تشخيص Let's Encrypt — لماذا يفشل certbot

لأن تحدي HTTP-01 يبدأ دائمًا على المنفذ 80. تتصل سلطة التصديق به أولًا مهما فعل موقعك بعد ذلك، والجدار الناري الذي يُسقط المنفذ 80 يجعل التحدي مستحيلًا. أما تحويل المنفذ 80 إلى HTTPS فلا بأس به: تتبع السلطة التحويل ولا تفحص الشهادة أثناءه. إغلاق المنفذ هو المشكلة. وإن تعذّر فتحه فعلًا فـ DNS-01 هو البديل.

نعم. قبل الإصدار لا يوجد ملف تحدٍّ، فالرمز 404 هو ما يجب أن يعيده خادم مضبوط جيدًا. المهم أن الطلب بلغ خادم الويب لديك أصلًا. وأثناء التحقق يضع certbot الرمز الحقيقي في ذلك المسار فتجده سلطة التصديق. أما فشل الاتصال أو الرمز 403 فيعنيان أن الطلب لم يصل قط، وتلك هي المشكلة الحقيقية.

سجل DNS يحدد أي سلطات التصديق يجوز لها الإصدار لنطاقك. والسلطات ملزمة بفحصه وبالرفض إن لم تكن مدرجة. ويحصل الناس عليه من معالج إعداد لدى مزوّد سابق، أو من لوحة استضافة، أو يرثونه من نطاق أعلى — فالسجل على example.com ينطبق على www.example.com أيضًا، ولهذا كثيرًا ما تكون عبارة «أنا لم أنشئ سجلًا قط» خاطئة.

بصورة غير مباشرة، وهذا هو المقصود. تحدّ Let's Encrypt عدد الشهادات التي يمكن طلبها لكل نطاق أسبوعيًا، والذي يستنزف الحصة هو المحاولات الفاشلة المتكررة. وفحص الشروط قبل إعادة تشغيل certbot هو ما يمنع إحراق الحصة في محاولات كانت ستفشل على أي حال.

لا، ولن تفعل. فهي لا تنفّذ أي عملية ACME ولا تحتفظ بأي مفتاح ولا تتحدث إلى أي سلطة تصديق — إنما تراقب نطاقك من الخارج فحسب. والإصدار مكانه خادمك حيث يوجد المفتاح الخاص وحيث يمكن أن يكون التجديد تلقائيًا، وهو ما لا تستطيع صفحة ويب توفيره.