Let's Encrypt hará de los certificados de 64 días el estándar a partir del 10 de febrero de 2027

Let's Encrypt prevé reducir la vigencia predeterminada de sus certificados a 64 días a partir del 10 de febrero de 2027, según una publicación en su blog fechada el 7 de octubre de 2026. Desde esa fecha, todos los certificados que emita o renueve tendrán una validez de 64 días, salvo que el suscriptor haya elegido una de las vigencias aún más cortas de 45 o 6 días anunciadas anteriormente. Let's Encrypt prevé que el último de sus actuales certificados de 90 días caduque el 11 de mayo de 2027 y afirma que no revocará, como parte del cambio, certificados que sigan siendo válidos.

Para permitir pruebas, el entorno de pruebas (staging) empezará a emitir certificados de 64 días el 14 de octubre de 2026, y Let's Encrypt recomienda probar allí el cambio antes de que llegue a producción. Según la publicación, los suscriptores cuyas renovaciones estén automatizadas mediante un cliente compatible con ACME Renewal Info (ARI) no deberían tener que hacer nada, porque ARI permite a Let's Encrypt indicar al cliente cuándo corresponde una renovación; la documentación del cliente indica si es compatible con ARI. Las configuraciones que renuevan un número fijo de días antes del vencimiento deberían, en cambio, modificarse para renovar aproximadamente a los dos tercios de la vigencia del certificado. Let's Encrypt sugiere buscar en tareas cron, scripts envoltorio y manuales de operaciones (runbooks) valores codificados de forma fija como 83, 80 o 60, y afirma que este ajuste también prepara para una vigencia predeterminada de 45 días en 2028.

Por otra parte, el periodo durante el cual se pueden reutilizar las autorizaciones bajará de 30 días a 10 días, y está previsto que en 2028 se reduzca aún más, a siete horas. Let's Encrypt da dos motivos: cumplir con una reducción de los periodos máximos de reutilización de validaciones prevista para 2029 y eliminar lo que denomina «reverificación de CAA» (CAA rechecking), por la cual parte de la validación debe repetirse una vez que los datos de validación tienen más de 7 horas. La publicación señala que la mayoría de los usuarios no tendrá que cambiar nada, salvo que su cliente ACME se haya diseñado específicamente para depender de la reutilización de validaciones.

Según Let's Encrypt, los límites de tasa (rate limits), los endpoints de ACME y sus cadenas de emisión no se ven afectados. La organización sin ánimo de lucro afirma que las vigencias más cortas reducen el riesgo de compromiso de claves y de emisión indebida, y anima a los suscriptores a aprovechar la transición para automatizar pasos como la recarga y el despliegue de certificados y para configurar alertas ante renovaciones fallidas. Afirma que espera que el cambio se realice sin contratiempos y remite a quien tenga problemas a su foro comunitario y a su documentación.