Comprueba tus dominios y certificados en bloque

Por qué caducan dominios y certificados

Los avisos de renovación van adonde apunta la cuenta, y las cuentas apuntan a personas. El fallo clásico es un correo de renovación enviado al buzón de un empleado que se fue — el registrador hizo su trabajo, el buzón no, y el primer «aviso» que ve alguien es el sitio apagándose. Muy cerca está la niebla organizativa pura: el registrador no es el alojamiento no es el proveedor DNS, y cada equipo supone que otro se encarga de renovar. Suma una tarjeta de renovación automática que a su vez caducó, un dominio registrado hace años por una agencia que ya no responde y una cartera crecida a base de adquisiciones, y la caducidad deja de parecer descuido. Es el resultado por defecto de una fecha sin dueño.

Los certificados caducan de otro modo, y por eso sorprenden a otra gente. Durante años un certificado podía instalarse una vez y olvidarse durante años; después la emisión pasó a la automatización — vidas cortas, renovación automática, un cambio de política de una CA o de un navegador — y la automatización misma se volvió lo que se rompe en silencio: un método de validación retirado, un desafío DNS apuntando a una zona que se mudó, un cron en un servidor retirado. Nada del sitio cambió, y sin embargo una mañana los navegadores lo rechazan. La lección de ambas historias es la misma: la caducidad no es un evento del que te enteras. Es una fecha que o miras a propósito, o conoces por accidente delante de tus usuarios.

Dos relojes, no uno

Cada nombre que te importa lleva dos plazos independientes. El reloj del dominio es el registro: en manos de un registrador, normalmente de uno a diez años, y cuando se agota el nombre deja de resolverse, el correo deja de enrutarse y al final un extraño puede registrarlo y heredar su tráfico y sus correos de restablecimiento. El reloj del certificado es el certificado TLS del servidor o la CDN: emitido por una organización completamente distinta, normalmente por un año o menos, y cuando se agota los navegadores bloquean el sitio aunque al dominio le queden años. Renovar uno nunca toca el otro. Una lista que solo sigue dominios será emboscada por los certificados, y un panel que solo mira certificados será emboscado por el registrador.

Por eso una vista en bloque útil muestra siempre ambas fechas por fila y ordena por la que llegue primero. Un dominio con nueve años por delante y un certificado con nueve días es un problema de nueve días. Un certificado recién renovado por un año sobre un dominio que caduca el mes que viene es un problema de un mes. El reloj más cercano es el plazo real, y entrenarte para leer las carteras así — lo más cercano primero, todo lo demás como contexto — es la mayor parte de la habilidad. El comprobador masivo de dominios está construido exactamente sobre esa lectura: una fila por nombre, ambos relojes visibles, toda la tabla ordenada por el plazo que de verdad morderá.

Una rutina mensual en bloque

La rutina es deliberadamente pequeña, porque una rutina que duele no sobrevive. Guarda una lista canónica de nombres — cada dominio de producción, cada redirección que aún importa, cada nombre de cliente por el que recibirías una llamada — en un solo archivo, un dominio por línea. Una vez al mes, o una vez al trimestre para una lista pequeña y estable, pega ese archivo en el comprobador masivo de dominios y lee la tabla de arriba abajo. Todo lo que esté más allá de 90 días no necesita nada. Todo lo que esté dentro de 90 días recibe una entrada de calendario. Todo lo que esté dentro de 30 días se resuelve en esa misma sesión, no se anota para después. Exporta el CSV y adjúntalo al ticket o a la nota mensual de operaciones, para que la pasada del mes que viene pueda compararse con esta.

Dos hábitos hacen fiable la rutina. Primero, haz crecer la lista deliberadamente: cada lanzamiento, migración y adquisición termina con «añade el nombre a la lista», y cada retirada termina quitándolo — una lista que se aleja de la realidad da una calma falsa. Segundo, comprueba el dueño, no solo la fecha: para cada nombre dentro de 90 días, confirma qué cuenta de registrador lo tiene y quién puede entrar hoy en esa cuenta. Una renovación que no puedes ejecutar porque la cuenta pertenece a una antigua agencia no es un problema de renovación con 90 días para resolverlo; es un problema de acceso con 90 días para resolverlo, y esos tardan más. La tabla en bloque te da las fechas en minutos; gasta el tiempo ahorrado en la propiedad.

Cuando algo está a menos de 30 días

Dentro de 30 días, el orden importa. Renueva primero el dominio. Un registro caducado se lleva el nombre mismo — resolución, correo y, al final, la propiedad — mientras que un certificado caducado, por feo que sea el aviso del navegador, deja el nombre en tus manos y se arregla en una tarde. Dominio primero, certificado después, siempre. Renueva por varios años cuando el registrador lo permita: es la forma más barata de sacar un nombre de la ventana de peligro durante mucho tiempo, y te protege también del aviso olvidado del año que viene, no solo del de este. Después confirma que la renovación aterrizó de verdad — comprueba la nueva fecha en la tabla en bloque de la siguiente pasada en lugar de fiarte de un recibo de pago.

Después encárgate del certificado y, mientras estás en ello, comprueba el dueño de la cuenta del registrador como tarea separada. ¿Quién recibe los avisos de renovación de esta cuenta? ¿Está vigente el método de pago, y la renovación automática falla en voz alta o en silencio en este registrador? Si la cuenta está en manos de una agencia, un antiguo empleado o un correo personal, moverla a una cuenta de rol que la organización controle vale más que cualquier renovación suelta — elimina toda la clase de fallo, no solo este caso. Anota lo que cambiaste junto al CSV que exportaste, para que la siguiente persona herede un sistema, no un misterio.

Cuándo basta una comprobación individual

Lo masivo es para carteras; no es la única lente. Cuando estás metido en el problema de un solo nombre — una migración, una transferencia de registrador, una investigación de «por qué falla el correo» — las herramientas individuales muestran más: el comprobador de caducidad de dominios da el registro completo, los códigos de estado y el DNS de un dominio, y el comprobador SSL da la cadena, los nombres y el detalle de protocolo de un certificado. Si tienes exactamente un dominio y lo recuerdas como recuerdas tu propio cumpleaños, una comprobación individual cuando te acuerdes es, honestamente, suficiente; lo masivo gana su sitio en el momento en que la respuesta honesta a «¿cuántos dominios tenemos?» implica contar, preguntar por ahí o abrir más de una cuenta de registrador.

La línea divisoria es la memoria. Todo lo que un equipo debe recordar junto, acabará olvidándolo junto — para eso están la lista, la rutina y la tabla. Empieza hoy la lista, mientras sea lo bastante corta para escribirla de memoria, pásala por el comprobador masivo de dominios y deja que el reloj más cercano de la página te diga si tienes un trimestre tranquilo o una semana ocupada. Cualquiera de las dos respuestas es mejor que la que te da un dominio caducado.

Preguntas frecuentes