SHA-1 Expira en Certificados y los TLS Pasan a 200 Días: Renovar a Mano Ya No Es Opción

El último reducto de SHA-1 ha caído

En julio te contamos por qué había que migrar de SHA-1 a SHA-256 en checksums y firmas. Entonces quedaba un rincón del mundo donde SHA-1 seguía técnicamente permitido: algunos artefactos de la infraestructura de certificados públicos.

Se acabó. El 15 de septiembre entró en vigor la fecha límite del CA/Browser Forum: ningún uso de SHA-1 queda permitido en certificados ni CRLs emitidos por CAs públicamente confiables. Ni certs, ni listas de revocación, ni excepciones por "política local".

Y no es el único cambio del año en el mundo TLS.

---

El otro terremoto: certificados de 200 días

Desde el 15 de marzo de 2026, los certificados TLS públicos no pueden durar más de 200 días (DigiCert y otros CAs lo aplican como 199). Los que compraste antes siguen válidos hasta su fecha, pero todo lo nuevo obedece al calendario de reducción:

Fecha	Validez máxima	Reuso de validación de dominio
Hasta marzo 2026	398 días	398 días
Marzo 2026 → marzo 2027	200 días	200 días
Marzo 2027 → marzo 2029	100 días	100 días
Desde marzo 2029	47 días	10 días

La motivación es doble: minimizar el tiempo de exposición de una clave comprometida y forzar la automatización. El mensaje entre líneas es claro: en 2029 vas a renovar certificados cada mes y medio; si no está automatizado, va a fallar.

---

Qué significa en la práctica

1. Audita tu PKI interna

Las CAs públicas ya están limpias, pero tu PKI interna puede no estarlo:

# Comprobar el algoritmo de firma de un certificado
openssl x509 -in cert.pem -noout -text | grep "Signature Algorithm"
# Debe decir sha256WithRSAEncryption, ecdsa-with-SHA256 o similar

Si encuentras sha1WithRSAEncryption en certificados internos emitidos hace años, toca reemitirlos. Puedes verificar las huellas de tus nuevos certificados con nuestro generador SHA-256.

2. Inventario de caducidades

Con 200 días de validez, un certificado que renovaste "hace nada" caduca antes de lo que tu memoria cree. Prioridad: inventario centralizado de todos los certs y sus fechas de expiración:

# Fecha de expiración de un cert
openssl x509 -in cert.pem -noout -enddate
# => notAfter=Dec  8 14:32:11 2026 GMT

Esa fecha pasada por nuestro conversor de timestamps te da el timestamp exacto para programar alertas — o para comprobar cuántos días de margen te quedan realmente.

3. Automatiza con ACME ya

• Let's Encrypt / cualquier CA con ACME: certbot, acme.sh, lego — el estándar desde hace años.
• Kubernetes: cert-manager con Certificate resources; deja de montar certs a mano en secrets.
• APIs de tu CA comercial: DigiCert, GlobalSign y demás ya ajustan las solicitudes de 1 año a 199 días automáticamente — tus integraciones deben asumirlo.

---

Resumen

• SHA-1 en PKI pública: terminado. El sunset del 15 de septiembre cerró la última excepción.
• Certificados de 200 días: ya. 100 en 2027, 47 en 2029.
• La renovación manual muere. ACME y cert-manager dejan de ser "nice to have" para ser supervivencia operativa.

Si tu equipo sigue renovando certificados "con un recordatorio en el calendario", este es el año en que ese sistema se rompe. Automatiza antes de que la próxima reducción te pille con el certificado caducado.