Hubo una época en que poner HTTPS en una web costaba dinero y una mañana de trámites. Alguien en la empresa compraba un certificado al año, lo instalaba a mano, y el aviso de caducidad llegaba a un buzón que ya no existía.
Eso se acabó en 2016 y mucha gente no se ha enterado. Hoy los certificados son gratuitos, se emiten en segundos y se renuevan solos.
Qué es Let’s Encrypt
Una autoridad de certificación sin ánimo de lucro, respaldada por buena parte de la industria, que emite certificados gratis de forma automatizada. Sus certificados los reconocen todos los navegadores y sistemas actuales, exactamente igual que los de pago.
El protocolo que usa, ACME, es un estándar abierto, y hay varias autoridades más que lo implementan. Eso importa: no dependes de una sola organización.
Cómo funciona, sin tecnicismos
Un programa en tu servidor pide un certificado para tu dominio. Let’s Encrypt responde con un reto: «demuéstrame que controlas ese dominio». El programa lo resuelve —publicando un archivo en la web o un registro en el DNS—, y el certificado se emite.
Todo el proceso dura segundos y no interviene ninguna persona. Por eso puede ser gratis.
Duran 90 días, y es a propósito
La primera reacción de mucha gente es que noventa días es incómodo comparado con un año. Es justo al revés.
Un certificado anual se renueva a mano, y como se hace una vez al año, nadie recuerda el procedimiento y siempre se olvida. Un certificado de noventa días obliga a automatizar, y una vez automatizado deja de ser un problema para siempre. Además, si una clave se filtra, la ventana de exposición es mucho menor.
Lo que hay que montar no es el certificado: es la renovación automática y su vigilancia. Certbot y acme.sh instalan una tarea programada que renueva cuando quedan treinta días.
La parte que casi nadie hace
Que la renovación esté automatizada no garantiza que funcione. Puede fallar en silencio: cambió una configuración del servidor web, se movió un directorio, el DNS ya no resuelve. Y te enteras el día que los clientes ven un aviso rojo de seguridad.
Así que añade una comprobación que avise cuando a un certificado le queden menos de veinte días. Si ya tienes monitorización, es una comprobación estándar que viene de serie en casi todas. Si no, un script sencillo en el cron que recorra tus dominios y mande un correo.
El criterio es el mismo que aplicamos a las copias: lo automático necesita vigilancia, porque lo que falla en silencio se descubre tarde.
Dónde ponerlos
En todo lo que hable por red, no solo en la web pública. El Nextcloud interno, el ERP, el panel del servidor, el gestor de contraseñas. Si una credencial viaja por HTTP plano dentro de tu red, cualquiera con acceso a esa red puede leerla.
Para servicios internos que no son accesibles desde fuera, la validación por DNS resuelve el problema de que Let’s Encrypt no puede llegar a ellos por web.
Cuándo sigue haciendo falta pagar
Pocos casos, y conviene conocerlos para no pagar sin motivo:
- Certificados de validación extendida, si un contrato te los exige. Ya no muestran nada especial en el navegador, así que su valor hoy es casi solo contractual.
- Firma de código o certificados para uso distinto del web, que Let’s Encrypt no emite.
- Sistemas antiguos que no reconocen las cadenas de confianza actuales. Si tienes que dar servicio a dispositivos de hace diez años, compruébalo antes.
Fuera de eso, pagar por un certificado de servidor web hoy es pagar por algo que se da gratis y mejor automatizado.