Caducidad de dominios y certificados SSL: por qué ocurre y cómo evitarla

Un dominio caducado o un certificado TLS vencido es el fallo más visible que puede tener la infraestructura informática de una pequeña empresa: la web muestra un aviso del navegador o una página de aparcamiento llena de anuncios, el correo deja de llegar y los clientes dan por hecho que el negocio ha cerrado o que lo han hackeado. También es uno de los más evitables, porque cada dominio y cada certificado tiene una fecha de caducidad conocida con meses de antelación. Esta guía explica por qué caducan de todos modos, qué ocurre realmente cuando lo hacen, cómo crear un inventario, los riesgos de confiar en la renovación automática, cómo gestionar los certificados de 90 días, los bloqueos del registrador y un checklist de monitorización.

Por qué caducan los dominios y los certificados

Casi nunca porque nadie supiera la fecha. Las causas habituales son:

• La tarjeta registrada caducó. La renovación automática estaba activada; el pago falló; los emails de aviso fueron a una dirección que nadie lee.
• El email del titular ya no existe. El dominio lo registró hace años un fundador, un antiguo empleado o una agencia web, con una dirección que ya no existe. Los avisos de renovación, las solicitudes de verificación y las aprobaciones de transferencia se pierden en el vacío.
• Se acabó la relación con la agencia. El desarrollador que montó la web pagaba el dominio o el certificado desde su propia cuenta. Cuando terminó el encargo, terminaron también las renovaciones.
• Los certificados se instalaron a mano una sola vez. Se compró e instaló manualmente un certificado de un año; un año después, quien lo hizo ya no está y no hay nada programado.
• Demasiados proveedores. Dominios en dos registradores, certificados de un tercero, DNS en un cuarto, cada uno con su acceso y su ciclo de renovación.
• Nadie es responsable. Marketing cree que el dominio lo lleva IT; IT cree que lo lleva la agencia; la agencia cree que lo lleva el cliente.

Qué ocurre realmente cuando caducan

La caducidad de un dominio es una secuencia, no un precipicio. En la fecha de caducidad, la mayoría de los registradores suspenden la resolución DNS, así que la web y el correo dejan de funcionar de inmediato aunque el dominio todavía no se haya perdido. Le sigue un periodo de gracia en el que puedes renovar al precio normal, después suele venir un periodo de redención en el que aún es posible renovar, pero con una tarifa bastante más alta, y por último el dominio se libera para que cualquiera pueda registrarlo. La duración y las tarifas exactas varían según el registrador y el dominio de nivel superior; consulta las condiciones vigentes de tu registrador. Los dominios caducados con historial de tráfico suelen comprarlos especuladores y ciberokupas a los pocos minutos de liberarse.

Más allá de la web, la verdadera víctima es el correo. Todos los mensajes enviados a tu dominio rebotan; los emails para restablecer la contraseña de cualquier otro servicio que uses no llegan a ninguna parte; y si alguien se hace con el dominio, puede recibir tu correo y restablecer esas contraseñas.

La caducidad de un certificado sí es un precipicio. En cuanto pasa la fecha, los navegadores muestran un aviso a página completa, los clientes de API se niegan a conectarse y todo lo que depende de esa conexión — páginas de pago, apps móviles, integraciones con socios — falla. Los certificados internos de servidores de correo, VPN e interfaces de administración caducan igual de bruscamente y se detectan más tarde.

Crea el inventario

No puedes renovar lo que no sabes que tienes. Para los dominios:

• Haz una lista de todos los dominios de la empresa, incluidos los registros defensivos, las variantes por país, las marcas antiguas y los dominios de campañas. Busca cargos de registradores en los extractos de tarjeta y en el libro de cuentas a pagar, y pregunta al personal más veterano.
• Para cada uno, anota: registrador, titular del acceso a la cuenta, emails de contacto del titular y del administrador, fecha de caducidad, estado de la renovación automática, método de pago, dónde está alojado el DNS y qué depende de él (web, correo, dominios personalizados en servicios SaaS).
• Haz una consulta WHOIS o RDAP de cada uno para confirmar que la fecha de caducidad y los contactos del titular son los que crees.

Para los certificados:

• Haz una lista de cada nombre de host que sirve TLS: webs públicas, subdominios, API, servidores de correo, puntos de acceso VPN, consolas de administración internas, balanceadores de carga y nodos de CDN.
• Para cada uno, anota: autoridad de certificación, fecha de caducidad, cómo se emitió (manualmente, con automatización ACME, gestionado por un CDN o por el proveedor de hosting), dónde está la clave privada y quién puede volver a emitirlo.
• Usa los registros de transparencia de certificados (bases de datos públicas y consultables de certificados emitidos) para encontrar certificados de tus dominios cuya existencia desconocías.

Los riesgos de la renovación automática

La renovación automática es necesaria, pero no suficiente. Los fallos son previsibles:

• Depende de un método de pago que también caducará. Anota la caducidad de la tarjeta junto a la del dominio y revisa ambas.
• Los registradores suelen intentar la renovación un número fijo de días antes de la caducidad y reintentarlo algunas veces; si los reintentos fallan, se detienen y envían un email. Si nadie lee ese email, el dominio caduca con la renovación automática «activada».
• Algunos registradores desactivan la renovación automática tras un pago fallido, un cambio del email de la cuenta o una transferencia.
• Las renovaciones por varios años reducen la frecuencia del problema, pero no su gravedad, y el intervalo más largo hace que la organización olvide la renovación con más facilidad.

Trata la renovación automática como la segunda línea de defensa. La primera es una persona que recibe un recordatorio a tiempo y comprueba que la renovación se ha hecho de verdad.

Certificados de 90 días y automatización

Los certificados de confianza pública llevan años acortando su vigencia, y el sector avanza hacia periodos de validez que se miden en semanas en lugar de en un año. Con esos intervalos, la renovación manual no es una opción realista; el único enfoque sostenible es automatizar con el protocolo ACME, en el que un cliente instalado en el servidor (o tu CDN o proveedor de hosting) solicita, valida e instala los certificados según un calendario, sin intervención humana.

La automatización no elimina la necesidad de monitorizar; cambia lo que hay que monitorizar. Las renovaciones automáticas fallan en silencio cuando un cambio de DNS rompe la validación, cuando una regla del cortafuegos bloquea la solicitud de validación o cuando el software cliente está desactualizado. Mantén una comprobación externa en cada host público que avise cuando al certificado presentado le queden menos de, por ejemplo, 14 días — si la automatización funciona, esa alerta nunca debería saltar, y si salta aún tienes dos semanas.

Los certificados que no se pueden automatizar — algunos sistemas internos, certificados de firma de código, certificados de dispositivos — van al inventario con recordatorios explícitos, exactamente igual que un dominio.

Bloqueo del registrador e higiene de cuentas

Ya que tienes el inventario abierto, cierra los otros huecos habituales:

• Activa el bloqueo del registrador (bloqueo de transferencia) en cada dominio para que no se pueda transferir sin un desbloqueo explícito.
• Activa la autenticación en dos pasos en las cuentas del registrador, del DNS y de la autoridad de certificación, y asegúrate de que más de una persona pueda acceder.
• Configura como emails de contacto del titular y del administrador un buzón genérico que controle la empresa (como domains@ o it@), no la dirección de una persona, y asegúrate de que alguien lo revise.
• Concentra los dominios en uno o dos registradores cuando sea viable.
• Si el registrador lo permite, usa los ajustes de avisos de renovación para enviar alertas a una segunda dirección.

Checklist de monitorización

1. Cada dominio y cada certificado figura en un único inventario con un responsable y una fecha de caducidad.
2. Recordatorios para cada dominio a 90, 30 y 7 días de la caducidad, enviados a más de una persona.
3. Fechas de caducidad de las tarjetas registradas para cada cuenta con renovación automática, con sus propios recordatorios.
4. Monitorización externa de certificados en cada host público, con alerta cuando queden 14 días.
5. Cada trimestre: confirmar los contactos del titular, los bloqueos y el estado de la autenticación en dos pasos en cada cuenta de registrador.
6. Cada año: reconstruir el inventario a partir de extractos, consultas WHOIS y registros de transparencia de certificados para detectar cualquier novedad.
7. En cada baja: comprobar si la persona que se va era titular o contacto de algún dominio, certificado o proveedor de DNS.

Cómo te ayuda Trackords

Trackords es un gestor gratuito que no pide tarjeta de crédito, y los dominios y certificados encajan en él de forma natural. Crea los tipos de registro «Dominio» y «Certificado» con campos personalizados para el registrador o la autoridad de certificación, el titular de la cuenta, el proveedor de DNS, el estado de la renovación automática y la caducidad de la tarjeta de pago. Cada registro admite hasta tres recordatorios por email con los días de antelación que elijas antes de la caducidad, o en una fecha fija, además de un aviso opcional el día del vencimiento — el calendario 90/30/7 anterior se configura una sola vez por registro.

Los recordatorios se envían por email a todos los usuarios activos del espacio de trabajo y, opcionalmente, a una dirección adicional por registro, así que la alerta llega a más gente que a la única persona que tiene el acceso. La importación CSV carga el inventario desde una hoja de cálculo en minutos, y el registro de auditoría muestra quién actualizó una fecha de renovación. Trackords es un sistema de recordatorios y registros, no un monitor de certificados en tiempo real, así que combínalo con una comprobación externa de disponibilidad o de TLS para los hosts más importantes. Consulta la página del gestor de operaciones o la demo en vivo, y para un inventario más completo de los costes recurrentes de IT lee el checklist de auditoría de suscripciones SaaS.