Cómo renovar un certificado SSL: guía paso a paso para 2026

Para renovar un certificado SSL, generas un certificado nuevo para el mismo dominio antes de que caduque el antiguo, lo instalas en tu servidor o plataforma y confirmas la nueva fecha de vencimiento. Si usas Let's Encrypt, un solo comando (certbot renew) lo hace todo, y un temporizador lo ejecuta por ti dos veces al día. Si compraste el certificado a una CA comercial, creas un nuevo CSR, vuelves a completar la validación del dominio, descargas los archivos nuevos y los sustituyes. Esta guía cubre ambos caminos, además de paneles de hosting y CDN, y muestra cómo verificar que la renovación funcionó.

Cada vez hay más en juego. Desde el 15 de marzo de 2026 ninguna CA pública puede emitir certificados válidos por más de 200 días, y el límite bajará a 47 días en 2029 (CA/Browser Forum, votación SC-081v3, aprobada en abril de 2025). Renovar ya no es una tarea anual. Se está convirtiendo en un proceso continuo, y la única forma realista de seguir el ritmo es la automatización.

Por qué la renovación de certificados SSL importa más en 2026

Un certificado caducado no falla con elegancia. Los navegadores bloquean la página con un aviso a pantalla completa (NET::ERR_CERT_DATE_INVALID en Chrome), los clientes de API fallan en el handshake TLS y las integraciones de correo y monitorización empiezan a dar errores. Una sola renovación olvidada dejó fuera de servicio a Microsoft Teams durante unas tres horas el 3 de febrero de 2020 (TechCrunch), y un certificado caducado en equipos de Ericsson dejó sin datos móviles a millones de clientes de O2 y SoftBank el 6 de diciembre de 2018 (The Register).

Los periodos de validez más cortos multiplican el número de renovaciones que tienes que hacer bien. La tabla siguiente muestra el calendario del sector que toda CA pública debe cumplir.

Let's Encrypt, que según sus propios datos da servicio a más de 700 millones de sitios web y a finales de 2025 emitió por primera vez más de diez millones de certificados en un solo día (Let's Encrypt, 9 de diciembre de 2025), va más rápido que la norma: su perfil predeterminado pasará de certificados de 90 días a 64 días el 10 de febrero de 2027 y a 45 días el 16 de febrero de 2028 (Let's Encrypt, 2 de diciembre de 2025).

Renovaciones al año de un certificado según cada validez máxima (365 dividido entre la validez en días). Fuentes: CA/Browser Forum SC-081v3; Let's Encrypt, 2 de diciembre de 2025. Un sitio con diez certificados de 47 días necesita unas 78 renovaciones correctas al año.

Paso 1: Averigua cómo se emitió tu certificado

El método de renovación depende por completo de dónde salió el certificado. Ejecuta esto en el servidor para ver el emisor y la fecha de caducidad:

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -issuer -dates

La línea issuer te dice qué camino seguir.

Paso 2a: Renovar un certificado de Let's Encrypt con Certbot

Los certificados de Let's Encrypt valen hoy 90 días, y el temporizador que instala Certbot intenta renovarlos dos veces al día, pero solo renueva cuando quedan menos de 30 días (documentación de Certbot). Si un sitio muestra un certificado de Let's Encrypt caducado, la automatización lleva fallando al menos un mes.

Primero lista lo que Certbot conoce:

sudo certbot certificates

Después prueba una renovación sin tocar nada:

sudo certbot renew --dry-run

Si la prueba pasa, ejecuta la renovación real y recarga el servidor web:

sudo certbot renew
sudo systemctl reload nginx

Certbot dirá "Cert not yet due for renewal" si quedan más de 30 días; es normal. Para renovar antes de tiempo de todos modos (por ejemplo, tras cambiar el tamaño de clave), añade --force-renewal a un solo certificado con certbot renew --cert-name example.com --force-renewal, pero nunca lo dejes en un cron, porque Let's Encrypt limita los certificados duplicados a 5 por semana.

Comprueba que el temporizador está activo para que esto siga ocurriendo sin ti:

systemctl list-timers | grep certbot

Dos cambios desde 2025 importan aquí. Let's Encrypt dejó de enviar correos de aviso de caducidad el 4 de junio de 2025 y borró las direcciones que guardaba (Let's Encrypt, 26 de junio de 2025), así que nadie te avisará. Y los clientes ACME modernos pueden pedir a la CA una ventana de renovación sugerida mediante ACME Renewal Information (ARI, RFC 9773), que Certbot usa desde la versión 2.9. Mantén el cliente actualizado para que siga ARI en lugar de un intervalo fijo; Let's Encrypt advierte de forma explícita que renovar cada 60 días fijos no sobrevivirá al paso a certificados de 45 días.

Paso 2b: Renovar un certificado comprado (DigiCert, Sectigo, GoDaddy y otros)

Los certificados comerciales no se "prorrogan". Renovar significa que la CA emite un certificado completamente nuevo, así que el proceso replica el pedido original.

1. Genera una nueva clave privada y un CSR en el servidor. Reutilizar la clave antigua está permitido, pero debilita la ventaja de seguridad de renovar.

openssl req -new -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr -subj "/CN=example.com"

1. Envía el CSR en el portal de la CA en la opción Renew o Reissue. La mayoría de las CA permiten empezar entre 30 y 90 días antes y trasladan los días restantes.
2. Completa de nuevo la validación del dominio. Desde el 15 de marzo de 2026 una validación solo puede reutilizarse durante 200 días, así que espera un reto por correo, archivo HTTP o registro DNS TXT en casi todas las renovaciones. Los certificados OV y EV requieren además comprobaciones de la organización; empiézalas dos semanas antes.
3. Descarga el certificado y la cadena intermedia. Los intermedios ausentes provocan ERR_CERT_AUTHORITY_INVALID en algunos dispositivos aunque el certificado final sea correcto.
4. Instala y recarga. Sustituye los archivos de certificado y cadena a los que apunta la configuración del servidor, coloca la nueva clave junto a ellos y recarga el servicio. En nginx son ssl_certificate y ssl_certificate_key; en Apache, SSLCertificateFile y SSLCertificateKeyFile.
5. Actualiza todas las copias. Balanceadores de carga, servidores de correo, orígenes de CDN y sondas de monitorización suelen guardar su propia copia del mismo certificado.

Paso 2c: Renovar en paneles de hosting, CDN y plataformas en la nube

Paso 3: Verifica que la renovación funcionó de verdad

Renovar y desplegar son dos cosas distintas. Un archivo renovado en disco no sirve de nada hasta que el proceso del servidor lo carga. Confírmalo desde fuera:

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -enddate -serial

La fecha notAfter debe ser la nueva y el número de serie debe ser distinto del certificado anterior. Después revisa la cadena completa y cada nombre de host (www y dominio raíz, subdominios de API, servidores de correo). Un análisis gratuito de FortifyNet comprueba la cadena, la fecha de caducidad, las versiones de protocolo y HSTS en una sola pasada, más rápido que probar cada host a mano.

Errores habituales al renovar SSL y cómo solucionarlos

Define una política de renovación que puedas cumplir

Con certificados de 200 días ahora y de 47 días en 2029, una política de renovación debe ser aburrida y automática. Renueva aproximadamente a los dos tercios de la validez del certificado, justo el comportamiento que Let's Encrypt recomienda para clientes sin ARI. Ejecuta una monitorización que alerte 14 y 7 días antes de la caducidad, independiente de la herramienta de renovación, porque el fallo que necesitas detectar es que la automatización se detenga en silencio. Mantén un inventario de todos los nombres de host que terminan TLS, incluidos los internos. Y repite la prueba en seco tras cada migración de servidor, actualización de PHP o cambio de firewall, porque son los momentos en que el reto ACME deja de funcionar.

Guías relacionadas

• Qué pasa cuando caduca un certificado SSL
• Seguridad de certificados SSL/TLS: la guía completa
• Cómo solucionar "La conexión no es privada"
• Qué es HSTS y por qué importa tras una renovación

Preguntas frecuentes

¿Con cuánta antelación puedo renovar un certificado SSL? Let's Encrypt permite renovar en cualquier momento, y Certbot lo hace automáticamente 30 días antes de la caducidad. Las CA comerciales suelen abrir la renovación entre 30 y 90 días antes y suman los días no utilizados al nuevo certificado.

¿Renovar un certificado SSL provoca caída del servicio? No, si recargas el servidor web en lugar de reiniciarlo. Tanto nginx como Apache cargan el nuevo certificado al recargar sin cortar las conexiones existentes.

¿Necesito una clave privada nueva para renovar? No es obligatorio, pero generar una clave nueva es la práctica recomendada. Certbot crea una clave nueva en cada renovación por defecto.

¿Puedo renovar un certificado después de que haya caducado? Sí. La renovación tras la caducidad funciona igual; la única diferencia es que los visitantes ven avisos hasta que el nuevo certificado está instalado.

¿Cuántas veces al año tendré que renovar a partir de 2029? Con el máximo de 47 días, unas ocho veces por certificado y año, y por eso la renovación manual está desapareciendo en la práctica.

Revisa tu certificado antes de que se convierta en un incidente

Ejecuta el análisis gratuito de FortifyNet sobre tu dominio. En unos 60 segundos informa de la fecha de caducidad del certificado, la validez de la cadena, las versiones de protocolo, las cabeceras de seguridad, el DNS y la autenticación de correo, para que una renovación fallida aparezca antes de que la descubran tus visitantes.