Corregir sin romper la autenticación

Hay dos formas de cerrar el hallazgo de la plantilla crítica. Una quita la condición que la hace peligrosa: que el nombre del titular lo proponga quien solicita. Otra quita el propósito de autenticación, con lo que el certificado deja de servir para presentarse ante el dominio. Las dos funcionan y no cuestan lo mismo: la segunda deja a los contratistas sin la forma en que entran hoy por la red privada.

Por eso un informe útil no trae «corrija la plantilla»: trae cada cambio con lo que cierra, lo que puede romper y cuándo se puede aplicar. La columna de lo que rompe es la que decide el orden —primero lo que no deja a nadie fuera— y es la que convierte una recomendación en algo que el administrador aplica sin pedir una ventana de cambios.

Falta además una tercera cosa que casi nunca se escribe: quién depende de verdad de cada plantilla. El número de emisiones de los últimos noventa días lo responde, y de paso señala las plantillas que no usa nadie, que no se arreglan sino que se retiran.

Abre el laboratorio y lee las ocho correcciones. Cuatro no rompen nada, pero solo una de esas cuatro toca la condición que convierte la plantilla en crítica; las otras tres son buenas y necesarias, y no cierran la causa.

La tabla de dependencias dice cuántos certificados emitió cada plantilla en noventa días. Una de las diez no emitió ninguno porque lo que hacía se sustituyó en 2026 por otra cosa. Esa no entra en la lista de correcciones: entra en la de limpieza, y su retirada reduce la superficie sin discutir con nadie.

Corregir la plantilla no toca los certificados que ya salieron: siguen valiendo hasta su fecha o hasta que alguien los revoque. Por eso la corrección va siempre acompañada de la lista de lo emitido. Cuenta cuántos certificados de esa plantilla siguen vigentes hoy, y fíjate en que no son los mismos que las emisiones de la semana del registro.

Queda un detalle que la exportación de la sala 3 ya había dejado a la vista y que cambia el valor de la revocación: cada cuánto publica la autoridad la lista de bajas. Mientras no se publique, quien comprueba la revocación sigue creyendo que el certificado vale.