Nadie lo vio venir. Nadie tenía una alerta configurada para ese certificado. Probablemente porque nadie sabía que ese certificado existía.
Lo contamos así, sin épica, porque así es como ocurre. No hay ataque, no hay villano, no hay lección heroica al final. Hay un servicio crítico caído porque un detalle operativo pasó desapercibido durante meses.
Y la pregunta que viene después suele ser siempre la misma. En el postmortem del día siguiente alguien dirá lo predecible: esto no puede depender de nadie, hay que automatizar las renovaciones. Todos asienten.
Es una respuesta razonable. Pero resuelve el síntoma, no la causa.
La mayoría de las veces que una PKI se cae no es porque faltaba automatización. Es porque faltaba algo mucho más básico: saber qué había. Automatizar sin esa capa previa no resuelve el problema — lo hace menos detectable.
Una es: renovamos mal, manualmente, se nos pasan fechas, hay fricción operativa. Esa es la conversación de la automatización. Plataformas potentes, bien construidas, enfocadas en orquestar el ciclo de vida a escala. Existen, funcionan, y en el contexto correcto son exactamente lo que hace falta.
La otra es más incómoda: no tenemos claro qué certificados tenemos, quién los emitió, de qué dependen, cuáles son fantasma y cuáles son críticos. Esa es la conversación de la observabilidad. Y es el paso anterior a la automatización.
El problema es que casi siempre se intenta resolver la primera sin haber resuelto la segunda.
En la operación del día a día, las PKIs fallan de otra forma menos vistosa.
Fallan porque un certificado que llevaba dos años renovándose sin incidentes, un día no se renovó y nadie lo notó a tiempo. Fallan porque la persona que configuró una CA hace cuatro años ya no trabaja en la empresa. Y si dejó documentación, vive en un repositorio que nadie abre. Fallan porque el inventario de certificados es una hoja de cálculo que alguien actualizó por última vez antes de la pandemia.
No es negligencia. Es el paso del tiempo operando sobre una infraestructura que pocos están
mirando con atención.
Es el problema que pocos priorizan, justamente porque no da señales hasta que es tarde.
Primero, saber qué tienes. Un inventario real de todos tus certificados — los de la PKI interna, los emitidos por CAs públicas, los que sostienen APIs que nadie ha revisado en dos años, los del ambiente de QA que alguien olvidó apagar. No una aproximación: la foto completa.
Segundo, saber en qué estado están. Cuáles vigentes, cuáles por expirar, cuáles ya expirados, cuáles revocados. Parece trivial. Pero cuando este ejercicio se hace bien por primera vez, suele aparecer una sorpresa poco agradable: hay más certificados de los que alguien creía, y varios ya no están donde deberían.
Tercero, que la información llegue antes que el problema. Alertas anticipadas que no se ahogan en ruido, reportes que el equipo técnico entiende y que la dirección también entiende, evidencia lista para el momento en que toque auditoría.
Con esas capas funcionando, la conversación sobre automatización deja de ser una apuesta y se vuelve una decisión. Porque ahora sabes qué vale la pena automatizar, qué no, sobre qué CAs y con qué reglas. Ya no se trata de elegir entre observabilidad o automatización: observabilidad primero, y a partir de ahí, las demás decisiones se vuelven mucho más claras.
El punto es más simple: la automatización amplifica lo que ya tienes. Si tu operación está ordenada, amplifica orden. Si tu operación tiene huecos, amplifica huecos — ahora con la eficiencia de una máquina.
La visibilidad es el paso previo que hace que todo lo demás funcione mejor. Y, en la mayoría de los casos, es la inversión con mejor retorno: la más ligera de implementar y la que más descubre.
Si terminaste mayormente en el primer bloque, lo que sigue puede interesarte.
En CEGA Security llevamos más de doce años operando infraestructuras críticas en producción en LATAM. Y con el tiempo, una cosa se volvió evidente: la mayoría de los problemas que veíamos en clientes no los resolvía una plataforma más grande. Los resolvía, antes que nada, la visibilidad.
De ahí salió PKI Reports.
Es una capa de observabilidad sobre certificados digitales — que no intenta ser más que eso. No emite, no renueva, no automatiza ciclos de vida. Lo que hace es juntar en una sola vista los certificados que hoy viven dispersos entre distintas CAs — las internas, las públicas, las que nadie recuerda haber montado — y avisar con anticipación cuando alguno está por expirar.
Se integra directamente con EJBCA y Microsoft CA para sincronizar certificados de forma automática. Además, admite la carga manual de certificados emitidos por otras entidades, como SAT, DIAN, SUNAT y cualquier otra autoridad certificadora que necesites gestionar.
No tocar la operación criptográfica es una decisión práctica: gracias a eso, PKI Reports se instala sin romper nada, y en poco tiempo empieza a mostrar cosas que estaban ahí y nadie veía.
Lo más práctico, si te interesa, es verlo con tus propios certificados. En una demo corta los ves en una sola vista: cuáles vencen, de qué CA dependen, cuáles exigen atención hoy. Eso ningún argumento lo explica mejor.
Esa pregunta no se responde comprando una plataforma más grande. Se responde volviendo a lo básico. Ver qué hay. Entender cómo se relaciona. Y desde ahí, decidir con criterio.
Porque lo que no se ve, tarde o temprano se rompe. Y cuando se rompe, casi nunca es por un ataque. Es por algo que nadie estaba mirando.
