La vida de un certificado y su renovación

Cuanto más largo es un certificado, más tiempo sigue siendo válido tras un error: una clave expuesta, un nombre que ya no es de la empresa, un algoritmo que envejeció. Acortar la vida acota ese daño y, sobre todo, obliga a automatizar la renovación, que es lo que elimina el olvido humano.

En los certificados públicos de TLS esto ya es norma: el foro de autoridades y navegadores (CA/Browser Forum) aprobó en 2025 la propuesta SC-081v3, que baja la vigencia máxima en tres pasos: 200 días para lo emitido desde el 15 de marzo de 2026, 100 días desde el 15 de marzo de 2027 y 47 días desde el 15 de marzo de 2029. Esa regla obliga a las autoridades públicas, no a una autoridad interna; la empresa fija la suya, pero el mercado ya marca hacia dónde va. El protocolo estándar para renovar sin manos es ACME (RFC 8555).

El incidente típico de una PKI no es sofisticado: un certificado caduca y alguien lo descubre cuando el servicio deja de responder. La causa casi siempre es de proceso: renovación manual, sin dueño y sin alerta. La política de Aldebarán exige alertar al dueño a 60, 30 y 15 días, pero un certificado sin dueño no tiene a quién alertar.

Abre renovaciones.txt. Cada fila trae la fecha de emisión y la vigencia, así que la caducidad se obtiene sumando. El corte es el 1 de octubre de 2026.

Los certificados con renovación automática se renuevan solos, mientras el agente funcione. Los de renovación manual dependen de que alguien se acuerde, así que son los que hay que mirar primero. Ordenar por la fecha de caducidad los certificados vigentes de renovación manual da la lista de lo urgente.

Entre los certificados vigentes con renovación manual, busca el que vence antes y cuenta cuántos días faltan desde el corte del 1 de octubre de 2026. Es un cálculo: sumas la vigencia a la emisión y restas el corte.

Renovar un certificado puede hacerse de dos maneras: generando un par de claves nuevo o pidiendo otro certificado sobre la misma clave. La segunda es más cómoda y deja intacto el problema: si la clave se expuso en algún momento, el certificado renovado conserva esa exposición. Por eso la política de Aldebarán exige un par de claves nuevo en cada renovación.

Cruza las columnas «¿clave nueva al renovar?» y «dueño». Una fila sin dueño que reutiliza la clave es un caso aparte, que ya se detectó en la tarea 2. Busca la otra: la que reutiliza la clave a pesar de tener a alguien responsable.

Las filas manuales de la tabla incumplen la política de maneras distintas: una caducó, una vence en semanas, otra reutiliza la clave. Tratarlas una a una con parches no evita que la siguiente se repita. La corrección de proceso es migrar las renovaciones manuales a un esquema automático con ACME cuando el servicio lo permita, dar dueño a cada certificado y generar un par de claves nuevo en cada ciclo, para que la caducidad deje de depender de la memoria de alguien.