certpilot
CertPilot es un sistema open-source de gestión del ciclo de vida de certificados PKI que monitorea y gestiona certificados en una jerarquía CA centralizada, con renovación automática, monitoreo de salud de CA, despliegue a servidores, cumplimiento de políticas y reportes criptográficos.
Ficha actualizada 22 sept 2026, 22:23 · upstream 22 sept 2026, 22:16 · release v0.1.1
Qué es certpilot
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
CertPilot está diseñado para equipos centrales de PKI — el grupo que posee la jerarquía CA y responde por todos los certificados que sirve la organización. Monitorea cada CA y certificado en un solo reloj, con renovación automática, monitoreo de salud de CA, despliegue a servidores, cumplimiento de políticas y reportes criptográficos. Un CA expirando es el fallo crítico que paraliza toda su jerarquía; CertPilot monitorea autoridades primero y certificados segundo para evitar fallos catastróficos.
- Gestionar un solo reloj de renovación para todos los certificados en una organización
- Monitoreo continuo de salud de CA con alertas automáticas
- Despliegue automático de certificados renovados a servidores web y aplicaciones
- Cumplimiento normativo (CNSA 2.0) mediante reportes CBOM exportables
- Auditoría criptográfica completa con hash-chained logs per certificado
- Gestión unificada de múltiples CA: ACME, Vault PKI, CA self-signed y gateways personalizados
- Monitorea autoridades CA y certificados en un solo reloj logarítmico (no lineal)
- Soporta ACME RFC 8555 con DNS-01 y HTTP-01, Wildcards, EAB y ARI
- Gateway independiente para cada proveedor: ACME, Vault, Self-signed
- Host agent instala certificados en múltiples plataformas (nginx, Apache, HAProxy, Caddy, Tomcat, IIS, etc.) sin tocar el código del core
- Seguridad con AES-256-GCM en tránsito y reposición de KEK segura
- API REST pública con documentación auto-generada desde el router
- No soporta certificados expirados (solo monitorea hasta la fecha límite)
- La versión actual es 'early development' sin pruebas en producción real
- El host agent requiere instalación manual en cada plataforma objetivo
- No incluye soporte nativo para Windows Server 2016/2019 como plataforma de servidor
- Monitoreo de salud de CA no verifica validación de OCSP en tiempo real
- Sin integración con sistemas de gestión de activos (ITSM) ni con herramientas de seguridad externas
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Requiere Docker. Comandos: docker compose up -d para el demo rápido, make dev para la versión local. El gateway se registra como CA en la configuración del core. Para producción, usar deploy/docker-compose.yml y configurar el KEK con AES-256-GCM. No requiere instalación de herramientas adicionales ni clonación del repositorio.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.