El consejo de eMudhra anunció el 22 de octubre de 2026 que se retiraría voluntariamente del negocio global de certificados SSL/TLS. La empresa describió una transición con continuidad de servicio y certificados de reemplazo gratuitos para clientes. Mozilla identificó ocho intermediarios afectados: seis TLS y dos de firma de código.

Qué cambia para los clientes durante la transición

eMudhra dijo que sus raíces G1 RSA seguirían atendiendo a clientes durante la transición. La empresa también se comprometió a contactar con los clientes afectados y ofrecerles certificados de reemplazo gratuitos a través de sus socios. Sus servicios de revocación y consulta del estado de los certificados continuarían hasta que cada certificado emitido caducara o fuera sustituido.

El anuncio no implicó un corte inmediato de esos servicios. Para conocer el antecedente de la revocación y la alternativa de Sectigo, puedes leer la cobertura anterior de NeoTeo.

Los ocho intermediarios no eran todos TLS

Mozilla identificó seis intermediarios para TLS y dos para la firma de código. Un certificado intermedio permite a una autoridad certificadora emitir otros certificados dentro de una cadena de confianza. Mozilla recuperó de forma independiente las ocho claves el 17 de octubre de 2026. Eran claves de curva elíptica P-384 cuyos valores privados eran enteros inferiores a 256.

Mozilla registró que uno de los intermediarios TLS G3C estaba activo y se deshabilitó tras el aviso. eMudhra afirmó que ninguna de las autoridades certificadoras afectadas había emitido certificados de entidad final, los que identifican a sitios web o usuarios. La empresa revocó los ocho intermediarios el 18 de octubre, según el registro de Mozilla.

La explicación preliminar de eMudhra

eMudhra atribuyó inicialmente las claves débiles a un fallo de un script durante una ceremonia de generación de claves. Según la explicación de la empresa, una prueba de envoltura y desenvoltura generó una segunda serie de claves débiles junto a las previstas; etiquetas similares llevaron después a usar las débiles en solicitudes de firma de certificados.

La empresa situó el negocio de certificados SSL/TLS en torno al 1 % de sus ingresos globales. También citó el aumento de los requisitos de soberanía de datos y cumplimiento normativo, la complejidad y el coste del negocio, la oferta de certificados gratuitos y el escrutinio tras el incidente como motivos de la retirada.

eMudhra afirmó que sus servicios de firma digital, eSign, PKI empresarial, firma electrónica, identidad y autenticación usan infraestructuras separadas y no están afectados. La empresa incluyó en esa afirmación sus operaciones en India.