Let's Encrypt, una autoridad de certificación (CA) que proporciona certificados SSL/TLS gratuitos, está ampliando su proceso de validación de dominios multiperspectiva. A partir de finales de 2026, la organización aumentará el número de perspectivas de red remotas utilizadas para verificar la propiedad de un dominio. Este movimiento está impulsado por la necesidad de cumplir con los Requisitos Básicos actualizados, que exigen que las CA implementen la corroboración de emisión multiperspectiva utilizando al menos cinco perspectivas de red remotas.
La imagen sirve como recurso visual principal para el anuncio sobre la expansión de las perspectivas de red remotas para la validación de dominios.
La validación multiperspectiva es un mecanismo de seguridad diseñado para evitar que los atacantes secuestren el certificado de un dominio mediante la manipulación del enrutamiento de internet. En una validación estándar, una CA podría verificar un dominio desde una sola ubicación. Sin embargo, un atacante podría utilizar el secuestro del Border Gateway Protocol (BGP) para redirigir el tráfico desde esa ubicación específica hacia un servidor malicioso. Al utilizar múltiples 'perspectivas' —solicitudes que se originan en diferentes ubicaciones físicas y viajan a través de diferentes rutas de red— la CA garantiza que un quórum de estas solicitudes reciba la respuesta correcta al desafío. Si un atacante secuestra una ruta para una perspectiva, las demás perspectivas seguirán llegando al servidor legítimo, lo que provocará que la validación falle y evitará la emisión de un certificado fraudulento.
El proceso actualizado involucrará un total de siete solicitudes de validación: una desde un centro de datos principal y seis desde perspectivas remotas (un aumento respecto a las cuatro anteriores). Para satisfacer los nuevos requisitos, estas perspectivas remotas deben encontrarse dentro de las regiones de servicio de al menos dos Registros Regionales de Internet (RIR) distintos. Let's Encrypt planea comenzar a preparar estas nuevas regiones el 27 de octubre de 2026, con un despliegue en producción programado para el 10 de noviembre de 2026. Aunque la CA espera poco o ningún impacto en la experiencia del usuario final, el cambio es una necesidad técnica para mejorar la visibilidad y la protección contra ataques sofisticados a nivel de red. Aunque la validación multiperspectiva eleva significativamente la barrera para los atacantes, no es una garantía absoluta; incidentes históricos han demostrado que los secuestros de BGP sofisticados aún pueden tener éxito ocasionalmente si afectan a una parte lo suficientemente grande de la tabla de enrutamiento de internet simultáneamente. La evidencia de este desafío continuo resalta por qué aumentar la diversidad de puntos de observación de red sigue siendo una estrategia de defensa crítica para la CA.