Certbot no renueva: cómo arreglar la renovación de Let's Encrypt
Los certificados de Let's Encrypt duran 90 días y Certbot los renueva solo. Hasta que un día no lo hace, y el sitio amanece con "La conexión no es privada". Estas son las fallas más frecuentes y cómo resolverlas.
Primero, probá la renovación
Corré certbot renew --dry-run. Simula la renovación sin cambiar nada y muestra el error exacto si algo falla.
Fallas frecuentes
- El puerto 80 está cerrado: la validación HTTP necesita que Let's Encrypt llegue al puerto 80. Revisá el firewall (
ufw status) y el proveedor de nube. - El DNS apunta a otro lado: si moviste el sitio, el dominio tiene que apuntar al servidor nuevo antes de renovar.
- Cloudflare con proxy activo: puede interferir con la validación. Usá la validación por DNS o configurá Cloudflare en modo "Full (strict)" con un certificado de origen.
- El timer de renovación no corre: revisá con
systemctl list-timers | grep certbot. Si no aparece, la renovación automática nunca se ejecuta. - Se renovó pero el sitio sigue mostrando el viejo: falta recargar el servidor web (
systemctl reload nginxoapache2).
Una alternativa más simple
Servidores web como Caddy obtienen y renuevan el certificado solos, sin Certbot. Para sitios nuevos es la opción con menos mantenimiento.
Vigilá el certificado desde afuera
Aunque la renovación sea automática, conviene que algo externo la controle. Podés ver ahora cuántos días le quedan a tu certificado con el chequeador gratis. Y Vigía te avisa por Telegram 30, 7 y 1 día antes del vencimiento, así una renovación fallida no te agarra de sorpresa.
¿Tu sitio está bien ahora?
O directamente probá Vigía gratis: te avisa por Telegram si se cae, y antes de que venzan el SSL y el dominio.