Bienvenidos a la tercera entrega de «A Walk in the Park», una nueva serie de vídeos cortos que explora las fuerzas que están redefiniendo el futuro de la confianza digital. Durante las próximas cinco semanas, sacaremos las conversaciones de la sala de reuniones y las llevaremos al aire libre, mientras nuestros expertos analizan algunos de los mayores retos a los que se enfrentan hoy en día los responsables de seguridad. Podéis ver el primer y el segundo episodio aquí.
Hay una película que se titula «Gone in 60 Seconds». Si no la has visto, la trama es sencilla. Una banda de ladrones de coches tiene una noche para robar 50 coches de alta gama. Es una carrera contra el reloj, y el título lo dice todo: las cosas desaparecen rápido.
Me lo estoy tomando prestado por una razón.
Porque ahora mismo también hay un reloj que no se detiene en materia de seguridad. Lo que está desapareciendo no es una flota de coches, sino la vigencia de tus TLS . Y está ocurriendo a plena luz del día, impulsado por todo el sector de los navegadores.
Para 2029, el certificado que garantiza la fiabilidad de tu página web caducará aproximadamente cada seis semanas. Mucha gente aún no tiene ni idea de que esto va a ocurrir. Así que déjame explicártelo paso a paso.
▶️ Mira el episodio: Ryan y yo hablamos de esto en otro episodio de «A Walk in the Park». Aquí tienes un breve resumen. A continuación, profundizo en lo que significa y en cómo prepararse.
En primer lugar, ¿qué son exactamente estas cosas?
Un TLS es lo que hace que aparezca el pequeño icono del candado en tu navegador.
Hay dos tipos. Los certificados públicos gozan de la confianza de prácticamente todo el mundo, en cualquier lugar. Piensa en ellos como si fueran un pasaporte. Los privados se parecen más a una tarjeta de identificación de empresa. Son válidos dentro de tu empresa, pero no fuera de ella.
Tienen dos funciones. En primer lugar, verifican que una página web es realmente esa página web. Así sabes que estás en la página auténtica y no en una falsa. En segundo lugar, protegen el túnel cifrado entre tu navegador y esa página. De este modo, nada de lo que envíes podrá ser leído durante el trayecto.
Cuando un certificado funciona, ni siquiera te fijas en él. Cuando falla, no piensas en otra cosa.
¿Qué es lo que realmente está cambiando?
La vida útil de los certificados públicos se está reduciendo drásticamente.
Antes eran dos años. Luego, trece meses. Después, un año. Y ahora fíjate hacia dónde se dirige:
- Marzo de 2026: quedan 200 días.
- Marzo de 2027: ya solo quedan 100 días.
- Marzo de 2029: quedan 47 días.
Esto no es un rumor, ni tampoco es ya una propuesta. El CA/Browser Forum lo ha aprobado. Los cuatro principales navegadores han dado su visto bueno. No ha habido ningún voto en contra. Se va a llevar a cabo.
Y hay una trampa oculta en la letra pequeña. Para 2029, el plazo para volver a validar tu dominio se reducirá a solo 10 días. Así que no solo tendrás que renovarlo con más frecuencia, sino que tendrás que volver a demostrar que controlas el dominio prácticamente cada vez.
Si tienes 100 TLS públicos, hoy en día eso supone unas 100 renovaciones al año. Con el modelo de 47 días, la cifra se acerca más a las 800. Los procesos manuales no pueden hacer frente a ese volumen sin que se pasen por alto al menos un par de ellos.
He leído los hilos de Reddit
He visto un sinfín de subreddits llenos de gente que se desahoga hablando de la renovación de certificados, tanto públicos como privados. Mi frase favorita: «Dime que no trabajas en informática sin decirme que no trabajas en informática».
Porque da en el clavo: quienes no se dedican a esto piensan que es un trámite más que hay que marcar en una lista. Quienes sí trabajan con TLS se quieren sacar los ojos cada vez que les toca renovarlos.
Así que voy a decir en voz alta lo que nadie quiere oír. Hay buenas razones de seguridad que justifican que los certificados tengan una vigencia más corta. Un certificado con una vigencia más corta significa que una clave robada es útil durante menos tiempo. Eso reduce tu vulnerabilidad ante los ataques de «hombre en el medio». No se trata de que los navegadores sean crueles por el simple gusto de hacerlo.
Pero supone mucho más trabajo. Fingir lo contrario no ayuda a nadie.
¿Qué se rompe primero?
Si se me olvida la contraseña, me quedo sin acceso. Es un fastidio, claro, pero la restablezco y sigo adelante. Si un certificado caduca, la página web, el sistema o la aplicación a la que está vinculado deja de funcionar. Eso no es un simple fastidio. Es un golpe para tus clientes y tus ingresos.
Puedes hacer todo lo posible por evitar las interrupciones del servicio, pero el mayor problema es que los equipos seguirán dedicando entre 8 y 10 veces más tiempo al día a ocuparse de los certificados, en lugar de dedicarse al trabajo estratégico que realmente necesitas que realicen.
Ninguno de los dos es un buen resultado.
Todavía vemos las viejas costumbres por todas partes. Hojas de cálculo. Recordatorios del calendario. Correos electrónicos. Esas soluciones siempre han sido un parche. A los 47 días, se desmoronan por completo.
Por dónde empezar
La automatización es la solución. Pero no basta con pulsar un solo interruptor.
Cada equipo y cada sistema necesita su propio flujo de trabajo. Algunos certificados se pueden renovar automáticamente. Otros requieren un paso de aprobación antes de que se produzca cualquier cambio. Algunos sistemas pueden basarse en un protocolo como ACME o SCEP para gestionarlo. Otros necesitan una automatización del ciclo de vida más sólida para llevar a cabo la tarea.
Esa variedad es precisamente la razón por la que debes empezar ahora. No en 2029. El límite de 200 días ya está en vigor, y la reducción a 100 días entrará en vigor el próximo mes de marzo. Determinar el enfoque adecuado para cada sistema lleva tiempo, y te conviene tener ese tiempo de tu lado.
Ahora, en cuanto a tus certificados privados. Tu PKI interna no se rige por estas normas, por lo que podrías seguir utilizando certificados de mayor duración dentro de tu propia red.
Yo me resistiría a seguir ese instinto.
Aplicar el mismo enfoque en toda tu PKI interna te garantiza la coherencia, y la coherencia es sinónimo de seguridad. Los certificados de larga duración suponen un riesgo real por sí mismos. Es habitual que, al analizar entornos, encontremos certificados internos con una vigencia que se mide en décadas, con el fin de evitar las molestias que conlleva su renovación.
La automatización ayuda a superar las dificultades que plantean las renovaciones, al tiempo que permite a los equipos seguir las mejores prácticas. La inscripción automática abarca una buena parte de ese ámbito interno y supone un buen punto de partida. Pero no es todo. No creas que con eso ya está todo hecho.
El volumen de certificados aumentará y su vida útil se reducirá. La única cuestión real es si eso no te afectará en absoluto o si supondrá un simulacro de incendio cada seis semanas. La automatización adecuada, adaptada a cada sistema, es la que determina cuál de las dos opciones se dará.
Esta es una de las cuatro fuerzas que están transformando tu infraestructura de confianza, pero esto es solo el principio.
A continuación: Acompaña a Chris Hickman, director de seguridad de Keyfactor, para conocer cuál es el riesgo de seguridad no gestionado que más rápido está creciendo en las empresas hoy en día: la deuda criptográfica.
