¿HTTP-01 o DNS-01?
ACME es el protocolo con el que Let’s Encrypt y otras CA comprueban automáticamente que controlas un dominio. Hay dos métodos habituales.
- HTTP-01: el cliente deja un archivo en
/.well-known/acme-challenge/y la CA lo descarga por el puerto 80. Lo más sencillo si el servidor es accesible desde Internet. Sin comodines. - DNS-01: el cliente crea un registro TXT
_acme-challenge.<dominio>. Funciona también con servidores internos sin acceso público y es obligatorio para comodines (*.example.com). Para renovar automáticamente, el cliente necesita la API de tu proveedor DNS.
Consejo para proveedores sin API: crea una vez _acme-challenge.example.com como CNAME hacia un nombre en una zona con API (p. ej. en Cloudflare). El cliente escribe allí y tu zona principal queda intacta.
¿Qué cliente?
- certbot: el clásico de la EFF, en todas las distribuciones Linux. Configura él mismo la renovación con un temporizador systemd.
- acme.sh: un script de shell puro sin dependencias, más de 150 proveedores DNS. Ideal para routers, NAS y contenedores.
- lego: un único binario de Go, práctico para scripts y CI.
- win-acme: para Windows e IIS. Vincula el certificado directamente en IIS y crea una tarea programada.
Duraciones y límites
Los certificados de Let’s Encrypt valen 90 días; los clientes renuevan tras unos 60 días. Let’s Encrypt reduce la duración por etapas a 45 días hasta febrero de 2028; desde marzo de 2029 rige en todo el sector un máximo de 47 días. Si lo automatizas, no lo notarás. Prueba primero las instalaciones nuevas en el entorno de pruebas: Let’s Encrypt solo permite cinco certificados idénticos por conjunto de dominios y semana, y las validaciones fallidas también están limitadas.
Si un registro CAA bloquea la CA elegida, la emisión falla; la comprobación de arriba lo muestra. Después genera la configuración del servidor en el generador de configuración TLS y comprueba el resultado en el comprobador SSL.
FAQ
¿Let’s Encrypt es realmente gratis y apto para empresas?
Sí. Los certificados están validados por dominio (DV), como la mayoría de los certificados comerciales estándar, y todos los navegadores los aceptan. Lo que falta son datos OV/EV de la empresa y un contrato de soporte.
¿Por qué ZeroSSL o Google en lugar de Let’s Encrypt?
Como segunda CA para emergencias, por otros límites o porque una política exige varios proveedores. Ambos son gratuitos pero requieren External Account Binding (EAB) con una cuenta.
¿Necesito el puerto 80 aunque solo ofrezca HTTPS?
Para HTTP-01, sí; la CA siempre valida por http:// en el puerto 80. Después el servidor puede redirigir ahí a HTTPS. Si no puedes o no quieres abrir el puerto 80, usa DNS-01.
¿ECDSA o RSA?
ECDSA P-256 es más pequeño y rápido y lo admiten todos los clientes actuales. RSA 2048 solo si deben acceder dispositivos muy antiguos.
¿Dónde introduzco mi token de API?
Aquí no. Los comandos contienen marcadores como