La automatización con ACME no sustituye la supervisión de certificados
ACME automatiza la emisión y renovación de certificados TLS públicos. Los equipos también necesitan inventariar los certificados que quedan fuera de ese proceso, asignarles responsables y configurar alertas de vencimiento.
acme.sh renovó el certificado, pero Nginx sigue sirviendo el anterior
cert-manager: Certificate está Ready, pero el Ingress sirve otro certificado
Traefik sirve el certificado equivocado: comprueba SNI, routers y ACME
Certbot ha renovado el certificado, pero Nginx sigue sirviendo el anterior
Qué automatiza ACME
La RFC 8555 define ACME como un protocolo para automatizar la validación de identificadores y la emisión de certificados entre una autoridad de certificación y un solicitante. Cuanto menor es la validez de los certificados, menos tiempo queda para realizar estos pasos manualmente.
ACME Renewal Information, estandarizado en la RFC 9773, mejora el proceso de renovación. Un servidor ACME puede proponer periodos de renovación y un cliente puede indicar que ha renovado y sustituido un certificado correctamente. Let’s Encrypt recomienda consultar ARI con frecuencia y utilizarlo, cuando sea posible, en lugar de un calendario de renovación fijo.
Qué cubre ACME
- Solicitar un certificado a un servidor ACME.
- Demostrar el control de los identificadores mediante los desafíos admitidos.
- Recibir el certificado emitido y, según el cliente, renovarlo automáticamente.
- Revocar certificados y gestionarlos desde la cuenta.
Qué debe comprobar la supervisión
- Qué certificado presenta realmente cada host, puerto y nombre SNI.
- Qué endpoints públicos e internos, archivos y recursos TLS de Kubernetes están cubiertos por el inventario.
- Si la cadena, el emisor, el conjunto de SAN, el tipo de clave o la política TLS han cambiado de forma inesperada.
- Qué equipo es responsable del endpoint y recibe las alertas con tiempo para renovar su certificado.
- Qué certificados internos, endpoints de PKI privada y certificados instalados manualmente quedan fuera del proceso ACME.
Comprueba los certificados después de emitirlos
ACME puede confirmar que se ha emitido o renovado un certificado. No crea un inventario de endpoints, hosts privados ni clústeres ajenos a ese proceso ACME. Esas ubicaciones necesitan comprobaciones independientes.
api-01.example.com- Certificado nuevoQuedan 68 días
api-02.example.com- Todavía presenta el certificado anteriorQuedan 7 días
La emisión ha finalizado correctamente. Aún hay que comprobar el despliegue en cada endpoint.
Fallos que la automatización no evita
Elementos fuera del proceso ACME
Las VPN, los dispositivos, las API privadas, los certificados instalados manualmente y la PKI interna pueden quedar fuera tanto del inventario automatizado como de su circuito de alertas.
Solo algunos servicios están automatizados
El servidor web público está automatizado, pero la VPN, el dispositivo, el panel de administración, la API interna o el endpoint de un cliente siguen gestionándose manualmente.
Sin responsable cuando algo falla
Un equipo se encarga de la tarea de renovación y otro del endpoint, mientras la alerta llega a un buzón compartido que nadie revisa para atender incidencias.
Supuestos incorrectos sobre la renovación
Un calendario fijo o el comportamiento de un cliente antiguo puede funcionar para certificados de 90 días y volverse frágil cuando se reduce su validez y cambian los periodos de renovación.
Cómo organizar la gestión
- Utiliza ACME para emitir y renovar certificados siempre que el endpoint y la autoridad de certificación lo admitan.
- Utiliza clientes compatibles con ARI cuando estén disponibles, para que la autoridad de certificación pueda sugerir periodos de renovación y avisar de la necesidad de sustituir certificados antes de lo previsto.
- Supervisa directamente el endpoint, de forma independiente del cliente ACME.
- Registra los responsables, destinatarios de alertas, fuentes observadas y métodos de renovación de cada certificado.
- Integra en el mismo inventario operativo los certificados internos y endpoints que no utilizan ACME público.
- Configura alertas basadas en lo que realmente reciben usuarios y sistemas, además de comprobar si la tarea de emisión terminó correctamente.
Cómo encaja Nocert
Nocert supervisa los certificados que presentan los endpoints TLS públicos e internos accesibles, además de los encontrados en archivos y Kubernetes. Puedes controlar los vencimientos de certificados gestionados por ACME y por otras herramientas. Business y Custom también muestran los resultados de las comprobaciones de políticas de Compliance. Nocert no sustituye a tu cliente ACME, autoridad de certificación ni herramientas de despliegue.
Después de una renovación con ACME, comprueba que los endpoints que supervisas presentan el certificado esperado.
Fuentes primarias
Esta nota se basa en el estándar ACME, la extensión ACME Renewal Information, la guía de integración de Let’s Encrypt y su documentación sobre límites de solicitudes.