Antes de Let’s Encrypt, un certificado costaba dinero y se instalaba a mano, lo que dejaba muchos sitios en HTTP. Esta autoridad, abierta al público en 2015, hizo que el certificado TLS fuera gratuito y, sobre todo, automático: la mayoría de los proveedores de hosting lo activan con un clic, y la renovación se hace sin intervención.
Cómo funciona Let’s Encrypt
Let’s Encrypt solo emite certificados de validación de dominio: comprueba que controlas el nombre, no la identidad de tu empresa. El diálogo pasa por el protocolo ACME, normalizado por el IETF, que implementan Certbot y muchos otros clientes, además de los paneles de hosting. El cliente crea una clave, pide un certificado, supera un desafío que demuestra el control del dominio e instala el certificado en el servidor web.
Los tres desafíos
- HTTP-01: el cliente publica un archivo en
/.well-known/acme-challenge/, que Let’s Encrypt descarga solo por el puerto 80. Sigue las redirecciones, hasta diez. Es el desafío más habitual, pero no permite certificados comodín. - DNS-01: el cliente crea un registro TXT
_acme-challengeen la zona DNS. Es obligatorio para un certificado comodín (*.ejemplo.es) y funciona aunque el servidor no sea accesible, a cambio de guardar en el servidor credenciales de la API DNS. - TLS-ALPN-01: una comprobación en el puerto 443, pensada para proxies y grandes proveedores, que Let’s Encrypt considera poco adecuada para la mayoría de los usuarios.
Una vida útil cada vez más corta
Los certificados por defecto son válidos 90 días, y un perfil opcional emite certificados de seis días. Let’s Encrypt anunció una reducción progresiva, en línea con los requisitos del CA/Browser Forum: desde el 13 de mayo de 2026, el perfil opcional tlsserver emite certificados de 45 días; el 10 de febrero de 2027, el perfil por defecto pasará a 64 días; y el 16 de febrero de 2028, a 45 días. Una renovación fijada cada 60 días ya no bastará: la autoridad recomienda ACME Renewal Information (ARI) o, en su defecto, renovar a los dos tercios de la vida útil.
Para WordPress
- Deja que el proveedor o el cliente ACME renueven: la renovación manual se vuelve insostenible con duraciones más cortas. En un servidor que administras tú, el cliente se ejecuta con una tarea programada o un cron; vigila la caducidad para enterarte si algo falla.
- No bloquees /.well-known/: una regla de seguridad demasiado amplia, una redirección a una página de acceso o una restricción en esa carpeta hacen fallar HTTP-01.
- Tras la instalación, pasa las direcciones del sitio a https, corrige el contenido mixto y plantéate HSTS: nuestra guía HTTPS en WordPress detalla cada paso, y el artículo sobre lo que tiene en cuenta Google mide su efecto en el posicionamiento.
El certificado cifra la conexión, pero no protege WordPress en sí: un sitio con HTTPS puede ser hackeado como cualquier otro.