¿ACME guarda o distribuye mis claves privadas?
No necesariamente. La ubicación de la clave depende del cliente y de la arquitectura elegida. Siempre que el entorno lo permita, conviene generar la clave en el punto donde se utilizará y evitar transportarla. Si la emisión es centralizada, hay que diseñar custodia, cifrado, acceso y distribución de forma explícita.
¿ACME sirve para certificados OV o EV?
El protocolo puede formar parte del flujo, pero no elimina la validación de identidad ni las políticas del emisor. La disponibilidad de cada tipo de certificado, sus aprobaciones y su nivel de automatización deben confirmarse con la certificadora y el producto contratado.
¿DNS-01 obliga a dar acceso total al DNS?
No debería. Una integración segura usa credenciales de mínimo privilegio, separación por zona o delegación de la validación cuando el proveedor DNS y la arquitectura lo permiten. Si no existe granularidad suficiente, conviene centralizar el desafío o cambiar el diseño antes de distribuir credenciales amplias.
¿Qué ocurre con appliances o servidores sin salida a internet?
Suelen requerir una arquitectura centralizada o híbrida: un componente autorizado se comunica con la CA y los endpoints reciben o recuperan únicamente el material que les corresponde. La instalación, autenticación, recarga y confirmación deben resolverse para cada tipo de destino.
¿La renovación automática evita todas las caídas?
No. También pueden fallar la validación DNS o HTTP, la emisión, la distribución, el formato, la cadena, los permisos o la recarga. Una automatización completa verifica el certificado realmente servido, registra el resultado y escala el fallo antes del vencimiento.