Let’s Encrypt suma 2 perspectivas y valida en 7 puntos

Qué cambia en la validación de dominios de Let's Encrypt

Let's Encrypt hará siete solicitudes de validación por cada certificado que emita, en lugar de cinco: una desde su datacenter principal y seis desde perspectivas remotas, dos más que las cuatro que usaba hasta ahora. Para que la validación se apruebe, el servidor primario y un quórum de perspectivas remotas deben recibir la respuesta correcta al desafío.

La autoridad certificadora fue directa sobre el impacto esperado: "We expect little to no impact to users". En la práctica, tus renovaciones automáticas deberían seguir funcionando igual, pero el margen ante configuraciones de DNS o red frágiles se reduce.

Por qué Let's Encrypt suma perspectivas remotas: el riesgo de BGP

El motivo es de seguridad de infraestructura. La propia entidad lo explica: "Increasing the number and coverage of our domain validation perspectives improves visibility and protection against BGP attacks". El BGP hijacking permite redirigir tráfico entre dos puntos sin que nadie lo note, y el proceso de validación de dominio es un objetivo especialmente atractivo.

Network World describió el mecanismo con precisión: el atacante no necesita secuestrar la ruta por mucho tiempo. Dmitry Sharkov, arquitecto principal de Sectigo y arquitecto líder del proyecto Open MPIC, lo resumió así: "You can briefly divert a CA's validation check to a malicious server, trick it into issuing a legitimate certificate, and then disappear". Ese certificado fraudulento habilita suplantación de sitios y posible intercepción de tráfico cifrado.

La lógica del cambio es simple: si la validación se consulta desde varias regiones distintas, un secuestro de ruta localizado ya no alcanza para engañar a la autoridad certificadora. Si una perspectiva se deja engañar, las otras detectan la discrepancia y el certificado no se emite.

El calendario: staging el 27 de octubre y producción el 10 de noviembre

Let's Encrypt publicó dos fechas concretas para el despliegue:

• Martes 27 de octubre de 2026: comienza a validar dominios con las nuevas regiones en el entorno de staging.
• Martes 10 de noviembre de 2026: despliegue en producción, si el staging no arroja problemas.

Las actualizaciones se publicarán en el mismo hilo de la comunidad. Como siempre en estos rollouts, el entorno de staging es la oportunidad de bajo riesgo para detectar problemas antes de que afecten certificados reales.

Qué exige la norma y qué es MPIC

El cambio no es una decisión unilateral. Detrás está el Baseline Requirements del CA/Browser Forum, en su sección 3.2.2.9 Multi Perspective Issuance Corroboration:

Effective 2026-12-15, the CA MUST implement Multi-Perspective Issuance Corroboration using at least five (5) remote Network Perspectives.

El texto agrega dos condiciones que explican la configuración de Let's Encrypt: se debe cumplir la tabla de requisitos de quórum, y las perspectivas remotas que corroboran la perspectiva primaria deben caer dentro de las regiones de servicio de al menos dos Registros Regionales de Internet (RIR) distintos. Si no se cumplen, la autoridad certificadora no puede emitir el certificado.

MPIC, entonces, es la sigla de Multi-Perspective Issuance Corroboration: un método que valida la titularidad de un dominio desde múltiples puntos de observación geográficamente diversos. Según Network World, el CA/Browser Forum estableció un calendario por fases: monitoreo desde dos perspectivas en marzo de 2025, entrada en vigor de la exigencia en septiembre y un salto a cinco perspectivas distintas en diciembre de 2026.

Para que esto no fuera un privilegio de las autoridades certificadoras grandes, Sectigo junto a investigadores de la Universidad de Princeton publicaron Open MPIC, un framework open source. Incluye una librería de validación consistente entre entornos, opciones de despliegue en AWS Lambda y contenedores Docker, lógica de quórum y diversidad geográfica obligatoria. Sharkov explicó a Network World que el sistema consulta todas las perspectivas en paralelo: "If you have 10 perspectives, then it basically asks all 10 perspectives at the same time, and then it will collect the results and determine the quorum". La latencia, según el mismo directivo, se mantiene en una fracción de segundo.

¿Qué significa esto para tu startup?

Si tu producto depende de HTTPS — y hoy prácticamente todos lo hacen — este cambio te toca, aunque sea de forma indirecta. Un fallo de validación no es un detalle técnico: significa un certificado que no se renueva, un navegador mostrando una advertencia y una tasa de conversión que se cae en minutos. Esto es lo que conviene revisar antes de noviembre:

• Audita dónde responde tu dominio. Si tienes split-horizon DNS, respuestas distintas según la región o algún proxy que solo contesta en una zona geográfica, la validación desde seis perspectivas remotas puede devolver resultados inconsistentes. Prueba la resolución de tu dominio desde varias ubicaciones antes del rollout.
• Usa el staging como campo de pruebas. Desde el 27 de octubre de 2026, el entorno de staging de Let's Encrypt ya valida con las nuevas regiones. Ejecuta una emisión de prueba ahí y confirma que tu flujo ACME (HTTP-01, DNS-01 o TLS-ALPN) la supera sin errores.
• Monitorea las renovaciones, no la fecha de vencimiento. El error clásico es enterarse del fallo cuando el certificado ya expiró. Alerta sobre los errores de la API ACME y sobre renovaciones que quedan pendientes más de lo habitual.
• Si emites certificados para terceros, por ejemplo una plataforma SaaS con dominios personalizados de clientes, verifica que tu autoridad certificadora ya cumpla con los requisitos de quórum. Si construyes tu propia capa de validación, Open MPIC existe justamente para bajar la barrera técnica y de infraestructura de MPIC.

El movimiento de Let's Encrypt marca la dirección del sector: la validación de una sola perspectiva queda obsoleta. Las startups que operan dominios de clientes en varios países deberían asumir que el estándar se endurece y diseñar su infraestructura de certificados con redundancia geográfica desde ahora, no cuando la renovación falle.

Conclusión

Let's Encrypt pasa de cinco a siete solicitudes de validación por certificado, con seis perspectivas remotas, y lo hará en staging el 27 de octubre de 2026 y en producción el 10 de noviembre de 2026. La causa es el riesgo de BGP hijacking, y el marco que lo obliga es el Baseline Requirements del CA/Browser Forum, que exige al menos cinco perspectivas remotas desde el 15 de diciembre de 2026. Para un founder, la acción es concreta y barata: probar tu flujo de emisión en staging este mes y asegurarte de que tu DNS responde igual desde cualquier parte del mundo.

Fuentes

• Let's Encrypt is adding two additional remote perspectives for domain validation (fuente original)
• Open MPIC project defends against BGP attacks on certificate validation - Network World