Let's Encrypt Fehler bei manueller Erneuerung

    Hallo zusammen,

    ich habe heute im CCP per Zufall gesehen das mein Lets Encrypt Zertifikat nicht automatisch verlängert wurde obwohl dies gestern (30.3) hätte passieren sollen. Es handel sich dabei um kein Wildcard Zertifikat.

    Ich dachte mir daraufhin, machst es halt manuell. Domain angeklickt und auf neues Zertifikat installieren gegangen. Nach etwa 20 Sekunden bekomme ich eine Fehlermeldung:


    Kann mir jemand sagen wieso das nicht klappt. Müss man vorher das allte komplett löschen und neu beantragen?

    Eben, im Webhosting hat man logischerweise keinen Zugriff auf die Systemfirewall.

    Ich würde es an einem anderen Tag nochmals probieren und wenn der Fehler bleibt ein Ticket eröffnen mit der exakten Fehlermeldung.

    Übrigens: wenn du die Domain, nachvollziehbarerweise, hier im Forum schwärzst, dann auch die LE ID aus dem Antwortstring. Anhand dessen erhält man nämlich auch den Domainnamen. :)

    Zitat von sweiss.ws

    Welche Firewall meint er da?

    Diese meinte er:

    Screenshot 2026-04-02 at 10.14.53.png

    aber da steht ja auch "likely" also nicht in stein gemeisselt.

    Du könntest mal den AAAA record aus dem Domain DNS entfernen und kucken ob es dann klappt (via ipv4) - dann wäre das ein zertifizierter ipv6 timeout.

    The universe tends toward maximum irony. Don't push it.

    2 Mal editiert, zuletzt von webdesignheld (2. April 2026 um 10:25)

    Zitat von sweiss.ws

    IPv6 nutze ich jedoch nicht

    es geht ja auch nicht um dich sondern um das programm dass zertifizieren soll und wenn dieses standardmaessig ipv6 probiert (wenn vorhanden) und da hängt (timeout), bleibt es dann an dir hängen das ipv6 mal auszuschalten um zu sehen ob das der Fehler war - DNS tab der domain > AAAA eintraege löschen (vielleicht irgendwo notieren) > speichern > bisschen warten > zertifikat manuell erneuern.

    The universe tends toward maximum irony. Don't push it.

    Unabhängig davon, ob man es selbst nutzt oder nicht, sollte ein Webserver natürlich via IPv6 erreichbar sein und darüber auch Anfragen beantworten können. Die AAAA-Records zu entfernen ist daher maximal ein Workaround, aber nicht die Lösung.

    Zitat von webdesignheld

    Du bist ja lustig

    danke! 👍 dabei wollte ich nicht mal witzig sein, sondern nur drauf aufmerksam machen, dass IPv6 langfristig schon nutzbar sein sollte... weil das Entfernen der IPv6 Records, ohne dich zu meinen, das u.U. als Lösung betrachtet werden könnte. Weil:

    Zitat von sweiss.ws

    IPv6 nutze ich jedoch nicht aktiv von meiner Seite.

    andere hingegen schon.

    In diesem Sinne..

    lustige Grüße
    René

    Falls es jemanden interessiert, hier die Kommunikationsbeziehungen FQDN fuer Let's Encrypt (Firewall ausgehend).

    Wer ueber DNS TXT Eintraege seine Zertifikate verifizert, benoetigt keine eingehenden Firewall Regeln fuer Let's Encrypt, lediglich der FQDN eures Anbieters z. B. Cloudflare (api.cloudflare.com) muesst ihr noch in euer ausgehendes Firewall Regelwerk einpflegen. Der Rest erledigt dann euer Certbot.

    • acme-staging-v02.api.letsencrypt.org
    • acme-staging.api.letsencrypt.org
    • acme-v01.api.letsencrypt.org
    • acme-v02.api.letsencrypt.org
    • c.lencr.org
    • e5.o.lencr.org
    • e6.o.lencr.org
    • e7.o.lencr.org
    • e8.o.lencr.org
    • e9.o.lencr.org
    • i.lencr.org
    • letsencrypt.org
    • outbound1.letsencrypt.org
    • outbound2.letsencrypt.org
    • r10.o.lencr.org
    • r11.o.lencr.org
    • r12.o.lencr.org
    • r13.o.lencr.org
    • r14.o.lencr.org
    • ye1.o.lencr.org
    • ye2.o.lencr.org
    • ye3.o.lencr.org
    • yr1.o.lencr.org
    • yr2.o.lencr.org
    • yr3.o.lencr.org

    Und mit diesem Script koennt ihr euch dann noch (automatisiert) alle moeglichen Zertifikatsformate generieren:

    There are only 10 types of people in the world: those who understand binary, and those who don't.