Los certificados TLS son una pieza poco conocida de la seguridad en internet, pero básica. Gracias a ellos, las comunicaciones entre usuarios, aplicaciones y servicios viajan cifradas y protegidas frente a interceptaciones o manipulaciones, lo que los convierte en un elemento imprescindible para cualquier empresa con presencia digital.
Sin embargo, su gestión está a punto de complicarse. El CA/Browser Forum, organismo que fija los estándares de estos certificados, ha iniciado una reducción progresiva de su periodo máximo de validez para reforzar la seguridad y acelerar la adopción de nuevas tecnologías criptográficas. Tras pasar de 398 a 200 días, el límite bajará a 100 días en 2027 y a solo 47 días en 2029.
Este nuevo escenario obligará a las organizaciones a renovar sus certificados con mucha más frecuencia, haciendo inviable la gestión manual, algo habitual hasta ahora en estos entornos. Para afrontar el cambio, las empresas deberán conocer todos los certificados que utilizan y avanzar hacia la automatización completa de su ciclo de vida. De ello hablamos en esta entrevista con Andrés Mendoza, director técnico para el sur de Europa y Latinoamérica de ManageEngine.
¿Qué son los certificados TLS y para qué sirven?
Las siglas TLS corresponden a Transport Layer Security o seguridad de la capa de transporte. Es el protocolo criptográfico que protege las comunicaciones entre dispositivos y servicios en Internet mediante cifrado, autenticación e integridad de los datos. Por tanto, los certificados TLS son credenciales digitales emitidas por una autoridad de certificación que vinculan la identidad de un servidor o dominio con una clave pública.
Cuando un cliente inicia una conexión, el servidor presenta su certificado y el cliente verifica su validez mediante la cadena de confianza. Si la verificación es correcta, ambas partes negocian claves de sesión y establecen un canal cifrado. Este proceso, definido en las especificaciones del IETF (Internet Engineering Task Force, o Grupo de Trabajo de Ingeniería de Internet), garantiza autenticación del servidor, confidencialidad de los datos transmitidos e integridad frente a alteraciones durante el tránsito.
En términos prácticos, los certificados TLS son un elemento esencial para proteger comunicaciones en servicios web, aplicaciones corporativas, APIs y cualquier sistema que dependa de un canal seguro. Sin ellos, un atacante podría interceptar, manipular o suplantar las comunicaciones sin que el usuario o la aplicación lo detectasen.
¿Cómo se suelen gestionar estos certificados en las empresas?
En la mayoría de las empresas, la gestión de certificados TLS implica controlar todo su ciclo de vida: descubrirlos, inventariarlos, supervisar su caducidad, renovarlos, desplegarlos y verificar que los servicios siguen funcionando correctamente. Tradicionalmente, este proceso ha sido una combinación de tareas automáticas y manuales.
En lo que se refiere a la automatización, ésta se solía limitar casi siempre a tareas básicas como la detección, inventario, alertas de expiración y, en algunos casos, la renovación automática. Sin embargo, las tareas posteriores a la renovación, es decir, todo lo relacionado con instalar del certificado en el servidor, ejecutar scripts, reiniciar servicios dependientes, validar que el certificado está en producción y notificar a los equipos responsables, han seguido siendo manuales en la mayoría de las organizaciones.
Esta carga de trabajo era asumible cuando los certificados se renovaban cada 398 días, pero va a dejar de serlo a raíz de que el CA/Browser Forum iniciase la reducción progresiva de su validez: 200 días en 2026, 100 días en 2027 y 47 días en 2029.
La propia lógica nos dice que a medida que la vida útil de los certificados se acorta y esos mismos pasos se deben repetir alrededor de ocho veces más a menudo, la probabilidad de errores manuales se incrementa y el coste de sufrir una interrupción del servicio puede alcanzar millones.
Este cambio ha obligado a las empresas a replantear su estrategia al ver disparada su carga operativa con la gestión de certificados. En este contexto, la automatización completa del ciclo de vida deja de ser una mejora y se convierte en una necesidad.
Es precisamente esta situación la que nos ha llevado a poner en marcha una solución como Key Manager Plus (KMP) que automatiza también ese último tramo que, históricamente, se hacía manualmente, lo que nos permite cerrar el círculo y permitir que el ciclo de vida completo se ejecute sin intervención humana. Esto es lo que va a convertir un ciclo de renovación de 47 días en un proceso sostenible y no en una carrera contrarreloj.
¿Qué es el CA/Browser Forum y por qué este organismo aprueba una reducción progresiva de la validez máxima de los certificados TLS?
El CA/Browser Forum es una alianza técnica voluntaria que reúne a las principales autoridades de certificación y a los proveedores de navegadores (Apple, Google, Microsoft, Mozilla, entre otros) para definir los requisitos que deben cumplir los certificados TLS públicos. No es un regulador, pero sus acuerdos se convierten en estándar de facto porque los navegadores incorporan sus políticas en sus programas de confianza.
La reducción progresiva de la validez máxima de los certificados responde a un objetivo de seguridad claro, que es reforzar la seguridad del ecosistema: un certificado solo garantiza que cierta información era correcta en el momento de su emisión. Cuanto más tiempo permanece vigente un certificado, mayor es la probabilidad de que su información quede obsoleta, cambie la titularidad del dominio o se comprometa la clave privada. Acortar su vida útil limita la ventana de exposición y reduce la dependencia de mecanismos de revocación que, en la práctica, no siempre reaccionan con la rapidez necesaria. También facilita la adopción de nuevos algoritmos criptográficos y estándares emergentes.
El calendario anunciado de pasar de los 200 días de validez actuales a los 47 en 2029, afecta únicamente a los certificados TLS públicos, no a los emitidos por infraestructuras internas. Para las organizaciones, esto implica renovar con mucha más frecuencia y avanzar hacia una gestión totalmente automatizada del ciclo de vida de los certificados.
¿Qué supone esta reducción para las empresas y para los partners tecnológicos que mantienen sus sistemas?
La reducción de los plazos de validez de los certificados cambia por completo el ritmo operativo de las organizaciones y de los partners que sostienen su infraestructura. Con ciclos cada vez más cortos, la renovación deja de ser un trámite anual y pasa a convertirse en una operación recurrente que exige precisión y cero margen de error.
Para las empresas, esto significa multiplicar las renovaciones y asumir que cada ciclo implica mucho más que emitir un certificado, ya que hay que desplegarlo en el servidor correcto, aplicar la configuración adecuada, reiniciar servicios y verificar que todo sigue funcionando. Cuando este proceso se repite ocho veces más con la misma infraestructura, cualquier intervención manual se convierte en un riesgo directo de caída, brecha o incumplimiento.
Para los partners, el desafío es aún mayor, puesto que son los encargados de gestionar múltiples clientes, arquitecturas y autoridades de certificación, y el volumen de renovaciones crece de forma exponencial. Sin procesos estandarizados, visibilidad centralizada y automatización real de extremo a extremo, la carga operativa simplemente no es sostenible.
En ManageEngine queremos adelantarnos a este nuevo escenario que obliga a abandonar la gestión manual. La gestión de certificados debe ser automática, trazable y orquestada, por eso, las empresas y partners que adopten este enfoque podrán absorber el nuevo ritmo sin fricciones, mientras que quienes sigan dependiendo de procesos manuales se verán desbordados. En un escenario donde la caducidad es más frecuente que nunca, la resiliencia depende de la automatización y no de la pericia del técnico.
6. -¿Qué recomienda a hacer a una compañía para abordar este tema de forma ordenada y sensata?
La forma más sensata y ordenada de abordar este cambio es no esperar a 2029. El acortamiento progresivo de la validez de los certificados ya está impactando en la carga operativa de los equipos, y las organizaciones que se preparen ahora llegarán a ese punto con procesos maduros y sin sobresaltos.
Dicho esto, en ManageEngine aconsejamos a que lo primero que se debe hacer es crear un inventario completo y fiable: saber qué certificados existen, dónde están instalados, quién los gestiona, qué servicios dependen de ellos y cuáles son realmente críticos para el negocio. Sin esa visibilidad, cualquier intento de automatización será parcial y cualquier interrupción será más difícil de diagnosticar.
A continuación, es fundamental cuantificar el esfuerzo actual de renovación y el impacto potencial de una caída de servicio. Muchas empresas descubren que el trabajo más complejo no está en la emisión o renovación del certificado, sino en todo lo que ocurre después, es decir, la actividad de copiarlo al servidor correcto, reiniciar servicios, validar que todo funciona y documentar el proceso. Por eso recomendamos documentar bien esas tareas posteriores al despliegue y empezar a automatizar el ciclo completo, no solo la parte inicial. Si la instalación y la validación final siguen dependiendo de una intervención manual, el cuello de botella permanece.
Esa automatización debe introducirse de forma progresiva, empezando por entornos controlados y manteniendo siempre mecanismos de supervisión, auditoría y recuperación. La automatización no consiste en “confiar y olvidar”, sino en operar con más seguridad y menos carga operativa. Desde ManageEngine insistimos en que con ciclos de renovación tan cortos, la única estrategia sostenible es una automatización de extremo a extremo, independiente de la CA y capaz de ejecutar todo el proceso sin intervención manual. Las organizaciones que den este paso ahora estarán preparadas; las que esperen se verán obligadas a reaccionar con prisas ante un volumen de trabajo que ya no será asumible manualmente.
¿Cuál es la propuesta de ManageEngine en este ámbito? Tengo entendido que en su solución Key Manager Plus ofrece automatización en la renovación de certificados TLS
La propuesta de ManageEngine consiste en ofrecer una automatización completa y sin intervención humana del ciclo de vida de los certificados TLS, una necesidad que, insisto, es crítica ahora que la industria avanza hacia periodos de validez cada vez más cortos. Tal y como he apuntado con anterioridad, este cambio multiplica la carga operativa de los equipos y convierte la gestión manual en un riesgo real de interrupciones y errores.
Key Manager Plus (KMP) aborda este reto cerrando el círculo de la gestión de certificados. La solución no solo automatiza la renovación, sino todas las fases del proceso, desde la detección y el despliegue hasta las tareas posteriores a la puesta en producción. La plataforma ya automatiza el envío del certificado al servidor de destino, la ejecución de los scripts configurados, el reinicio de los servicios dependientes y la notificación a las partes implicadas, eliminando de este modo el último tramo manual que tradicionalmente recaía en los equipos de infraestructura.
Esta automatización es independiente de la autoridad de certificación, lo que permite a las organizaciones mantener sus proveedores actuales sin limitar sus flujos de trabajo. Además, ManageEngine garantiza paridad total de funciones entre las versiones en local y en la nube, algo especialmente relevante para entornos híbridos.
Sin embargo, la visión de ManageEngine va más allá de los certificados TLS. KMP centraliza la gestión de certificados SSL/TLS, claves SSH, secretos de Azure y otras identidades de máquina, ofreciendo un enfoque unificado para proteger y automatizar todos estos elementos críticos.
Para ayudar a las organizaciones a prepararse ante la reducción del periodo de validez, nuestra organización también ha desarrollado también una calculadora de impacto TLS de 47 días, que permite estimar el esfuerzo actual de renovación, el riesgo de interrupciones y el beneficio operativo de adoptar una automatización completa.
En conjunto, la propuesta de ManageEngine pasa por convertir la gestión de certificados en un proceso autónomo, seguro y escalable, capaz de responder al nuevo ritmo impuesto por la industria y de liberar a los equipos técnicos de una carga que, sin automatización, se volvería insostenible.
