Let's Encrypt añade dos perspectivas de validación: quién puede notarlo

El 15 de octubre de 2026, Let's Encrypt anunció que añade dos nuevas perspectivas remotas para la validación de dominios. En la práctica, antes de emitir un certificado comprobará tu dominio con siete solicitudes en vez de cinco. El proyecto espera poco o ningún impacto, y para la mayoría de sitios será así. Los sitios que podrían notarlo son los que deciden quién puede acceder a ellos según el país o la dirección IP.

Qué cambia, en números

Cuando pides un certificado, Let's Encrypt tiene que confirmar que controlas el dominio. Lo hace obteniendo una respuesta a un challenge, y no confía en un único punto de observación para ello. Según el anuncio, la validación hará ahora siete solicitudes en total: una desde el centro de datos principal y seis desde perspectivas remotas, frente a cuatro antes. Para que la validación funcione, el servidor principal y un quórum de perspectivas remotas deben recibir la respuesta correcta.

La razón es la seguridad. El anuncio dice que más perspectivas hacen más difícil secuestrar las solicitudes de validación y protegen mejor frente a ataques BGP, en los que alguien redirige el tráfico de tus direcciones IP para que una sola comprobación llegue a él en lugar de a ti. Comprobar desde más redes a la vez lo complica mucho.

Por qué ahora: una norma con fecha

No es solo una decisión propia. Los Baseline Requirements del CA/Browser Forum, sección 3.2.2.9, establecen que a partir del 2026-12-15 una autoridad de certificación debe usar al menos cinco perspectivas de red remotas, que las que corroboran a la principal deben estar en las regiones de servicio de al menos dos Registros Regionales de Internet distintos, y que si no se cumplen los requisitos no se debe emitir el certificado. Let's Encrypt pasa a seis perspectivas remotas antes de esa fecha.

Las fechas, tal como se anunciaron: las nuevas regiones empiezan en staging el martes 27 de octubre de 2026 y, si todo va bien, en producción el martes 10 de noviembre de 2026. Las novedades se publicarán en el hilo del anuncio.

Quién puede notarlo

El anuncio no enumera configuraciones afectadas, así que lo que sigue es un consejo general. La validación multiperspectiva solo funciona si cada perspectiva puede llegar a tu challenge. Si bloqueas tráfico por país, o solo dejas que ciertos rangos de IP lleguen al servidor web, una perspectiva nueva en una región bloqueada puede fallar. Con suficientes fallos no se alcanza el quórum y no se emite el certificado. Un sitio sin ningún filtro delante de la ruta del challenge no está en este grupo.

Los sitios habituales donde mirar: una regla de geobloqueo en una CDN o un WAF, un firewall que solo admite IP conocidas y un proxy inverso que filtra antes de servir /.well-known/acme-challenge/. Un challenge DNS-01 evita la ruta HTTP, pero las consultas DNS también llegan desde varias redes, así que una configuración DNS restrictiva merece la misma revisión.

El peligro silencioso es que la renovación falle semanas después, no el día del cambio. Si tus certificados se renuevan solos, asegúrate de que un fallo llegue a una persona.

Siguiente paso: si tu cliente ACME admite el entorno de staging de Let's Encrypt, pide allí un certificado de prueba después del 27 de octubre y comprueba que pasa a través de tus reglas de filtrado reales. Fuente: comunidad de Let's Encrypt, Let's Encrypt is adding two additional remote perspectives for domain validation.