Na našem gostovanju cPanel brezplačna potrdila Let’s Encrypt samodejno pridobiva in podaljšuje funkcija AutoSSL v cPanelu, za vse domene in poddomene, ki spadajo h gostovanju. Za to ti ni treba narediti ničesar, glej: Vklop brezplačnega potrdila Let’s Encrypt na spletnem gostovanju.

Pred izdajo potrdila pa izdajatelj preveri, ali domena res kaže na naš strežnik. Za to na domeni zahteva začasno datoteko s poti /.well-known/acme-challenge/. Če to ne uspe, domena ostane brez potrdila, brskalnik pa javi napako „Vaša povezava ni zasebna”.

Kje vidim vzrok napake?

1. Prijavi se v cPanel.

2. V skupini Varnost klikni ikono SSL/TLS Certificates, nato odpri zavihek Stanje. (AutoSSL nima ločene točke menija.)

   

3. Na seznamu je ob vsaki domeni vidno, ali ima veljavno potrdilo. Pri domenah z rumeno ali rdečo oznako sporočilo o napaki pove, kaj je preprečilo izdajo.
4. Po popravku lahko postopek z gumbom Run AutoSSL takoj znova zaženeš, ni ti treba čakati na naslednji samodejni zagon.

Najpogostejši vzroki

Domena ne kaže na naš strežnik

To je najpogostejši vzrok. Če zapis A domene (ali njen imenski strežnik) še kaže na prejšnjega ponudnika, izdajatelj potrdil tam išče preverjalno datoteko in je ne najde. Po selitvi domene ali menjavi imenskih strežnikov počakaj, da sprememba začne veljati (glej: Kaj je širjenje DNS?), nato znova zaženi AutoSSL.

Preveri tudi, da domena nima zapisa IPv6 (AAAA), ki kaže drugam. Izdajatelj potrdil lahko uporabi tudi naslov IPv6, in če na njem ne odgovori naš strežnik, preverjanje spodleti.

Manjka zapis www

AutoSSL zahteva potrdilo tudi za naslov www.pelda.hu. Če v DNS ni zapisa www ali kaže drugam, različica www ostane zunaj potrdila. Za poddomeno www nastavi zapis CNAME na glavno domeno ali zapis A na naslov IP gostovanja.

.htaccess blokira ali preusmeri preverjanje

Če pravilo v datoteki .htaccess vse zahteve preusmeri (na primer na drugo domeno, na stran za vzdrževanje ali za zaščito z geslom), tudi preverjalna datoteka ni dosegljiva. Pred pravila preusmeritve dodaj izjemo za imenik .well-known:

RewriteEngine On
RewriteRule ^\.well-known/ - [L]

Podobno težavo lahko povzroči tudi varnostni vtičnik ali filter po državah, ki prepove strežnike izdajatelja potrdil.

Pred domeno je Cloudflare ali drug proxy

Proxy Cloudflare preverjanja običajno ne ovira, če pa je v Cloudflare nastavljen način „I’m Under Attack”, strogo pravilo požarnega zidu, filter po državah ali preusmeritev, ki zadeva pot /.well-known/, zahteva izdajatelja potrdil ne pride do gostovanja. Iskanje napake in trajni popravek opisuje članek AutoSSL za Cloudflare; o načinih SSL v Cloudflare govori članek SSL za Cloudflare: način Flexible, Full ali Full (strict)?

Zapis CAA prepoveduje izdajo

Zapis CAA določa, kateri izdajatelji potrdil smejo izdati potrdilo za domeno. Če tak zapis obstaja, Let’s Encrypt pa v njem ni naveden, je izdaja zavrnjena. Glej: Kaj je zapis CAA?

Domena je izključena iz AutoSSL

Na zavihku Stanje je mogoče posamezne domene izključiti iz AutoSSL. Če je v vrstici domene vidna povezava Include during AutoSSL (namesto Exclude from AutoSSL), je domena izključena: klikni povezavo Include during AutoSSL (pri več domenah jih označi in uporabi gumb Include Domains during AutoSSL), nato gumb Run AutoSSL.

Dosegel si omejitev izdaje

Let’s Encrypt omejuje, koliko potrdil je mogoče v enem tednu izdati za domeno in koliko neuspešnih preverjanj je dovoljenih na uro. Če je bilo preverjanje večkrat zapored neuspešno, počakaj nekaj ur, odpravi napako in šele nato znova zaženi AutoSSL.

Ne uporabljaš naših imenskih strežnikov?

Če DNS domene upravljaš drugje (na primer pri Cloudflare ali registrarju domene), AutoSSL deluje, dokler zapis A (in zapis www) kaže na naslov IP gostovanja. Naslov IP gostovanja najdeš na glavni strani cPanela, na plošči Splošne informacije (General Information).

Če domena tudi po zgornjem ne dobi potrdila, piši naši podpori in pošlji sporočilo o napaki, vidno na zavihku Stanje strani SSL/TLS Certificates.