Let's Encrypt ei onnistu: syyt ja ratkaisut

Jos ilmaisen sertifikaatin hankinta ei onnistu, syy on lähes aina DNS:ssä: Let's Encrypt ei pysty tavoittamaan palvelinta verkkotunnuksen kautta. Alla näet mitä ilmoituksia voit kohdata ja miten ne ratkaistaan.

Mistä näet mikä meni pieleen?

• Kohdan Manage certificates alaosassa, kohdassa FAILED HTTP CHECKS: nimet, joiden tarkistus epäonnistui.
• Kohdassa Provisioning history: jokainen pyyntö tilan (Status), aloitusajan (Started), DNS-nimien (DNS names) ja tarkistustavan (Challenge type) kanssa.

Ilmoitukset ja ratkaisut

ACME-järjestelmä on pois käytöstä

Automaattinen hankinta on pois päältä tälle verkkotunnukselle. Ota se käyttöön kohdassa ACME Settings (katso Ilmaisen Let's Encrypt-sertifikaatin hankkiminen, vaihe 3).

Failed HTTP checks

DirectAdmin selittää sen itse: DNS namen die hier worden vermeld, kunnen geen automatische certificaten krijgen omdat een HTTP verzoek voor deze namen deze server niet bereikt. Dit kan gebeuren als er geen DNS records voor deze namen zijn of als DNS records naar een andere server verwijzen.

Mitä teet:

• Osoittaako verkkotunnus vielä vanhaan palveluntarjoajaan? Tämä on yleisin syy, esimerkiksi juuri muuton jälkeen. Muuta DNS tai nimipalvelimet ja odota, kunnes muutos näkyy kaikkialla (katso Milloin muutos tulee voimaan? Odotusaika ja TTL). Yritä sen jälkeen hankintaa uudelleen.
• Onko AAAA-tietue oikein? Let's Encrypt tarkistaa myös IPv6:n kautta. Jos A-tietue osoittaa meille mutta AAAA-tietue vielä toiseen palvelimeen, tarkistus epäonnistuu. Muuta AAAA-tietue tai poista se (katso A- tai AAAA-tietueen lisääminen tai muokkaaminen).
• Käytätkö Cloudflaren proxya (oranssi pilvi)? Poista se tilapäisesti käytöstä, kunnes sertifikaatti on saatu (katso DNS Oma WebOkéssa ja ulkoisilla nimipalvelimilla, kuten Cloudflare).
• Listassa on vain mail, ftp, pop tai smtp, etkä käytä näitä nimiä koska sähköposti on muualla? Tämä ei ole ongelma: verkkosivustosi saa silti sertifikaatin.
• Estääkö verkkosivustosi tarkistuksen? Let's Encrypt hakee tiedoston sivustosi kansiosta /.well-known/acme-challenge/. Oma sääntö .htaccess-tiedostossa, suojauslisäosa tai salasanalla suojattu kansio voi estää tämän. Poista tällainen sääntö tilapäisesti tai tee poikkeus .well-known-kansiolle.

CAA-tarkistus epäonnistui

CAA-tietueella DNS:ssä määrität, mitkä tahot saavat myöntää sertifikaatteja verkkotunnuksellesi. Jos CAA-tietue on olemassa ilman letsencrypt.org-mainintaa, Let's Encrypt kieltäytyy. Lisää letsencrypt.org CAA-tietueeseen tai poista tietue (katso DNS Administrationin avaaminen ja tietueiden lukeminen).

ACME:n käyttörajoitus on saavutettu

Let's Encrypt myöntää verkkotunnusta kohden vain rajoitetun määrän sertifikaatteja viikossa, ja estää tilapäisesti pyynnöt monen epäonnistuneen yrityksen jälkeen. Odota tunnista vuorokauteen ja yritä sen jälkeen uudelleen. Älä klikkaa jatkuvasti uudelleen: selvitä ensin syy.

Wildcard-sertifikaatti ei onnistu

Wildcard-sertifikaatti onnistuu vain, jos DNS on WebOkén hallinnassa. Jos DNS on muualla, poista kohdassa ACME Settings käytöstä Prefer wildcard certificates (katso Sertifikaatti www tunnukselle, aliverkkotunnuksille ja wildcardille).

Käytössä on toinen aiheen tarjoaja

Tarkista kohdasta ACME Settings, onko ACME provider -kohdassa Let's Encrypt: Default (Let's Encrypt), tai Other ja sen alla Let's Encrypt. Toinen tarjoaja voi vaatia omat ehdot tai oman tilin.

Saan palvelimen nimellä varustetun sertifikaatin

Näetkö verkkotunnuksesi tai alitunnuksesi kohdalla sertifikaatin esimerkiksi nimellä linux2023.webawere.nl, ja varoituksen että nimi ei täsmää? Silloin tällä nimellä ei vielä ole omaa sertifikaattia, ja palvelin näyttää oman sertifikaattinsa. Ratkaise yllä mainittu syy ja yritä hankintaa uudelleen.

Sivustoni on offline sen jälkeen kun tein jotain SSL:lle

• Otitko HSTS:n käyttöön ennen kuin sertifikaatti toimi? Poista HSTS käytöstä ja hanki sertifikaatti (katso Kävijät aina https-osoitteeseen ohjaaminen).
• Latasitko oman sertifikaatin, joka ei täsmää nimeen tai on vanhentunut? Poista se Certificate list -listalta, jotta DirectAdmin voi hankkia uudelleen ilmaisen sertifikaatin.
• Näetkö https-osoitteella eri sivun tai tyhjän sivun, jossa kehotetaan lisäämään index.html private_html-kansioon? Silloin private_html on verkkotunnuksellasi erillinen kansio. Pyydä meiltä tiketin kautta, että private_html osoitetaan public_html-kansioon (katso Domainin asetukset: SSL, PHP, www ja private_html).

Etkö pääse eteenpäin?

Pyydä Oma WebOkén tekoälyavustajaa tarkistamaan sertifikaattisi, tai tee tiketti. Mainitse verkkotunnuksesi ja mitä näet kohdassa Failed HTTP checks tai Provisioning history -historiassa.