En 2029, un certificado digital valdrá como máximo 47 días. ¿Su consejo sabe cuántos tiene la empresa?

El día en que una fecha tumbó a una operadora

El 6 de diciembre de 2018, millones de clientes de O2, una de las mayores operadoras del Reino Unido, se quedaron sin internet en el móvil durante cerca de un día. Según la prensa británica, hubo alrededor de 32 millones de usuarios afectados, contando las operadoras que usan la red de O2. SoftBank, en Japón, también resultó afectada. No hubo ataque. Un certificado digital había vencido dentro del software de un equipo de Ericsson, y Ericsson salió a asumir públicamente toda la responsabilidad por el fallo.

En febrero de 2020, Microsoft Teams se cayó durante algunas horas por el mismo motivo; la propia Microsoft informó que había expirado un certificado de autenticación. En abril de 2023 le tocó a Starlink, y Elon Musk explicó el apagón en una línea: un certificado vencido en una estación terrestre.

Tres empresas tecnológicas de primera línea. Ningún intruso. Solo una fecha que nadie estaba mirando.

La confianza que vence por diseño

Un certificado digital es el documento que permite a un sistema demostrar a otro que es quien dice ser. No hablo aquí del e-CPF o del e-CNPJ (certificados brasileños de firma) que usamos para firmar documentos, sino de los certificados que los sistemas usan entre sí. Es lo que hace aparecer el candado en el navegador, lo que autentica una API de pagos, lo que permite que un equipo hable con otro. Y todo certificado tiene fecha de caducidad. No por casualidad, sino por diseño: la idea es precisamente que la confianza se renueve cada cierto tiempo.

El problema es que la renovación depende de que alguien sepa que el certificado existe. El informe "PKI & Digital Trust" de 2024 de Keyfactor, elaborado con el Ponemon Institute, mostró que las organizaciones sufrieron de media nueve incidentes relacionados con certificados en los 12 meses anteriores. Cada uno tardó, de media, 2,6 horas solo en identificarse y otras 2,7 horas en corregirse, y movilizó a unas ocho personas.

Más de cinco horas para descubrir y arreglar algo que tenía fecha fijada.

De 398 a 47 días

Esa cuenta se va a apretar. En abril de 2025, el CA/Browser Forum, que reúne a las autoridades de certificación y a los fabricantes de navegadores, aprobó sin ningún voto en contra la reducción gradual del plazo máximo de los certificados usados en sitios web, los que hacen aparecer el candado en el navegador. El e-CPF y el e-CNPJ siguen las reglas de ICP-Brasil y quedan fuera de esta cuenta. Era de 398 días. Desde marzo de 2026, es de 200. En marzo de 2027, baja a 100. En marzo de 2029, a 47 días.

Según mis cálculos, eso supone renovar cada certificado casi ocho veces al año. Una empresa que hoy controla los vencimientos en una hoja de cálculo, con un recordatorio en el calendario de alguien, multiplicará por ocho las probabilidades de olvidarse de uno.

El cambio es bueno para la seguridad. Un certificado de vida corta reduce el daño cuando se filtra una clave. Pero le pasa factura a quien todavía trata este asunto de forma manual.

El código que el consejo no ve

El certificado es solo la parte más visible. Por debajo están los algoritmos, las bibliotecas y los protocolos que hacen funcionar la criptografía, repartidos por sistemas que el consejo nunca ha visto y que a veces ni la propia área de TI sabe que existen.

El informe "Future encrypted", de Capgemini, de julio de 2025, consultó a directivos de 1.000 grandes empresas en 13 países. Solo el 39% dijo que el consejo debate las implicaciones de la computación cuántica. Entre los directivos de las empresas que ya empezaron a prepararse, solo el 35% mantiene un inventario centralizado de claves, algoritmos y certificados. Una encuesta de ISACA de abril de 2025, con más de 2.600 profesionales, encontró un panorama aún más crudo: solo el 5% de las organizaciones tenía una estrategia definida frente a la amenaza cuántica.

No se puede gobernar lo que no se ve. Y buena parte de la confianza digital de una empresa hoy simplemente no aparece en ningún panel de riesgos.

Hasta los algoritmos tienen plazo

Aquí la conversación llega a la criptografía poscuántica, por un camino que quizá sorprenda. Solemos pensar en el algoritmo como la parte permanente de la confianza. El certificado vence; el algoritmo queda.

No queda. En el borrador del NIST IR 8547, de noviembre de 2024, el instituto estadounidense de estándares propuso considerar obsoletos después de 2030, y prohibir después de 2035, los algoritmos RSA y de curvas elípticas, que sostienen hoy la mayor parte de la seguridad de internet. El motivo es el avance de los ordenadores cuánticos, capaces, en teoría, de romper esos algoritmos.

En Brasil, el movimiento ya empezó. En enero de 2026, el ITI, que administra ICP-Brasil, la infraestructura de clave pública que respalda los certificados digitales oficiales del país, publicó la Instrução Normativa nº 35, que incluye los algoritmos poscuánticos ML-DSA y ML-KEM entre los aceptados. Todavía no hay plazo para abandonar los antiguos. Pero la puerta ya está abierta.

La confianza tiene fecha de caducidad en todas las capas. La diferencia es que algunas vencen en 47 días y otras en diez años, y las que vencen despacio son justamente las más difíciles de sustituir.

Tres decisiones para sacar la confianza de la oscuridad

1. Hacer el inventario, con responsable y fecha. Saber qué certificados, claves y algoritmos usa la empresa, dónde están, quién responde por cada uno y cuándo vence cada uno. Sin eso, cualquier plan de migración es una apuesta a ciegas.

2. Automatizar la renovación antes de 2029. Con una validez de 47 días, renovar a mano deja de ser una opción razonable. La automatización tiene que estar lista mientras el plazo todavía es de 200 días, y no cuando ya sea de 47.

3. Llevar un indicador al consejo. No tiene por qué ser técnico. Cuántos certificados tiene la empresa, cuántos vencen en los próximos 90 días, cuántos sistemas críticos dependen de algoritmos con fecha fijada para salir de escena. Tres cifras que caben en una diapositiva y sacan el asunto de la invisibilidad.

La pregunta para la próxima reunión

La próxima vez que el consejo debata riesgos tecnológicos, haga una pregunta que casi nunca entra en el orden del día: ¿cuál es la próxima fecha de vencimiento capaz de paralizar la empresa, y quién la conoce?

O2 descubrió la respuesta una mañana de diciembre, con millones de clientes sin señal. Se puede descubrir antes.