Nueva normativa SSL del CA/Browser Forum
Google, Apple, Microsoft y Mozilla acordaron reducir paso a paso la vigencia máxima de los certificados SSL hasta 47 días. Eso significa reemitir tu certificado varias veces al año. Si una reemisión se retrasa, tus clientes verán el mensaje “Tu conexión no es privada”.
Barras a escala: vigencia máxima de un certificado SSL/TLS público emitido desde cada fecha.
Tu plan de certificado SSL sigue siendo anual: lo compras y lo pagas una vez al año. Lo que cambia es cuánto dura el certificado que se instala en tu sitio. Como ahora dura menos que el plan, hay que cambiarlo por uno nuevo dentro del mismo año.
El certificado duraba hasta 398 días, más que el plan anual. Se emitía una sola vez, al comprar, y cubría todo el año.
Al terminar el año solo había que renovar el plan.
El certificado dura menos que el plan. Hoy dura máximo 200 días, así que dentro de un plan anual hay que reemitirlo 1 vez. Desde 2027 serán 3 reemisiones y desde 2029, al menos 7.
Cada reemisión implica validar de nuevo que el dominio es tuyo e instalar el nuevo certificado. Si una se retrasa, el sitio queda marcado como no seguro.
Se genera el primer certificado de tu plan y se instala en tu sitio.
Se genera un certificado nuevo cuando el anterior llega a la vigencia máxima que permite la norma. No tiene costo adicional: está incluida en tu plan.
Vuelves a comprar el plan para el año siguiente. Es la única decisión de compra.
Cada bloque es un certificado. Su ancho es lo que dura. Mientras más corto el certificado, más bloques caben en el mismo año.
¿Por qué 7 y no 8 en 2029? Un año tiene 365 días y 365 ÷ 47 = 7,8. Eso da 8 certificados en el año: el de la emisión inicial y 7 reemisiones. Como cada reemisión se hace unos días antes del vencimiento, en la práctica pueden ser 8.
El CA/Browser Forum, la entidad donde navegadores y autoridades certificadoras definen las reglas de los certificados SSL/TLS, aprobó el Ballot SC-081v3 el 11 de abril de 2025. Fue aprobado sin votos en contra y con el respaldo de los cuatro grandes navegadores.CA/B Forum
Seguramente escuchaste hablar de certificados SSL de 90 días. Esa fue la propuesta inicial de Google en su hoja de ruta para Chrome, “Moving Forward, Together”.Chromium Luego Apple presentó ante el CA/Browser Forum una propuesta más exigente, de 47 días, y fue esa la que se aprobó con el voto a favor de Google.
Un certificado es una foto de un momento: mientras más tiempo pasa, más probable es que su información ya no sea cierta. Vigencias cortas reducen la ventana en la que una llave robada o un certificado mal emitido puede usarse, y obligan a automatizar procesos que hoy dependen de personas.Chrome Root Program
A todos los certificados SSL/TLS públicamente confiables: los de tu sitio web, tu tienda en línea, tus portales de clientes y tus API expuestas a internet, sin importar a qué autoridad certificadora se los compres.
Los certificados emitidos por una PKI privada para uso interno de la empresa no están cubiertos por esta regla. Tampoco cambia nada para los certificados vigentes: el nuevo límite se aplica al momento de emitirlos.
La reducción ocurre en tres cortes. En cada uno, el certificado dura menos y, por lo tanto, hay que reemitirlo más veces dentro del mismo plan anual.Ballot SC-081v3
Una emisión cubría un año de servicio.
Etapa cerradaUn plan anual requiere 1 reemisión.
Vigente hoyUn plan anual requiere 3 reemisiones.
Próximo corteUn plan anual requiere al menos 7 reemisiones.
Meta finalUna empresa con 20 sitios pasa de ninguna reemisión al año a 140 en 2029. Cada una es una oportunidad de error.
Si un certificado vence, el navegador muestra una advertencia de seguridad. Tus clientes no ven tu marca: ven un riesgo.
Una hoja de cálculo funcionaba con una fecha al año. Con ciclos de semanas, hace falta un proceso claro y alguien responsable.
Los certificados SSL gratuitos ayudaron a que millones de sitios usen HTTPS. Son una buena opción en muchos casos, pero en una empresa rara vez salen gratis.
Muchas organizaciones usan certificados gratuitos y le pagan a su hosting, a una agencia o a un proveedor de TI para gestionarlos. Con los nuevos plazos, ese esquema se vuelve más exigente justo cuando más depende de que nada falle.
Los certificados gratuitos ya tenían vigencias cortas y también deben ajustarse a la norma. Algunos emisores gratuitos ya anunciaron ciclos de 45 días, con validaciones del dominio que solo se reutilizan por horas.
Estos servicios dependen de que la reemisión automática esté bien configurada. Algunos dejaron de enviar avisos de vencimiento, así que un error se descubre cuando el sitio ya muestra la advertencia.
Quien gestiona el certificado no es quien lo emite. Cuando algo falla, quedas en medio de dos partes y sin un responsable claro.
Un certificado gratuito prueba que controlas un dominio, no que detrás del sitio hay una empresa verificada. Para portales transaccionales y marcas reconocidas, esa diferencia importa.
| Aspecto | Certificado gratuito | Certificado SSL con Certicámara |
|---|---|---|
| Validación | Por lo general, solo del dominio | Del dominio, de la organización o extendida |
| Tipos disponibles | Limitados | DV, OV, EV y Wildcard para subdominios |
| Reemisiones | Dependen de tu equipo o de tu proveedor de TI | Acompañamiento de un equipo especializado |
| Soporte | Comunidades y documentación en línea | Asesoría en español, con canales directos |
| Compra | No aplica | Proceso de compra y facturación en Colombia |
Te ayudamos a elegir el certificado adecuado y te acompañamos para que las reemisiones no se conviertan en una carga para tu equipo.
Desde validación de dominio hasta validación extendida, y Wildcard para proteger todos tus subdominios con un solo certificado.
Con los certificados OV y EV, tus clientes pueden comprobar que detrás del sitio hay una organización real y validada.
Las reemisiones están incluidas en tu plan, sin costo adicional, y te guiamos en la validación y la instalación de cada una.
Un equipo que conoce el mercado colombiano te orienta en la compra, la instalación y las dudas del día a día.
25 años en certificación digital en Colombia. Compras y facturas localmente, sin intermediarios ni pagos en el exterior.
Operamos con un sistema de gestión de seguridad de la información certificado bajo la norma ISO/IEC 27001.
Migrar ahora te da tiempo de organizar tus reemisiones con calma, antes de que los certificados bajen a 100 días.
Un proceso corto y ordenado, sin que tu sitio deje de estar disponible.
Nos cuentas qué sitios tienes y cómo los usas, y resolvemos tus dudas sobre la nueva vigencia.
Te asesoramos para elegir entre DV, OV, EV o Wildcard según el uso de cada sitio.
Validamos tu dominio y tu organización y te guiamos en la instalación antes de que venza el certificado actual.
Durante el periodo contratado te acompañamos en cada reemisión que exija la norma.
Sobre la nueva vigencia
Cambia el tiempo máximo que puede durar cada certificado SSL público: 200 días desde el 15 de marzo de 2026, 100 días desde el 15 de marzo de 2027 y 47 días desde el 15 de marzo de 2029. Tu servicio puede seguir contratándose por un año, pero el certificado tendrá que emitirse de nuevo varias veces dentro de ese periodo.
No. Los límites aplican a los certificados emitidos a partir de cada fecha. Tu certificado funciona hasta su vencimiento, pero el siguiente que se emita ya tendrá la nueva vigencia máxima.
Porque 90 días fue la propuesta inicial de Google. Después se aprobó una propuesta más estricta, de 47 días, con el voto a favor de Google, Apple, Microsoft y Mozilla.
No. La norma cubre los certificados SSL/TLS públicos, que usan los sitios y servicios expuestos a internet. Los certificados de una PKI privada de uso interno no están cubiertos.
Sobre las reemisiones
Emisión es cuando se genera el primer certificado, al comprar tu plan. Reemisión es cuando se genera un certificado nuevo dentro del mismo plan porque el anterior llegó a su vigencia máxima. Renovación es cuando vuelves a comprar el plan al terminar el año.
Depende de cuánto dure cada certificado. En un plan anual: 1 reemisión con la vigencia actual de 200 días, 3 desde marzo de 2027 y al menos 7 desde marzo de 2029 (365 ÷ 47 = 7,8, es decir, 8 certificados en el año: el inicial y 7 reemisiones). Si tienes varios sitios, multiplica por cada certificado.
No. Las reemisiones están incluidas en tu plan vigente. Solo pagas cuando renuevas el plan al final del año.
Son dos plazos distintos. Los 47 días son lo que dura el certificado instalado en tu sitio. Los 10 días son el tiempo durante el cual la entidad certificadora puede reutilizar la comprobación de que el dominio es tuyo. Como 10 días es menos que 47, en la práctica cada reemisión exigirá validar de nuevo el dominio. No significa que haya 10 reemisiones ni certificados de 10 días.
Generar la solicitud, validar de nuevo el control del dominio cuando la validación anterior ya no pueda reutilizarse, e instalar el nuevo certificado en el servidor. En certificados OV y EV, los datos de la organización se pueden reutilizar por más tiempo.
Cuando el certificado vence, los navegadores muestran tu sitio como no seguro y muchos usuarios no continúan. La advertencia se mantiene hasta que se instale un certificado vigente.
Sobre los certificados gratuitos
Sí. Los certificados gratuitos siguen siendo válidos y también deben cumplir la nueva norma. Antes de decidir, revisa tres cosas: si te basta con validar solo el dominio, quién se hará cargo de cada reemisión y quién responde si una falla. Para sitios críticos para el negocio, esas respuestas suelen inclinar la balanza hacia un certificado con acompañamiento.
La posibilidad de validar tu organización con certificados OV o EV, la opción Wildcard para tus subdominios, asesoría en español y acompañamiento en las reemisiones, con compra y facturación en Colombia.
No debería. El nuevo certificado se emite e instala antes de retirar el anterior, así que el cambio es transparente para tus usuarios.
Esta guía se construyó con los documentos publicados por el CA/Browser Forum y el programa de certificados raíz de Chrome.
Este contenido tiene fines informativos y explica en lenguaje claro los cambios definidos por el CA/Browser Forum. Las fechas corresponden a los documentos oficiales publicados a la fecha de esta página y pueden ser actualizadas por el organismo.
Certicámara lleva 25 años protegiendo la identidad digital de las empresas en Colombia. Un asesor te ayuda a elegir el certificado adecuado para tu sitio.
