Emitir certificado

Descripción general

Emitir un certificado SSL nuevo en AutoSSL tiene dos fases principales:

1. Configurar la solicitud del certificado (dominios, estrategia de renovación y parámetros criptográficos).
2. Verificar la titularidad del dominio mediante DNS (registros CNAME) para autorizar a la autoridad de certificación (CA) a emitir el certificado.

Solicitud de certificado

Paso 1: Solicitar un certificado nuevo

Para empezar, vaya a la página Certificados y haga clic en Crear certificado. Se abrirá un formulario de configuración.

1. Seleccione la autoridad de certificación (CA)

Elija la autoridad de certificación que emitirá su certificado SSL. Actualmente, AutoSSL admite:

• Let's Encrypt: una autoridad de certificación gratuita, automatizada y abierta.

2. Configuración de dominio

Introduzca los nombres de dominio que desea proteger con el certificado.

• Puede añadir varios dominios haciendo clic en Añadir dominio.
• Los dominios comodín son totalmente compatibles (por ejemplo, *.example.com).
• Nota: Los nombres de dominio no pueden solaparse ni repetirse. Por ejemplo, no puede incluir a la vez www.autossl.dev y *.autossl.dev en la misma solicitud, porque el comodín ya cubre ese subdominio.

3. Ajustes básicos

Configure cómo gestiona AutoSSL este certificado a lo largo del tiempo:

• Nombre del certificado: (opcional) Indique un nombre personalizado para identificarlo con facilidad. Si lo deja vacío, AutoSSL generará uno a partir de su dominio principal.
• Renovación automática: Actívela para que AutoSSL renueve el certificado antes de que venza y evite interrupciones.
• Días antes del vencimiento para renovar: Si la renovación automática está activada, puede indicar cuántos días antes del vencimiento debe iniciarse (entre 15 y 45 días). Se recomiendan 21 días para disponer de margen si surge algún problema.

4. Configuración avanzada (criptografía)

Puede personalizar los parámetros técnicos de la solicitud de firma de certificado (CSR):

• Algoritmo de firma:
  • RSA: Ofrece mejor compatibilidad con sistemas antiguos. Puede elegir una longitud de clave de 2048-bit (recomendada), 3072-bit o 4096-bit.
  • ECDSA: Ofrece mejor rendimiento y claves más pequeñas. Puede elegir la curva P-256 (mejor compatibilidad), P-384 (más seguridad) o P-521.
• Algoritmo de hash: Elija SHA-256, SHA-384 o SHA-512 para la firma del certificado.

Cuando termine, haga clic en Siguiente: configurar la verificación DNS para crear el grupo de certificados y pasar a la verificación.

Paso 2: Verificar la titularidad del dominio

Antes de que la autoridad de certificación emita el certificado, debe demostrar que controla los dominios solicitados. AutoSSL usa un desafío basado en DNS.

1. Configure los registros CNAME

AutoSSL generará registros CNAME específicos para cada dominio de la solicitud.

• Inicie sesión en su registrador de dominios o en el proveedor de DNS (por ejemplo, Cloudflare, Route53 o GoDaddy).
• Añada los registros CNAME indicados a su configuración DNS. Para una guía detallada según el proveedor, consulte Cómo añadir registros DNS.

2. Verificar el estado

Después de añadir los registros DNS, vuelva a AutoSSL.

• La propagación DNS puede tardar unos minutos.
• AutoSSL comprobará el estado de sus registros CNAME. Puede iniciar una comprobación manual para actualizar el estado.

3. Comenzar a emitir el certificado

Cuando todos los dominios aparezcan como Verificado, se habilitará el botón Comenzar a emitir el certificado.

• Haga clic en el botón para indicar a la autoridad de certificación que finalice la verificación y emita el certificado.
• Tras un breve procesamiento, su certificado SSL nuevo estará listo y podrá configurar los Despliegues para enviarlo a su infraestructura.

Renovación automática y despliegue

Al configurar el certificado (como en el paso 1), si activa Renovación automática, AutoSSL intentará renovarlo antes de que venza, según el ajuste Días antes del vencimiento para renovar.

AutoSSL muestra todo su valor cuando la renovación automática se combina con los despliegues:

1. Renovación automática del certificado: Cuando se alcanza el umbral (por ejemplo, 21 días antes del vencimiento), AutoSSL emite un certificado nuevo de la CA sin intervención manual, siempre que los registros de verificación DNS (CNAME) sigan siendo válidos.
2. Activación de los despliegues automáticos: Cuando el certificado nuevo se emite correctamente, AutoSSL ejecuta todos los Despliegues de ese certificado que tengan activada la opción Despliegue automático.
3. Sin tiempo de inactividad: El certificado recién emitido se envía y se aplica a su infraestructura (por ejemplo, CDN, equilibradores de carga o funciones sin servidor), de modo que sus aplicaciones mantienen conexiones HTTPS seguras sin interrupciones ni trabajo manual.

Política de espera y pausa de la renovación automática

Para reducir el ruido de las notificaciones y evitar reintentos innecesarios cuando hay un problema persistente, AutoSSL aplica una espera creciente a los intentos fallidos de renovación automática.

• Después de cada fallo consecutivo, AutoSSL programa el siguiente reintento con demoras crecientes: 1, 2, 4, 8 y 16 días.
• Durante ese periodo, los grupos de certificados que aún no deban reintentarse se omiten hasta la hora del siguiente intento.
• Si los fallos continúan más allá de ese calendario (después de 5 fallos consecutivos), AutoSSL pausará la renovación automática de ese grupo de certificados.

Cuando la renovación automática está en pausa:

• AutoSSL envía un correo de "Renovación automática en pausa" (en lugar del correo habitual de fallo de ese evento), para que pueda actuar sin recibir avisos diarios repetidos.
• El grupo de certificados queda fuera de las renovaciones automáticas posteriores hasta que usted lo reanude de forma explícita.

Cómo reanudar la renovación automática

1. Corrija el problema de fondo (lo más habitual es una configuración incorrecta de DNS/CNAME).
2. Abra la página de Configuración del certificado.
3. Active Renovación automática y haga clic en Guardar.

Esta acción borra el estado de pausa y de espera, y permite que el grupo vuelva al flujo de renovación automática en las ejecuciones programadas siguientes.