Inventario y renovación de certificados TLS en servidores
Evita expiraciones y fallos de confianza inventariando certificados, responsables, sistemas consumidores y pruebas de renovación.
2 min de lectura
En este artículo
El certificado puede estar instalado donde nadie lo espera
Un certificado TLS suele vivir en más sitios que el servidor web: balanceadores, proxies, correo, VPN, aplicaciones internas, dispositivos de red o almacenes de confianza. Un inventario central debe relacionar cada certificado con sus nombres, emisor, propietario, ubicación, servicio consumidor y método de renovación, sin guardar claves privadas en una hoja compartida.
El protocolo ACME definido en el RFC 8555 automatiza validación, emisión y ciertas tareas de gestión para los escenarios compatibles. No todos los certificados ni entornos pueden usar ACME. Let’s Encrypt recomienda automatizar la renovación; ha anunciado que sus vigencias predeterminadas se acortarán por etapas en los próximos dos años (aviso de febrero de 2026). Revisa la FAQ actual y no fijes una cadencia universal basada en una duración supuesta.
Campos del inventario
| Campo | Uso operativo |
|---|---|
| Nombres/SAN | Verificar que cubre el hostname que presenta el servicio |
| Emisor y cadena | Comprobar confianza en clientes y sistemas intermedios |
| Ubicación y consumidor | Localizar el punto donde se instala y recarga |
| Responsable | Asignar quién renueva y quién verifica el servicio |
| Método | ACME, automatización del proveedor o proceso controlado manual |
| Vencimiento y alertas | Anticipar renovación según política y criticidad |
| Clave privada | Registrar custodia y permisos sin incluir el secreto en el inventario |
Ensayo y respuesta
Prueba la renovación en un entorno representativo y verifica que el servicio presenta el certificado correcto después de instalarlo. Comprueba automatización, validación de dominio, permisos, cadena, recarga y alertas de fallo; guarda evidencia y un procedimiento de reversión. Vigila expiración y errores de renovación desde una fuente central, no solo desde el equipo donde corre el job.
Ante sospecha de exposición de una clave, activa el proceso de incidente: restringe el acceso, coordina la emisión y revocación con la autoridad certificadora y valida los consumidores afectados. Esta guía complementa la gestión de parches de servidores y la monitorización de sistemas.