Fehlerbehebung · 15.1
Fehlerbehebung: ACME
Bei einem Fehler der Bestellung zeigt TLSPilot den Fehlertyp der CA, zum Beispiel urn:ietf:params:acme:error:rateLimited, gefolgt von den Details. Bei einer fehlgeschlagenen Challenge zeigt es Authorization invalid for <name>. Details: mit dem Challenge-Typ und dem Text der CA, gefolgt von einem Hinweis von TLSPilot. Die Bedeutung der Fehlertypen ist in RFC 8555 festgelegt.
| Symptom | Ursache | Lösung |
|---|---|---|
| Bestellung und Konto | ||
| Invalid ACME contact email '<address>'. Set a real address on the ACME provider (not @example.com). | Die Kontakt-E-Mail des ACME-Providers ist ungültig oder ein Platzhalter. | Geben Sie unter Contact email des Providers eine echte Adresse ein oder lassen Sie das optionale Feld leer, siehe Kapitel ACME-Einstellungen. |
| Directory URL is required. | Ein Feld für die Directory-URL des ACME-Providers ist leer; der Provider ist also unvollständig. | Geben Sie im Dialog Modify ACME provider die Directory-URL des Providers ein und klicken Sie auf Verify directory…, siehe Kapitel ACME-Einstellungen. |
| ZeroSSL requires ACME External Account Binding (EAB). oder Select an ACME EAB credential before issuing from <provider>. | Der Provider verlangt EAB, und es ist kein EAB-Credential ausgewählt. | Erstellen Sie beim Provider EAB-Credentials (ZeroSSL: Bereich Developer, Generate EAB Credentials) und wählen Sie das Credential in den Einstellungen auf dem Tab ACME providers. |
| ACME EAB credential <name> is missing Key ID or HMAC. oder, beim Prüfen des Providers, EAB bind failed. Check Key ID, HMAC, and region. | Das EAB-Credential ist unvollständig oder passt nicht zum Provider. | Speichern Sie die Key ID als Benutzernamen und den HMAC als Secret des Credentials. Wählen Sie dann den Provider auf dem Tab ACME providers, klicken Sie auf Modify und erneut auf Verify directory…. |
| Directory is unreachable. oder Directory GET timed out. Check the URL and network. oder The URL did not return an ACME directory (missing newAccount / newNonce). | Die Directory-URL ist falsch, oder der Management-Host erreicht die CA nicht. | Prüfen Sie Directory-URL und Region des Providers sowie die ausgehende Verbindung, siehe Kapitel Netzwerkverbindungen. |
rateLimited. Force renew… warnt, dass die CA Erneuerungen ausserhalb ihres normalen Fensters begrenzen kann. | Die CA begrenzt, wie viele Zertifikate Sie anfordern dürfen. Bei Let’s Encrypt liegt das Limit für doppelte Zertifikate bei 5 Zertifikaten für dieselbe Namensliste pro 7 Tage. | Warten Sie und vermeiden Sie wiederholtes Force renew. Die Warnung zeigt, wie viele Zertifikate TLSPilot in den letzten 7 Tagen für dieselben Namen ausgestellt hat. Von ARI gesteuerte Erneuerungen sind von diesem Limit ausgenommen. Verwenden Sie für Tests Staging. |
badNonce, Fail to fetch new nonce | Die CA hat die Anti-Replay-Nonce einer Anfrage abgelehnt. TLSPilot wiederholt solche Anfragen bereits automatisch mehrmals. | Bleibt der Fehler bestehen, klicken Sie später erneut auf Force renew…. |
orderNotReady oder ACME order is not ready to finalize (Status=<status>). | Die Autorisierungen wurden nicht rechtzeitig abgeschlossen. TLSPilot wartet, bis die Bestellung bereit ist, bevor es sie abschliesst. | Klicken Sie erneut auf Force renew…. Ist eine Autorisierung fehlgeschlagen, beheben Sie zuerst deren Fehler. |
| ACME order is invalid and cannot be finalized: <error> oder ACME order could not be finalized (CSR/Finalize). | Die CA hat die Bestellung auf invalid gesetzt, zum Beispiel nach einer fehlgeschlagenen Autorisierung, oder den CSR abgelehnt. | Beheben Sie den in den Details angezeigten Fehler und klicken Sie dann auf Force renew…. |
rejectedIdentifier | Die CA stellt für einen der Namen nicht aus. TLSPilot wiederholt die Bestellung zuerst ohne den Verweis auf das ersetzte Zertifikat (ARI); der Fehler bleibt, wenn die CA den Namen selbst ablehnt. | Prüfen Sie die Namen des Zertifikats. Let’s Encrypt stellt für IP-Adressen nur mit dem Profil shortlived aus, siehe Kapitel ACME-Profile. |
| Validierung | ||
unauthorized in den Details | Die CA akzeptiert den Kontrollnachweis für den Namen nicht, zum Beispiel wegen einer falschen Challenge-Antwort. | Prüfen Sie, ob die Challenge dort veröffentlicht ist, wohin der öffentliche Name zeigt, siehe Kapitel Fehlerbehebung: DNS-01 und Fehlerbehebung: HTTP-01 und TLS-ALPN-01. |
dns in den Details | Die CA hatte bei der Validierung ein Problem mit einer DNS-Abfrage. | Prüfen Sie die öffentlichen Nameserver der Domain und ihre Antworten, auch für CAA-Records. |
connection in den Details | Die CA konnte keine Verbindung zum Validierungsziel herstellen. | Öffnen Sie den Port aus dem Internet (HTTP-01: 80, TLS-ALPN-01: 443), siehe Kapitel Ports und Listener. Vermeiden Sie Geoblocking und IP-Allowlists für die CA, da sich die CA von mehreren Standorten aus verbindet, siehe Kapitel Multi-Perspective Validation. |
caa | Ein CAA-Record verbietet der CA die Ausstellung. | Erlauben Sie die CA im CAA-Record (issue, für Wildcards issuewild). Mit accounturi muss der Record das ACME-Konto von TLSPilot nennen; nach Reset Account registriert die nächste Ausstellung ein neues Konto. Mit validationmethods muss der verwendete Challenge-Typ aufgeführt sein. Siehe Kapitel CAA-Records. |
| Authorization invalid for <name>, und die Details der CA enthalten secondary validation | Die Validierung aus dem Rechenzentrum der CA war erfolgreich, aber zu viele ihrer entfernten Netzwerkperspektiven sahen ein anderes Ergebnis (Multi-Perspective Issuance Corroboration). | Stellen Sie sicher, dass jeder Standort im Internet dieselbe Antwort erhält: bei DNS-01 von allen autoritativen Nameservern, bei HTTP-01 und TLS-ALPN-01 ohne Geoblocking oder Allowlists. Siehe Kapitel Multi-Perspective Validation, Fehlerbehebung: DNS-01 und Fehlerbehebung: HTTP-01 und TLS-ALPN-01; klicken Sie dann auf Force renew…. |
caa oder dns in den Details nur bei manchen Versuchen; ein weiteres Force renew… funktioniert | Die CA prüft auch die CAA-Records aus mehreren Netzwerkperspektiven, ohne gemeinsamen DNS-Cache. Ein Nameserver der Domain antwortet anders oder gar nicht, zum Beispiel mit SERVFAIL. | Fragen Sie die CAA-Records bei jedem autoritativen Nameserver ab, zum Beispiel mit dig @<nameserver> CAA <name>, und korrigieren Sie den abweichenden Nameserver. Siehe Kapitel CAA-Records und Multi-Perspective Validation. |
| Authorization timed out for <name>. | Die CA hat die Validierung nicht rechtzeitig abgeschlossen. | Klicken Sie erneut auf Force renew…. Für DNS-01 siehe Kapitel Fehlerbehebung: DNS-01. |
| Wildcard domains on <certificate> require DNS-01. oder This ACME provider does not support wildcard names. | Wildcard-Zertifikate brauchen DNS-01, und nicht jeder ACME-Provider stellt sie aus. | Wählen Sie DNS-01 oder einen Provider, der Wildcard-Zertifikate ausstellt. |
| ARI und ACME-Profile | ||
| Tooltip von Next action: Controlled by the CA (ARI): renewal between <start> and <end> | Kein Fehler. Die CA legt das Erneuerungsfenster fest. | Nichts zu tun. Schlägt ARI fehl, verwendet TLSPilot den Schieberegler Fallback if ARI fails, siehe Kapitel ARI (ACME Renewal Information). |
| Event 1221: Emergency renew for '<certificate>'. The CA moved the renewal window forward. Window ends <time>, next cycle <time>. | Die CA hat das Erneuerungsfenster vorgezogen, und die Notfalloption ist eingeschaltet. | Kein Handlungsbedarf. TLSPilot erneuert sofort. Schlägt das fehl, zeigt das Service-Log Off-cycle renew failed for <certificate>, und das Event 1213 wird geschrieben. |
| Eine geplante Erneuerung hat kein eigenes Event. | Der Zeitpunkt ist beim Zertifikat gespeichert. | Nichts zu tun. Siehe Kapitel Automatisch erneuern. Die Erneuerung verteilt nicht. |
| The CA rejected ACME profile <name> (invalidProfile). | Die CA akzeptiert das gewählte Profil nicht. | Wählen Sie ein anderes Profil oder CA default, siehe Kapitel ACME-Profile. |
| ACME profile '<name>' is not offered by this CA. The CA default is used. | Die CA bietet das gespeicherte Profil nicht an. | Wählen Sie eines der angebotenen Profile, wenn der CA-Standard nicht Ihren Anforderungen entspricht. |