Ein Zertifikat, das sich nicht mehr erneuert

Ein Let's-Encrypt-Zertifikat erneuert sich alle sechzig Tage, ohne dass es jemand merkt - bis eine Änderung von vor Monaten die Validierung blockiert. Der Fehlschlag ist lautlos; das erste Zeichen ist meist eine Browserwarnung.

Das wirkliche Ablaufdatum sehen

echo | openssl s_client -servername yourdomain.com -connect yourdomain.com:443 2>/dev/null | openssl x509 -noout -dates

Die drei Blockierer

• Eine Weiterleitung, die die Validierungsanfrage abfängt. Die Prüfung ist eine schlichte HTTP-Anfrage an /.well-known/acme-challenge/. Eine pauschale http-nach-https-Regel, die auch diesen Pfad umleitet, zerlegt sie.
• Der DNS-Eintrag ist umgezogen. Die Domain zeigt jetzt woandershin, die Prüfung landet also auf einem Server, der von der Challenge nie gehört hat.
• Eine Firewall oder eine WAF sperrt Port 80. Port 80 zu schließen, weil "jetzt ist alles https", schließt genau die Tür, durch die die Erneuerung kommt.

Die Challenge durchlassen

location ^~ /.well-known/acme-challenge/ {
    root /var/www/html;
    try_files $uri =404;
}

Dieser Block steht vor der Weiterleitungsregel, damit die Challenge beantwortet wird und alles andere weiterhin nach https geht.

Eine Erneuerung erzwingen und zusehen

certbot renew --dry-run

Der Trockenlauf führt den ganzen Austausch durch, ohne ein Ratenlimit zu verbrauchen. Klappt er, klappt auch der echte.