La caducidad de un certificado es un incidente perfectamente predecible que sigue tumbando servicios. Estas son las causas y su solución.
El problema no es técnico, es de inventario
Las organizaciones no dejan caducar el certificado del sitio principal: ese lo vigila todo el mundo. Caducan los de los subdominios, los entornos de prueba expuestos, las interfaces internas y los servicios que montó alguien que ya no trabaja allí.
El primer paso no es automatizar la renovación, sino saber cuántos certificados existen y dónde. Sin ese inventario, la automatización cubre solo lo que ya se vigilaba.
Automatizar la renovación
Los certificados de validación automática permiten renovación desatendida y son adecuados para la mayoría de casos. La automatización debe incluir no solo la emisión sino la recarga del servicio que lo usa: un certificado renovado que el servidor no ha recargado sigue presentando el antiguo.
Para certificados de validación extendida o emitidos por autoridades corporativas, donde el proceso no puede automatizarse por completo, la alternativa es una alerta con antelación suficiente para completar el trámite.
Monitorear desde fuera
La verificación debe hacerse desde el exterior, consultando el certificado que efectivamente se presenta al visitante. Comprobar el archivo en el servidor no detecta el caso frecuente de un balanceador o un proxy que sirve un certificado distinto del que se cree.
Un chequeo diario con avisos escalonados a treinta, quince y siete días cubre tanto las renovaciones automáticas fallidas como las manuales olvidadas.
Qué revisar además de la fecha
La cadena de confianza completa —un certificado intermedio ausente produce fallos solo en algunos clientes—, la coincidencia exacta del nombre incluyendo variantes con y sin prefijo, y la vigencia de los protocolos y algoritmos aceptados.
Un certificado válido servido sobre una configuración obsoleta sigue siendo una vulnerabilidad, aunque el candado aparezca cerrado.