Más allá de Let's Encrypt: reseña de las mejores alternativas gratuitas para SSL/TLS

Let’s Encrypt hizo que los certificados gratuitos para HTTPS sean la norma: los emiten automáticamente vía ACME, y el cliente en el servidor los renueva antes de su expiración. Pero Let’s Encrypt no es la única autoridad de certificación gratuita. Hace falta una alternativa cuando se necesita un CA de respaldo por si hay fallos o límites, otra política de vigencias, interfaz web o integración con la nube. Abajo — qué está realmente disponible en 2026 y qué cambió en el propio Let’s Encrypt.

Qué cambió en Let’s Encrypt

• OCSP deshabilitado. Desde el 7 de mayo de 2025 las direcciones OCSP ya no se incluyen en los certificados, y el 6 de agosto de 2025 los servidores OCSP de Let’s Encrypt fueron apagados. La comprobación de revocación ahora se hace mediante listas de revocación (CRL). Si su servidor estaba configurado para OCSP stapling o los clientes requerían OCSP Must-Staple, fue necesario reconfigurarlo.

• Vigencias reducidas. En lugar de un único plazo de 90 días, Let’s Encrypt introdujo perfiles ACME:

  • tlsserver — desde el 13 de mayo de 2026 emite certificados de 45 días;
  • classic (perfil por defecto) — desde el 10 de febrero de 2027 cambiará a 64 días, y desde el 16 de febrero de 2028 a 45 días;
  • shortlived — certificados de 6 días para quienes eligen conscientemente una vigencia muy corta.

  Al mismo tiempo se reduce el periodo durante el cual se reutiliza la validación de propiedad del dominio: a 10 días en 2027 y a 7 horas en 2028.

Conclusión práctica: la renovación manual ya no es una opción. Debe renovar el cliente ACME, y con margen — no en las últimas 24 horas, sino aproximadamente en un tercio del plazo. El perfil lo elige el cliente; compruebe en la documentación de su cliente si soporta la selección de perfil.

Qué autoridades gratuitas están disponibles

ZeroSSL

ZeroSSL — la segunda CA gratuita más conocida con soporte ACME. Según la documentación de ZeroSSL, vía ACME se pueden obtener un número ilimitado de certificados gratuitos de 90 días, incluidos certificados para varios dominios y wildcard (*.example.com). La URL del directorio ACME es https://acme.zerossl.com/v2/DV90.

Para ACME se requieren credenciales External Account Binding (EAB): se crean en el panel personal de ZeroSSL. Además de ACME, ZeroSSL tiene una interfaz web para emisión manual y planes de pago con certificados anuales.

Google Trust Services

Google emite certificados públicos confiables gratuitamente a través de su propio servicio ACME (Public CA). El directorio es https://dv.acme-v02.api.pki.goog/directory. Para usarlo se necesita un proyecto en Google Cloud: la clave EAB se crea con el comando gcloud publicca external-account-keys create. La emisión de certificados en sí es gratuita. Para las empresas rusas esta opción suele no estar disponible: Google Cloud desde 2022 no registra nuevos clientes de Rusia.

Buypass — cerrado

El noruego Buypass fue durante mucho tiempo una alternativa gratuita popular con soporte ACME. Desde el 16 de octubre de 2025 el servicio Go SSL está cerrado: no se pueden solicitar, renovar o reemplazar certificados. Los ya emitidos funcionan hasta su fecha de expiración. Si Buypass figura en su configuración como CA principal o de respaldo — sustitúyalo.

Alternativas que no reemplazan directamente a Let’s Encrypt

SSL.com

SSL.com soporta ACME, pero es un servicio de pago: según la documentación de SSL.com, los certificados emitidos vía ACME son anuales, se pagan según el tipo de certificado, y para la conexión se necesitan credenciales EAB del panel. Útil si necesita un certificado anual o OV/EV con verificación de organización, pero no como sustituto gratuito.

AWS Certificate Manager

ACM emite certificados gratuitos solo para servicios integrados con AWS: balanceadores, CloudFront, API Gateway. Los certificados que se pueden exportar e instalar en su servidor son de pago: $7 por emisión o renovación para un dominio normal y $79 para wildcard. Para las empresas rusas AWS no está disponible debido a restricciones de pago.

Cloudflare Universal SSL

Si el sitio opera a través del proxy de Cloudflare, Cloudflare emite el certificado para la conexión visitante→Cloudflare. El cifrado entre Cloudflare y su servidor se configura aparte: el modo Full (strict) verifica un certificado válido en su servidor, mientras que Flexible deja ese tramo sin cifrar — a evitar. Para la audiencia en Rusia tenga en cuenta que desde el 9 de junio de 2025 los operadores rusos restringen las conexiones con Cloudflare, algo que confirmó el propio Cloudflare.

ZeroSSL o Let’s Encrypt

Para la mayoría de servidores la diferencia es pequeña: ambas CA funcionan por ACME y el cliente cambia entre ellas con una sola configuración. Un esquema sensato es usar Let’s Encrypt como CA principal y ZeroSSL como respaldo. Así lo hace Caddy por defecto: según su documentación, si obtener un certificado en Let’s Encrypt falla, prueba con ZeroSSL.

Clientes ACME en lugar de certbot

Certbot es el cliente más conocido, pero no el único. La elección del cliente a menudo es más importante que la de la CA.

• acme.sh — script en shell sin dependencias, soporta verificación DNS vía API de muchos proveedores. Desde la versión 3.0 (agosto de 2021) emite por defecto certificados en ZeroSSL; volver a Let’s Encrypt se puede con el comando acme.sh --set-default-ca --server letsencrypt.
• lego — cliente y biblioteca en Go, un solo binario, soporte para más de 200 proveedores DNS. Conveniente para certificados wildcard y para uso en scripts.
• Caddy — servidor web que obtiene y renueva certificados por sí mismo, sin cliente separado. Más detalles — en el artículo «Qué es Caddy».
• Traefik — proxy inverso para contenedores con ACME integrado: los certificados se emiten para servicios según sus etiquetas.
• certbot — sigue siendo una buena opción para un servidor clásico con Nginx o Apache, especialmente si ya lo utiliza.

Errores típicos

• Renovar manualmente o con un cron antiguo sin comprobaciones. Con vigencias de 45 días, un fallo en la renovación se detecta rápido y con consecuencias. Configure monitorización de la vigencia del certificado.
• Buypass en la configuración. La renovación con una CA cerrada no funcionará — compruebe qué servidor ACME está configurado en el cliente.
• Modo Flexible de Cloudflare. El visitante ve el candado en el navegador, pero el tráfico hasta su servidor va en texto sin cifrar.
• Wildcard sin verificación DNS. Un certificado para *.example.com solo se emite mediante un registro DNS; para ello el cliente necesita acceso a la API del proveedor DNS.
• Dependencia de OCSP. Las opciones OCSP stapling y Must-Staple para certificados de Let’s Encrypt ya no tienen sentido.

Cómo funciona la emisión por ACME, qué tipos de verificaciones de dominio existen y qué son los registros CAA y Certificate Transparency — en el artículo «Certificados de Let’s Encrypt: ACME, verificaciones de dominio, CAA y Certificate Transparency».