Behebung von ACME-Fehlern bei der Ausstellung eines SSL-Zertifikats

Wenn Sie HTTPS für einen virtuellen Host aktivieren, fordert das BeAdmin-Panel ein SSL-Zertifikat von Let's Encrypt an und fügt es in die Nginx-Konfiguration ein. Die Anfrage läuft über das ACME-Protokoll — den öffentlichen Standard für die automatische Zertifikatsausstellung.

Zur Ausstellung muss Let's Encrypt prüfen, dass Ihnen die Domain tatsächlich gehört. Dafür sendet Let's Encrypt eine Prüfanfrage von der öffentlichen Seite an die Domain — sind DNS, Nginx oder die Netzwerkports nicht korrekt konfiguriert, schlägt die Prüfung fehl, und das Panel meldet einen Fehler.

HTTPS aktivieren

HTTPS wird über den Schalter „HTTPS verwenden (Port 443)“ beim Erstellen oder Bearbeiten eines virtuellen Hosts aktiviert — das Panel fordert das Zertifikat sofort an. Mehr zum Formular für virtuelle Hosts im Artikel Nginx. Arbeiten mit virtuellen Hosts, zum Ablauf der Ausstellung und zur manuellen Neuausstellung im Artikel Ausstellung eines SSL-Zertifikats. Dieser Artikel ist ein Nachschlagewerk für konkrete Fehlermeldungen.

Lässt sich das Zertifikat nicht ausstellen, zeigt das Panel eine Fehlermeldung. Darin steht unter der Überschrift „ACME-Fehler:“ der ursprüngliche Fehlertext der Zertifizierungsstelle — Einzelheiten finden Sie dort und nicht in den Server-Logs. Die konkreten Meldungen und das Vorgehen dazu finden Sie unten.

Fehlermeldungen

Unten stehen die Meldungen, die das Panel bei einem Ausstellungsfehler anzeigt: was auf Seiten von Let's Encrypt passiert ist und was Sie korrigieren müssen. Steht Ihre Meldung nicht darunter, lesen Sie „Sonstiger Let's-Encrypt-Fehler“.

Keine DNS-Einträge für die Domain

SSL-Zertifikat konnte nicht ausgestellt werden: DNS-Einträge für die Domain nicht gefunden.

Let's Encrypt hat zum Domainnamen überhaupt keine DNS-Einträge gefunden — entweder ist die Domain nicht an die DNS-Server des Anbieters delegiert, oder die Einträge wurden noch nicht angelegt.

Was zu tun ist:

1. Prüfen Sie, ob die Domain an die DNS-Server Ihres Registrars oder Anbieters delegiert ist.
2. Legen Sie einen A- oder AAAA-Eintrag an, der auf die IP-Adresse des Servers zeigt. Zur Konfiguration von DNS siehe DNS-Einträge für den Mailserver konfigurieren (der Abschnitt zum A-Eintrag gilt für jede Website).
3. Warten Sie, bis sich die Änderungen verbreitet haben (in der Regel einige Minuten, manchmal bis zu einer Stunde), und stellen Sie das Zertifikat erneut aus.

Fehlende A- oder AAAA-Einträge

SSL-Zertifikat konnte nicht ausgestellt werden: A- oder AAAA-DNS-Einträge für die Domain nicht gefunden.

Die Domain hat einige DNS-Einträge (zum Beispiel MX oder TXT), aber keinen A-Eintrag (IPv4) oder AAAA-Eintrag (IPv6). Ohne diese weiß Let's Encrypt nicht, an welche IP die Anfrage gehen soll.

Was zu tun ist:

1. Fügen Sie einen A-Eintrag mit der IP-Adresse Ihres Servers hinzu, oder einen AAAA-Eintrag, falls Sie IPv6 nutzen.
2. Warten Sie auf die Verbreitung und wiederholen Sie die Ausstellung.

DNS-Verweis auf einen anderen Server

SSL-Zertifikat konnte nicht ausgestellt werden: DNS-Einträge verweisen auf einen anderen Server.

Es gibt einen A- oder AAAA-Eintrag, doch er führt nicht zu dem Server, auf dem BeAdmin läuft. Die Anfrage von Let's Encrypt erreichte eine andere IP, und die Eigentumsprüfung scheiterte.

Was zu tun ist:

1. Vergleichen Sie die im Panel angezeigte IP-Adresse des Servers mit dem A-Eintrag der Domain.
2. Korrigieren Sie den A-Eintrag bei Ihrem Registrar oder DNS-Anbieter. Ist der Eintrag korrekt, aber erst kürzlich angelegt — warten Sie auf die Verbreitung.
3. Falls Sie einen Proxy nutzen (zum Beispiel Cloudflare), deaktivieren Sie das Proxying für die Dauer der Ausstellung — in Cloudflare schalten Sie die Wolke von Orange auf Grau.

Dieselbe Meldung kann auch erscheinen, wenn Ihre Website die Dienstadresse /.well-known/acme-challenge/ abfängt — zum Beispiel über WordPress, einen CMS-Router oder eine allgemeine Location /. Dann kann der A-Eintrag korrekt sein.

Wenn der A-Eintrag auf Ihren Server zeigt:

1. Stellen Sie sicher, dass der virtuelle Host in BeAdmin über das Standardformular angelegt wurde — das Panel fügt die nötige Location für ACME automatisch hinzu.
2. Wenn Sie eigene Regeln in der Nginx-Konfiguration eingetragen haben — prüfen Sie, dass /.well-known/acme-challenge/ davon nicht blockiert wird.
3. Deaktivieren Sie CMS-Sicherheits-Plugins, die unbekannte URLs abfangen.

Endlosschleife bei der Überprüfung

SSL-Zertifikat konnte nicht ausgestellt werden: Endlosschleife bei der Überprüfung der Domaininhaberschaft.

Der Server antwortet Let's Encrypt mit einer Kette von Weiterleitungen, die in einer Schleife endet. Am häufigsten passiert dies, wenn Nginx HTTP auf HTTPS umleitet, aber noch kein HTTPS-Zertifikat vorhanden ist — Let's Encrypt kann die Prüfung über http:// nicht abschließen.

Was zu tun ist:

1. Entfernen Sie vorübergehend die erzwungene Weiterleitung von HTTP auf HTTPS auf der Site- oder CMS-Seite.
2. Warten Sie auf die erfolgreiche Ausstellung des Zertifikats und stellen Sie die Weiterleitung danach wieder her.
3. Wird die Weiterleitung von einem CDN oder externen Proxy ausgeführt — deaktivieren Sie sie während der Ausstellung.

Let's-Encrypt-Limit überschritten

Zu viele Anfragen zur Ausstellung eines SSL-Zertifikats.

Zu viele Anfragen für ein SSL-Zertifikat, nächster Versuch in {diff} ({human}).

Let's Encrypt begrenzt die Zahl der Anfragen pro IP-Adresse, nicht pro Domain — das Limit können daher auch andere Server mit derselben externen Adresse ausschöpfen.

Ist das Limit erreicht oder hat Let's Encrypt eine Störung, wiederholt das Panel die Ausstellung automatisch über eine andere Zertifizierungsstelle. Den Fehler sehen Sie, wenn die Ausstellung auch dort nicht gelungen ist.

Was zu tun ist:

1. Warten Sie, bis das Limit aufgehoben wird. Ist in der Meldung eine konkrete Zeit angegeben — orientieren Sie sich daran; andernfalls warten Sie bis zu 3 Stunden.
2. Stellen Sie vor einem erneuten Versuch sicher, dass DNS, Port 80 und Weiterleitungen korrekt konfiguriert sind — sonst schlägt die Ausstellung erneut fehl.
3. Wird die Website dringend benötigt, schalten Sie sie für die Wartezeit auf HTTP um.

Sonstiger Let's-Encrypt-Fehler

SSL-Zertifikat konnte aufgrund eines Let's-Encrypt-Fehlers nicht ausgestellt werden.

Die allgemeine Meldung nennt die Ursache nicht — sie steht im ursprünglichen Fehlertext der Benachrichtigung unter der Überschrift „ACME-Fehler:“. Daran erkennen Sie, was zu beheben ist. Typische Fälle:

• Port 80 geschlossen oder belegt — im Text steht Timeout during connect oder Connection refused. Let's Encrypt prüft die Domain mit einer Anfrage an Port 80 Ihres Servers: Ist der Port durch eine Firewall blockiert, von einem anderen Prozess belegt oder umgeleitet, schlägt die Prüfung fehl. Öffnen Sie Port 80 in der Firewall des Servers und beim Hosting-Anbieter und geben Sie ihn frei, falls ihn ein anderer Dienst belegt — Nginx muss auf diesem Port lauschen.
• Zeitüberschreitung bei der Überprüfung — im Text steht Timeout after connect. Der Server hat Let's Encrypt nicht rechtzeitig geantwortet — zum Beispiel wegen Überlastung oder Netzwerkproblemen. Warten Sie einige Minuten und wiederholen Sie die Ausstellung; prüfen Sie, ob der Server über HTTP von einem anderen Gerät antwortet — zum Beispiel mit dem Befehl curl http://yourdomain.com/.well-known/acme-challenge/test. Bleibt das Problem bestehen, wenden Sie sich an Ihren Hosting-Anbieter.
• Sperrung durch CAA-Eintrag — im Text steht CAA record for yourdomain.com prevents issuance. Der CAA-Eintrag der Domain erlaubt die Ausstellung über Let's Encrypt nicht. Prüfen Sie die Einträge — zum Beispiel mit dem Befehl dig +short CAA yourdomain.com — und fügen Sie einen Eintrag mit letsencrypt.org hinzu oder entfernen Sie die einschränkenden Einträge, falls Sie sie nicht benötigen. Warten Sie auf die Verbreitung und wiederholen Sie die Ausstellung.

Steht im Text etwas anderes:

1. Gleichen Sie die Meldung mit dem aktuellen Let's-Encrypt-Status ab — manchmal hängt der Fehler an der Nichtverfügbarkeit der Zertifizierungsstelle, nicht an Ihrem Server.
2. Lässt sich die Ursache nicht klären, wenden Sie sich an den Support und legen Sie den Text aus der Benachrichtigung bei.

Weiterführende Links

• Nginx. Arbeiten mit virtuellen Hosts
• Ausstellung eines SSL-Zertifikats
• DNS-Einträge für den Mailserver konfigurieren
• Let's-Encrypt-Dokumentation zu Rate-Limits
• Dokumentation zum ACME-Protokoll (RFC 8555)