Leer las notificaciones de renovación de certificados de ACM

Un certificado emitido por ACM se renueva solo antes de vencer, siempre que el registro CNAME de la validación de DNS siga en su sitio y el certificado esté asociado a algún recurso de AWS. Lo que llega entonces es un correo de renovación completada, del estilo de “Your certificate is renewed”, y no hay nada que hacer.

En cambio, cuando el registro CNAME ha desaparecido, cuando el certificado usa validación por correo electrónico o cuando no está asociado a ningún recurso, la renovación automática no puede completarse y llega un correo con “Action required” que pide validar. Ese sí requiere acción: si no se valida antes de la fecha indicada, el certificado vence. Y si la fecha se acerca sin que la renovación se haya hecho, llega además un aviso de vencimiento próximo.

Como regla práctica: si el asunto lleva “Action required”, “requires validation” o “expire”, hay algo que hacer; si lleva “renewed” o “has been issued”, basta con leerlo. El cuerpo trae el nombre de dominio y el ARN del certificado —que incluye el ID de cuenta—, así que ahí se ve de qué cliente y de qué sitio se trata.

Lo difícil llega cuando los certificados de los dominios de varios clientes se renuevan al mismo tiempo y se acumulan una docena de correos con el mismo asunto. Basta con que uno solo diga “Action required” para que pase desapercibido.

Sabaki extrae el ID de cuenta del ARN que aparece en el cuerpo, vincula la notificación con el cliente correspondiente y marca las de renovación completada como “Informativa” y las que piden validación como “Requiere acción”, con su fecha límite. Aunque lleguen varias notificaciones con el mismo asunto, el resumen en español las distingue de un vistazo: “no hay que hacer nada” frente a “agregue el registro DNS antes de tal fecha”. A diferencia del correo promocional, estas sí se entregan también en Slack y por correo.

Los motivos por los que falla una renovación automática son pocos. Lea la explicación, identifique cuál aplica y, si el trabajo recae en el cliente, el resumen en español sirve tal cual para el mensaje que le envíe.

• El registro CNAME de la validación de DNS desapareció al transferir el dominio o al rehacer la zona.
• El certificado usa validación por correo electrónico y nadie respondió al correo de aprobación enviado a admin@ o webmaster@.
• El certificado no está asociado a ningún recurso de AWS, por lo que queda fuera de la renovación automática (si ya no hace falta, puede eliminarlo).

Las notificaciones de renovación completada se pueden buscar por asunto en la bandeja de entrada, seleccionar todas y archivar de una vez. Dejar solo la que requiere acción y seguirla en el registro de gestión hace que la ronda se despache en poco tiempo.