Діагностика Let's Encrypt — чому certbot не видає сертифікат

Тому що HTTP-01 challenge завжди починається з порту 80. Центр сертифікації підключається туди спершу, незалежно від того, що ваш сайт робить далі, і брандмауер, що блокує порт 80, робить challenge неможливим. Перенаправлення порту 80 на HTTPS — нормально: CA слідує перенаправленню і не перевіряє сертифікат при цьому. Закривати порт — ні. Якщо відкрити його справді неможливо, альтернативою є DNS-01.

Так. Перед видачею файлу challenge немає, тому 404 — саме те, що має повернути коректно налаштований сервер. Головне — що запит узагалі досяг вашого вебсервера. Під час підтвердження certbot розміщує справжній токен за цим шляхом, і CA його знаходить. Відхилене з’єднання або 403 означають, що запит туди не дійшов, — і це справжня проблема.

DNS-запис, що вказує, які центри сертифікації можуть видавати сертифікати для вашого домену. Вони зобов’язані перевіряти його і відмовляти, якщо їх там немає. CAA-записи можна отримати від майстра налаштувань попереднього провайдера, з панелі хостингу або успадкувати від батьківського домену — запис на example.com поширюється і на www.example.com, тому «я його ніколи не створював» часто є помилкою.

Опосередковано — і в цьому суть. Let's Encrypt обмежує кількість сертифікатів, які можна запросити для домену за тиждень, і саме повторні невдалі спроби вичерпують його. Перевірка передумов перед повторним запуском certbot — те, що вберігає від витрачання ліміту на заздалегідь приречені спроби.

Ні, і ніколи не буде. Він не виконує жодних ACME-операцій, не зберігає ключів і не звертається до жодного центру сертифікації — лише спостерігає за вашим доменом ззовні. Видача сертифіката належить вашому серверу, де зберігається приватний ключ і де поновлення може бути автоматичним, — чого вебсторінка забезпечити не може.