nada cuando el nuevo ya está activo.

¿Renovar es lo mismo que comprar un certificado nuevo?

En la mayoría de los certificados de pago, una renovación es un certificado nuevo emitido para el mismo dominio, normalmente con una validación nueva y un CSR nuevo o reutilizado. Algunos proveedores descuentan o agrupan las renovaciones, y otros las tratan como una compra normal. Consulta la política de renovación de tu proveedor en lugar de dar por hecho que habrá descuento.

¿Por qué dejó de funcionar la renovación automática de Let's Encrypt?

Las causas habituales son un temporizador o tarea cron eliminados o desactivados, un servidor web que ya no responde a la solicitud de validación HTTP en el puerto 80, un cambio de DNS, o un certificado creado con la opción manual sin un hook de autenticación. Los certificados wildcard necesitan un plugin de DNS para renovarse de forma automática. Ejecuta `sudo certbot renew --dry-run` y lee el error que muestra.

Respuesta corta: si tu certificado viene de Let's Encrypt, ejecuta sudo certbot renew (o deja que lo haga la tarea programada que tu instalación de Certbot ya creó). Si lo compraste a una autoridad de certificación o a un revendedor, renuévalo desde el panel de ese proveedor, valida el dominio otra vez e instala los nuevos archivos del certificado en tu servidor o hosting. Después, comprueba la nueva fecha de caducidad en un navegador. Además, la vigencia máxima de los certificados se está reduciendo, así que cuanto antes lo automatices, menos veces tendrás que hacerlo a mano.

Primero: averigua cuándo y dónde caduca tu certificado

Antes de renovar nada, confirma qué tienes exactamente.

  1. Abre tu sitio en Chrome, haz clic en el candado o en el icono de información del sitio, abre los detalles del certificado y anota la fecha de "Valid to" (Válido hasta) y el emisor.
  2. O compruébalo desde una terminal: echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. Si el emisor es Let's Encrypt, sigue la sección de renovación automática de más abajo. Si es otra autoridad, lo más probable es que tengas un certificado de pago y necesites los pasos de renovación de pago.
  4. Si tu sitio funciona en un hosting gestionado o en un creador de sitios web, la plataforma suele encargarse de la renovación. Busca un ajuste de SSL o de seguridad del dominio antes de tocar archivos.

¿No sabes qué tipo tienes? La guía de tipos de certificados SSL explica la validación de dominio, de organización y extendida, y la entrada del glosario qué es un certificado SSL cubre lo básico.

Qué camino de renovación te corresponde

Tu situaciónQué hacerEsfuerzo
Let's Encrypt con Certbot en tu propio servidorConfirma que la tarea programada de certbot renew se ejecuta y pruébala con --dry-runBajo, casi siempre una sola vez
Certificado de una autoridad de certificación de pago o de un revendedorRenueva en el panel del proveedor, valida e instala los nuevos archivosManual, en cada período
Hosting gestionado o creador de sitios con SSL integradoRevisa el ajuste de SSL; la renovación suele ser automáticaMínimo
Certificado detrás de una CDN o un balanceador de cargaRenueva en la CDN o en el balanceador, no en el servidor de origenDepende de la configuración

Renovar un certificado de Let's Encrypt (renovación automática)

Los certificados de Let's Encrypt están pensados para que los renueve un programa. La propia documentación de Certbot indica que la mayoría de las instalaciones vienen con la renovación automática ya configurada, mediante una tarea programada que ejecuta certbot renew periódicamente.

Paso a paso

  1. Comprueba que existe la tarea programada. En máquinas con systemd, ejecuta systemctl list-timers y busca un temporizador de Certbot. En otras, revisa el crontab. La documentación de Certbot describe ambos lugares.
  2. Haz una prueba en seco. sudo certbot renew --dry-run prueba la renovación contra el servidor de pruebas (staging) de Let's Encrypt. Obtiene certificados de prueba pero no los guarda en disco, así que es seguro en un sitio en producción.
  3. Corrige lo que indique. Los fallos típicos son un firewall que bloquea el puerto 80, una configuración del servidor web que ya no sirve la ruta de validación, o un DNS que apunta a otro sitio.
  4. Renueva ahora si lo necesitas. sudo certbot renew solo toca los certificados próximos a caducar, así que ejecutarlo varias veces no hace daño.
  5. Recarga el servidor web tras la renovación si tu configuración no lo hace automáticamente. Certbot admite deploy hooks que solo se ejecutan cuando un certificado se ha renovado de verdad.
  6. Verifica la nueva fecha de caducidad con el navegador o con el comando openssl de arriba.

Casos en los que la renovación automática no funciona por sí sola

  • Los certificados creados con la opción --manual de Certbot no se renuevan automáticamente a menos que los combines con un script de hook de autenticación.
  • Los certificados wildcard requieren validación por DNS, así que necesitas un plugin de DNS para tu proveedor de DNS si quieres que se renueven sin intervención.
  • Los servidores migrados, reconstruidos o clonados suelen perder el temporizador o la entrada de cron aunque los archivos del certificado se hayan copiado.

Renueva con un calendario que resista las vigencias más cortas

Let's Encrypt ha anunciado que pasará su perfil "classic" predeterminado a certificados de 64 días el 10 de febrero de 2027, y después a certificados de 45 días el 16 de febrero de 2028. Su recomendación es que los clientes que no usen ACME Renewal Information (ARI) no renueven con un calendario fijo, y que renovar cada 60 días exactos dejará de ser suficiente. El comando renew de Certbot decide según la vigencia que queda, que es el patrón más seguro. Mantén Certbot actualizado y evita envolverlo en un script propio con intervalo fijo. Los detalles están en el anuncio de Let's Encrypt sobre las vigencias.

Renovar un certificado SSL de pago

Los certificados de pago no se renuevan solos, salvo que tu proveedor o tu hosting hayan configurado la renovación automática. Los nombres de botones y menús varían entre proveedores, así que toma esto como el orden general de las operaciones y consulta la documentación de tu proveedor para ver las pantallas exactas.

  1. Inicia la renovación en tu cuenta del proveedor. Busca el certificado cercano a su fecha de caducidad y elige renovar, reemitir o volver a pedir.
  2. Genera un CSR. Muchos servidores y paneles de control pueden crear una solicitud de firma de certificado. Algunos proveedores permiten reutilizar el CSR anterior, pero generar un nuevo par de claves suele ser mejor práctica.
  3. Completa la validación del dominio. Normalmente te pedirán demostrar el control mediante un correo a una dirección autorizada, un registro DNS o un archivo en tu sitio. Los certificados de validación de organización y extendida pueden exigir además comprobaciones de documentación, así que empieza antes con esos.
  4. Descarga los archivos emitidos. Lo habitual es recibir el certificado más un paquete intermedio (cadena).
  5. Instálalos en tu servidor, hosting o CDN y luego reinicia o recarga el servidor web.
  6. Prueba. Carga el sitio en una ventana de navegador nueva, comprueba la fecha de caducidad y asegúrate de que no aparezcan avisos de "cadena incompleta" ni de contenido mixto.
  7. Actualiza los recordatorios y cancela la renovación automática del certificado anterior si cambiaste de proveedor.

Si estás comparando proveedores o te preguntas cuánto debería costar una renovación, consulta la guía de costes de certificados SSL. El registro del dominio también se renueva por separado, y eso se explica en la guía de costes de renovación de dominios.

La vigencia de los certificados se está acortando (verificado en noviembre de 2026)

El CA/Browser Forum aprobó en abril de 2025 la votación SC-081v3. Esta reduce de forma escalonada la vigencia máxima de los certificados TLS de confianza pública:

Emitidos a partir deValidez máxima
Antes del 15 de marzo de 2026398 días
15 de marzo de 2026200 días
15 de marzo de 2027100 días
15 de marzo de 202947 días

En la práctica, todo lo que renueves a mano ahora hay que revisarlo unas dos veces al año, unas cuatro veces al año a partir de marzo de 2027 y unas ocho veces al año en 2029. Los plazos de reutilización de la validación de dominio también se acortan, así que no puedes confiar en una validación antigua para saltarte un paso. Los límites se aplican a los certificados de confianza pública, de modo que las CA privadas o internas siguen sus propias reglas.

Si todavía renuevas a mano, las opciones realistas son pasarte a una CA o a un hosting que admita la emisión automatizada (ACME), o poner delante del sitio una capa gestionada, como tu hosting o una CDN.

Checklist de renovación de SSL

Cópialo en el gestor de tareas de tu equipo:

`` [ ] Lista todos los certificados: dominio, emisor, fecha de caducidad, dónde está instalado [ ] Anota quién es responsable de cada renovación (un nombre, no un alias de equipo) [ ] Configura recordatorios a 30 y 14 días antes de la caducidad [ ] Let's Encrypt: confirma que existe el temporizador de Certbot o la tarea cron [ ] Let's Encrypt: ejecuta certbot renew --dry-run y resuelve los errores [ ] Wildcards: confirma que hay un plugin o hook de DNS configurado [ ] Certificados de pago: confirma que el correo de contacto de validación o el acceso al DNS siguen funcionando [ ] Genera un nuevo CSR y una nueva clave si el proveedor lo exige o lo recomienda [ ] Instala el certificado Y la cadena intermedia [ ] Recarga el servidor web, la CDN o el balanceador de carga [ ] Prueba el sitio en un navegador nuevo y comprueba la nueva fecha de caducidad [ ] Prueba los subdominios, www y sin www, y cualquier endpoint de API [ ] Elimina los certificados caducados y retira los recordatorios antiguos [ ] Planifica para 200 días ahora y 100 días a partir del 15 de marzo de 2027 ``

Errores comunes al renovar

  • Renovar la capa equivocada. Si una CDN o un balanceador de carga termina el TLS, renovar el certificado del servidor de origen no cambiará lo que ven los visitantes.
  • Olvidar la cadena. Instalar solo el certificado final puede funcionar en un navegador y fallar en otro o en un cliente de API.
  • No recargar el servidor. Los archivos nuevos pueden estar en disco mientras se sigue sirviendo el certificado anterior.
  • Correo de validación dirigido a un antiguo empleado. Asegúrate de que alguien vigile esa dirección de contacto.
  • Fiarte de un único recordatorio. Las alertas del calendario se descartan. La automatización más un monitor externo de caducidad es mucho más sólido.

Si aún estás decidiendo dónde alojar tu sitio

Un hosting que incluye la renovación de SSL te quita toda esta tarea. El plan gratuito de We.Inc te permite publicar hasta tres sitios a partir de plantillas ya hechas, como Nora Kessler Studio o Greenfield Renewables; el creador con IA que redacta un sitio a partir de una descripción empieza en el plan Starter, a $20 al mes. Puedes registrarte aquí.

Preguntas frecuentes

¿Cómo renuevo un certificado de Let's Encrypt?

Ejecuta sudo certbot renew. Solo renueva los certificados próximos a caducar, así que es seguro programarlo. La mayoría de las instalaciones de Certbot ya incluyen una tarea programada, y sudo certbot renew --dry-run la prueba sin guardar certificados.

¿Cuánto dura un certificado SSL en 2026?

El límite fue de 398 días hasta el 15 de marzo de 2026 y ahora es de 200 días. Pasará a 100 días el 15 de marzo de 2027 y a 47 días el 15 de marzo de 2029. Algunas autoridades emiten certificados con una vigencia algo menor al límite.

¿Qué pasa si mi certificado SSL caduca?

Los navegadores muestran una advertencia de seguridad a pantalla completa, y los clientes de API estrictos pueden fallar. Instalar un certificado renovado lo soluciona para los visitantes sin que tengan que hacer nada.

¿Renovar es lo mismo que comprar un certificado nuevo?

Normalmente una renovación es un certificado recién emitido para el mismo dominio, con una validación nueva. Los precios y descuentos varían según el proveedor, así que consulta el tuyo.

¿Por qué dejó de funcionar la renovación automática de Let's Encrypt?

Busca un temporizador o una entrada de cron que falte, el puerto 80 bloqueado, cambios de DNS, certificados en modo manual sin hook, o un wildcard sin plugin de DNS. certbot renew --dry-run mostrará el error concreto.

Empieza gratis · Sin tarjeta de crédito

Umair Ali Sadaqat

Fundador de We.Inc

Umair es el fundador de We.Inc. Escribe sobre la creación de sitios web con IA, las agencias y el negocio de gestionar un estudio web.

¿Listo para crear algo grande?

Únete a los 15,000+ negocios que usan We.Inc para lanzar, crecer y automatizar, todo desde una plataforma.

Empieza gratis

Sin tarjeta de crédito · Habla con ventas

Relacionado: Blog

Producto

Para quién es

Funciones

Recursos

Empresa

Mapa del sitio