El sitio sale un martes a las 9:01 a.m.: NET::ERR_CERT_DATE_INVALID. El último certificado de Let's Encrypt expiró a medianoche. Certbot se está ejecutando en el servidor: los registros muestran fallas HTTP-01 durante seis semanas: el firewall cerró el puerto 80 después del endurecimiento y nadie alertó en la fecha del certificado, solo en un ping HTTP 443.
ACME automatiza la emisión, no la gobernanza. Una renovación exitosa en certbot no garantiza que el certificado se entregue a los visitantes, ni que se realice un monitoreo del vencimiento real.
Flujo ACME y puntos de interrupción
El ciclo estándar:
- El agente (certbot, lego, Caddy integrado) solicita un desafío.
- Let's Encrypt valida HTTP-01 o DNS-01.
- Se expide el certificado; el agente lo instala y recarga el servidor web.
| Desafío | Casos de uso | Fallo frecuente |
|---|---|---|
| HTTP-01 | VPS, origen público en el puerto 80 | Puerto 80 cerrado, bucle de redireccionamiento |
| DNS-01 | Comodín, origen privado | Token API DNS caducado o mal configurado |
Utilice el entorno de prueba Let's Encrypt para realizar pruebas, sin consumir cuota de producción.
Un registro de renovación “éxito” sin
nginx -s reloaddeja activo el certificado antiguo o, peor aún, un archivo actualizado que el servidor no lee.
Para conocer la configuración de TLS que se puede mantener más allá de la renovación, consulte Configurar TLS.
Certbot, cron y ganchos de implementación
En Debian/Ubuntu, verifique que certbot.timer systemd esté activo: systemctl status certbot.timer.
Agregue un gancho en /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh:
#!/bin/sh
nginx -t && nginx -s recargar
En varios servidores, sincronice certificados o coordine la recarga por nodo después de la renovación.
Multidominio, SAN y comodín
Un certificado SAN cubre www y apex; ambos nombres deben superar el desafío. Un comodín *.example.com requiere DNS-01: automatice a través de la API o CDN de su registrador (Cloudflare, OVH, etc.).
Al realizar una migración de host, vuelva a emitir antes de cortar el origen anterior; espere 48 horas de superposición.
Compare Let's Encrypt o certificado pagado según sus restricciones de validación extendida o B2B.
Monitoreo de caducidad
Implementar al menos:
- Sonda
ssl_exportercon alertadays_until_expiry < 21 - Sonda Blackbox en conexión TLS real
- Inventario de fechas X.509 por dominio de producción.
Separe la alerta de fallo de renovación (registros de certbot) de la alerta de caducidad (certificado presentado al navegador). SSL Labs no reemplaza una alerta o cron de Prometheus que diga "certificados certbot".
Si una CDN termina TLS delante del origen, siga dos fechas: certificado de borde y certificado de origen.
Hosts administrados y ACME integrado
Los paneles (Plesk, cPanel, Infomaniak manager) suelen gestionar Let's Encrypt de forma nativa: comprueba que la renovación automática esté activada y que el correo electrónico del administrador esté actualizado.
La cumbre: automatización sin circuito cerrado
Esto es lo que olvidamos al instalar certbot de una vez por todas.
La supervisión de la renovación es una ejecución en seco más una supervisión de la caducidad más un gancho de recarga, no solo la instalación de certbot.
Decide y avanza sin puntos ciegos
En medio día, puedes cerrar el ciclo ACME:
- Verifique que el temporizador o cron de certbot esté activo y documentado.
- Agregue un gancho de recarga posterior a la renovación probado en condiciones reales.
- Programar un ensayo mensual con alerta en caso de falla.
- Configure una alerta de vencimiento de 21 días en el certificado servido, no solo en el disco.
- Documente las dependencias del desafío (puerto 80, API de DNS, lista blanca de firewall).
- Escribir un runbook de “certificado caducado”: renovación forzada, recarga, verificación en cadena.
Compare hosts con Let's Encrypt integrados a través del directorio y la comparación.
Preguntas frecuentes
¿Con qué frecuencia se renueva Let's Encrypt?
Certificados válidos por 90 días; intentos automáticos aproximadamente 30 días antes del vencimiento. Se debe verificar el cron o temporizador de systemd; esto no es automático en todas las instalaciones.
¿HTTP-01 o DNS-01?
HTTP-01 si el puerto 80 es público y estable. DNS-01 para comodines, originación privada o enrutamiento complejo, con API DNS automatizada y tokens monitoreados.
¿Cómo monitorear el vencimiento?
Alerta en la fecha del certificado presentado a los clientes, dentro de los 21 días. Complete con un ensayo mensual. El correo electrónico de Let's Encrypt por sí solo no es suficiente.
¿La renovación está bien pero el sitio TLS no funciona?
A menudo falta la recarga del servidor web posterior a la renovación. Automatice el enlace de implementación y pruebe después de cada cambio de configuración.
Let's Encrypt se renueva con frecuencia: su pila debe demostrar que entrega el certificado correcto a tiempo.