El certificado caduca el sábado: ¿quién te avisa a tiempo?
En resumen
Un certificado lleva impresa su fecha de caducidad: es la caída más evitable y la más vergonzosa de sufrir. La renovación automática cubre la web pública y casi nada más: el terminal de pago, la interfaz del grabador y el aparato del armario tienen cada uno el suyo, y nadie les está contando los días.
Casi todas las caídas llegan sin avisar. Esta llega con una fecha impresa, visible para quien quiera mirarla, con sesenta días de antelación. Y aun así pasa, todos los años, en organizaciones que por lo demás están bien llevadas.
¿Por qué sigue caducando un certificado sin que nadie se dé cuenta?
Porque lo que está automatizado no es lo que caduca.
La renovación automática se ocupó de la web pública hace años, y con ella llegó la sensación de que el problema estaba resuelto. Mientras tanto, los certificados se multiplicaron en sitios a los que no llega ninguna automatización: el terminal de pago de la tienda, la interfaz web del grabador de vídeo, el servidor de correo, el aparato de VPN, el panel interno, la máquina que habla con la API de un proveedor. Todos ellos presentan un certificado. Ninguno está en el script de renovación.
La segunda razón es más irritante: una renovación que funciona y no cambia nada. El certificado nuevo se escribe en el disco, la tarea informa de éxito y el servicio sigue sirviendo el viejo porque nadie le dijo que recargara. Desde fuera —que es el único lado en el que están tus clientes— eso es indistinguible de no haber renovado nunca.
La tercera es la callada: un aparato que solo revela su certificado caducado cuando se reinicia. Llevaba once meses funcionando sin reiniciarse. Entonces hay un corte de luz un viernes por la noche y el sábado por la mañana se niega a arrancar.
¿Cuántos días de aviso hacen falta de verdad?
Dos meses, y subiendo de tono a medida que se acerca la fecha: cuenta los días que le quedan al certificado tal y como se sirve de verdad, no tal y como existe en un fichero. Esa sola distinción caza el caso de “renovado pero no recargado”, que es el más frecuente en la práctica.
Después escala deliberadamente. A dos meses vista basta con una nota. A dos semanas debería llegar por un canal que la gente lea de verdad durante el día. En los últimos días debería interrumpir a alguien: un certificado que caduca un sábado por la mañana ya era visible el miércoles. Y una vez pasada la fecha debería volver cada día, sin piedad, porque ya no es un aviso: es una caída que sigue ocurriendo.
Al lado, vigila el dominio. Su caducidad, su registrador, sus servidores de nombres. Esa información la publica el propio registro, así que no hay excusa para no saberla, y un cambio inesperado ahí o es un error o es cosa de otra persona, y las dos cosas merecen una llamada.
¿Sabes cuántos certificados tienes?
Casi nadie lo sabe: la dificultad real no es contar, es saber qué existe.
La mayoría de las organizaciones no sabe enumerar sus propios certificados. El sitio, sí. El terminal de la tienda, probablemente no. La interfaz del grabador, casi seguro que no. El subdominio que alguien publicó para una campaña en 2023, no. No puedes contar los días que le quedan a algo que has olvidado que tienes, y de ahí salen los sábados caros: nunca del certificado que todo el mundo recuerda.
Así que empieza por la lista. Coge los dominios que controlas y busca qué hay publicado bajo ellos, añade los aparatos que presentan una interfaz web aunque solo la uses tú, y después cuenta. La lista en sí suele ser el hallazgo.
Qué hacer esta semana
- Escribe todas las direcciones que presentan un certificado, incluidas las que solo usa el personal. Espera una lista más larga de lo que pensabas.
- Pon cada una de ellas en una cuenta atrás, medida contra lo que se sirve, no contra un fichero.
- Fija ya el escalado: un mensaje con semanas de antelación, otro más fuerte a dos semanas, una interrupción real en los últimos días y un recordatorio diario una vez caducado.
- Añade la fecha de caducidad del propio dominio y, ya que estás, mira quiénes son el registrador y los servidores de nombres.
- Por cada certificado que se renueva automáticamente, verifica una vez que el servicio recarga de verdad. Esa prueba de cinco minutos es toda la diferencia.
No existe eso de que un certificado te pille por sorpresa. Solo existe no haber contado.
Lo que no podemos decirte
- No podemos ver el certificado de algo que no estamos vigilando: leemos lo que un servicio presenta en su puerto, así que un aparato del que no nos has hablado sigue siendo invisible, caduque lo que caduque dentro de él.
- No podemos renovar un certificado por ti, ni reiniciar el servicio que sigue sirviendo el viejo después de una renovación correcta.
- No podemos ver un certificado que nunca se presenta por la red: uno que vive en un fichero de configuración, en un almacén de claves o en una cadena de firma que nadie sirve.
Las preguntas que se hacen de verdad
Tenemos renovación automática. ¿No está resuelto?
Está resuelto para lo que esté dentro de la automatización, que suele ser la web pública y nada más. El terminal de pago, la interfaz web del grabador, el servidor de correo, el aparato del armario y la herramienta interna que alguien montó en 2021 tienen cada uno su propio certificado, renovado a mano o no renovado. Esos son los que caducan un sábado.
La renovación se ejecutó bien y el sitio sigue mostrando un certificado caducado. ¿Cómo?
Porque renovar y servir son dos pasos. El certificado nuevo está en el disco y el servicio sigue sosteniendo el viejo en memoria, porque nada lo recargó. Es una de las versiones más frecuentes de este fallo, y desde fuera es idéntico a no haber renovado nada, que es exactamente por lo que la comprobación tiene que hacerse desde fuera, contra lo que se sirve de verdad.
¿Cuánta antelación resulta útil?
La suficiente para actuar, y después presión creciente. Contar desde sesenta días da tiempo a planificar; un recordatorio a dos semanas llega por otro canal; en los últimos días merece interrumpir a alguien. Y una vez pasada la fecha, el aviso debe volver todos los días, porque un certificado caducado no es una notificación: es una caída en curso.
¿Y el dominio en sí?
El mismo tipo de fallo con un radio de daño mayor: un dominio caducado se lleva por delante el sitio, el correo y todo lo que dependa de ellos, y recuperarlo no siempre es rápido ni barato. Vigila el propio registro para ver la fecha de caducidad, el registrador y los servidores de nombres, y trata cualquier cambio inesperado ahí como un suceso serio, porque o es un error o es el trabajo de otra persona.
¿Un certificado caducado es una caída o un aviso?
Para tus visitantes es una caída completa: los navegadores se niegan, los terminales se niegan, las integraciones se niegan. Por dentro merece un color propio: el servicio contesta, pero nadie puede usarlo. Tratarlo como una simple degradación es como sobrevive a un fin de semana.