¿Te han revocado el certificado SSL?
El 21 de octubre de 2026 GoDaddy revocó 404.607 certificados TLS de sus jerarquías GoDaddy y Starfield. Una web con un certificado revocado puede dejar de cargar hasta que se instala el de reemplazo.
Comprobamos quién emitió vuestros certificados, reemitimos e instalamos los afectados en cada sitio donde están (balanceador, CDN, correo, apps) y dejamos la renovación automática para que la próxima revocación sea un trámite.
# ¿Quién emitió el certificado y cuándo caduca?$ openssl s_client -connect dominio.com:443 -servername dominio.com </dev/null 2>/dev/null | openssl x509 -noout -issuer -datesissuer=C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", CN = Go Daddy Secure Certificate Authority - G2notBefore=Jun 2 00:00:00 2026 GMTnotAfter=Dec 19 23:59:59 2026 GMT# Emisor GoDaddy, Starfield o eMudhra: revisa el estado en el panel del proveedor# Salida de ejemplo: las fechas de tu dominio serán otrasDos autoridades de certificación, dos problemas distintos
En la misma semana coincidieron una revocación masiva por papeleo y una retirada de confianza por claves débiles. En los dos casos el arreglo pasa por cambiar el certificado, y en los dos casos el certificado suele estar en más sitios de los que nadie tiene apuntados.
GoDaddy: 404.607 certificados revocados
El 21 de octubre GoDaddy revocó certificados de sus jerarquías GoDaddy y Starfield porque los OID de política y la URI del CPS que llevaban no coincidían con su CPS. Es un incidente de cumplimiento, no un compromiso de claves (Mozilla Bug 2082703).
La consecuencia es práctica: si no instaláis el certificado de reemplazo, la web puede quedar inaccesible. Fuente: Cyberpress.
eMudhra: ocho CA intermedias con claves débiles
Ocho certificados de CA intermedia de eMudhra, creados en abril de 2025, tenían claves débiles por un fallo en su ceremonia de generación, y las claves se recuperaron a partir de los propios certificados públicos.
Chrome los bloqueó, Apple el 19 de octubre y Microsoft el 20; Go y Node.js publicaron una retirada de confianza explícita. No hay ataques confirmados contra usuarios. Fuente: The Hacker News.
Emisor y caducidad de cada certificado
El comando del principio de la página devuelve dos datos: issuer, quién firmó el certificado, y notAfter, cuándo caduca. Si el emisor contiene GoDaddy, Starfield o eMudhra, hay que mirar el estado del certificado en el panel del proveedor.
Repite la comprobación con el servidor de correo y con cada subdominio que tenga su propio certificado (api., app., mail.). Es habitual que la web esté al día y el correo siga con un certificado de hace dos renovaciones.
# El certificado del correo suele ser otro fichero, en otra máquina$ openssl s_client -starttls smtp -connect mail.dominio.com:587 </dev/null 2>/dev/null | openssl x509 -noout -issuer -dates# IMAP con TLS directo$ openssl s_client -connect mail.dominio.com:993 </dev/null 2>/dev/null | openssl x509 -noout -issuer -datesUn certificado, cuatro sitios donde cambiarlo
Antes de reemitir, apuntamos dónde está instalado. Es la parte que más se olvida y la que provoca el segundo aviso de "no funciona" dos días después.
Balanceador o proxy
En AWS ALB, NGINX o HAProxy el certificado se carga aparte del servidor de la aplicación. Si termina TLS ahí, es el que ven los navegadores.
CDN
Si subisteis un certificado propio al CDN en lugar de usar el que gestiona el proveedor, hay que subir el nuevo a mano o automatizarlo con su API.
Servidor de correo
SMTP e IMAP suelen tener su propio certificado. Si está revocado, algunos clientes de correo y servidores remotos rechazan la conexión.
Apps con pinning
Si la app fija la clave del certificado o de la intermedia, un certificado nuevo puede cortarle el acceso a la API hasta que se publique una versión nueva.
De la revocación a la renovación automática
El orden importa: primero que todo vuelva a funcionar, después que no dependa de que alguien se acuerde.
- 01
Emisor y alcance
Listamos los dominios y subdominios, sacamos emisor y caducidad de cada certificado y marcamos los que dependen de GoDaddy, Starfield o eMudhra.
- 02
Reemitir e instalar
Pedimos el certificado de reemplazo (o uno nuevo con otra CA si os conviene cambiar) e instalamos la cadena completa, con la intermedia correcta.
- 03
Todos los puntos
Balanceador, CDN, correo, entornos de staging y apps con pinning. Comprobamos cada uno desde fuera con openssl, no solo en el panel.
- 04
Renovación automática
Configuramos ACME con Let's Encrypt o con la CA que uséis, de modo que la renovación y el despliegue en cada punto ocurran sin intervención.
- 05
Aviso de caducidad
Una comprobación periódica que avisa si un certificado está cerca de caducar o si su emisor cambia sin que nadie lo haya pedido.
Certificados que se renuevan solos
El CA/Browser Forum aprobó en 2025 la votación SC-081: el máximo es de 200 días desde el 15 de marzo de 2026, bajará a 100 días en marzo de 2027 y a 47 días en marzo de 2029. Con esos plazos, renovar a mano deja de ser una tarea anual y pasa a ser una tarea casi mensual.
- Alguien recuerda la fecha, genera la petición y la sube al panel
- El fichero nuevo se copia al servidor, pero no al CDN ni al correo
- Desde el 15 de marzo de 2026 un certificado dura como máximo 200 días: dos renovaciones al año por dominio
- Si la CA revoca, toca repetir todo el proceso con prisa
- Un cliente ACME (certbot, el de tu balanceador o tu CDN) pide y renueva solo
- Cada punto donde vive el certificado está apuntado y se despliega en el mismo paso
- Cuando el máximo baje a 100 días (2027) y a 47 (2029), no cambia nada en vuestra operativa
- Una alerta avisa si una renovación falla, antes de que caduque
¿Tu web, tu correo o tu app han dejado de conectar?
Escríbenos →Preguntas frecuentes sobre certificados SSL revocados
¿Cómo sé si mi certificado es uno de los 404.607 que revocó GoDaddy?
¿Me han robado datos si me revocan el certificado?
¿Basta con reemitir el certificado en el servidor web?
¿Qué pasa con una app móvil que hace certificate pinning?
¿Let's Encrypt sirve para una empresa?
Mándanos la lista de dominios
Con los dominios y subdominios os decimos qué certificados dependen de una CA afectada y dónde está instalado cada uno. A partir de ahí, decidís si lo cambiamos nosotros.
Cuéntanos tu reto. Te proponemos solución.
Sin compromiso. En menos de 24 h recibes una propuesta con alcance, plazos y presupuesto. Sin letra pequeña.