Certbot y Let's Encrypt: renovar HTTPS automáticamente sin romper tu web
Publicado el 2026-10-26 por frfrand
Certificados gratuitos, renovación automática y diagnóstico TLS en Nginx
Tu sitio muestra el candado verde hoy, pero ¿qué pasa dentro de dos meses? Los certificados públicos caducan y deben renovarse. Let's Encrypt permite obtener certificados gratuitos y Certbot puede automatizar buena parte del proceso.
Vamos a convertirlo en un procedimiento que puedas usar en un VPS real. El objetivo es entender por qué funciona, cómo probarlo y qué problema aparece si una parte queda mal configurada.
Qué significa Certbot y Let's Encrypt y cuándo lo necesitás
Let's Encrypt es una autoridad certificadora y Certbot un cliente ACME que solicita y renueva certificados. Para emitirlos debe comprobarse control del dominio mediante un desafío compatible (por ejemplo HTTP-01 o DNS-01). La automatización depende de que DNS y servicios sigan configurados correctamente.
Antes de cambiar nada en producción, anotá el estado actual: IP, dominio, puerto, servicio afectado y hora del último deploy. Una modificación aislada es fácil de comprobar; cinco cambios simultáneos hacen más difícil reconstruir lo ocurrido.
Configuración o comandos de ejemplo
sudo nginx -t
sudo certbot certificates
sudo certbot renew --dry-run
systemctl list-timers | grep -i certbot
# Verificar certificado público desde otra máquina
openssl s_client -connect ejemplo.com:443 -servername ejemplo.com </dev/nullLos dominios, IP, rutas y nombres son ilustrativos. No copies una configuración entera encima de la actual sin comparar primero. En los ejemplos que incluyen puertos o firewall, asegurate de conservar el acceso administrativo.
Cómo lo haría paso a paso
- Preparación. Compruebe que el DNS apunta al servidor correcto y el dominio es accesible por el desafío elegido.
- Paso 2. Instale Certbot mediante el método recomendado para su distribución.
- Paso 3. Solicite el certificado con el plugin compatible y verifique el nombre de host.
- Paso 4. Pruebe la renovación con
--dry-runsin esperar a que expire. - Verificación. Configure monitoreo de vencimiento y verifique la recarga del servicio tras renovar.
Cuando termine, compruebe la operación real desde otra conexión. Por ejemplo, para una API no alcanza con abrir el navegador: ejecute una petición de lectura, una escritura en una base de prueba y consulte los logs del proceso.
Ejemplo de un proyecto de verdad
Una API de reservas usa HTTPS en api.cliente.com. El certificado caduca un domingo y empiezan a fallar las peticiones de pago desde el navegador. Una prueba periódica de renovación habría detectado antes el problema de configuración.
La lección es sencilla: una configuración de infraestructura no vive aislada de la aplicación. El frontend, el servidor, la base de datos y los workers se conectan, así que medir dónde empieza el fallo es más útil que reiniciar todo.
El error que evitaría
No desactive validación TLS para «resolver» el error. Revise nombre, cadena, tiempo del sistema y certificado servido por Nginx. Certbot no puede arreglar una zona DNS mal delegada.
Cuando trabajás con servidores de clientes, guardá un respaldo o procedimiento de reversión antes de cambios que afecten datos, red o certificados. Y si no sabés qué permisos necesita una operación, evitá ejecutarla como root sólo para que deje de mostrar errores.
¿Cómo se relaciona con ArduMaker?
ArduMaker incluye administración de dominios y SSL en el entorno VPS. Aun así, comprobá la renovación real y alertas: un certificado configurado no equivale a uno siempre válido.
En un caso típico podés crear un VPS para la aplicación, desplegar desde Git, asociar dominio HTTPS y administrar el backend y las bases necesarias. Las herramientas ayudan a centralizar operaciones, pero hay que entender qué puerto y proceso cumple cada función.
Preguntas que aparecen cuando lo probás
¿Cómo sé si el fallo es de DNS o del servicio? Consultá primero la resolución, después la conexión al puerto y finalmente la respuesta de aplicación. Ese orden evita confundir problemas diferentes.
¿Puedo exponer una base para que sea más fácil mantenerla? Mejor diseñá acceso privado o túneles autenticados cuando sea posible. Exponer un puerto no reemplaza los permisos del motor ni el firewall.
¿Qué debería documentar? La configuración esperada, cómo se comprueba y cómo volver al estado anterior. Ese documento te ayuda más que una lista de comandos sin contexto.
Referencias
En resumen: una buena configuración de red o servidor es la que puedes explicar, verificar y recuperar cuando algo falla.