DNS-API: updateDnsRecords meldet "Erfolgreich", aber TXT-Eintrag wird nicht im CCP erstellt (Let's Encrypt DNS-01)

    Hallo zusammen,

    ich versuche derzeit, für meine interne Infrastruktur ein Let's Encrypt Wildcard-Zertifikat via DNS-01 Challenge über den Nginx Proxy Manager (NPM) zu beziehen. Meine Domain wird bei Netcup gehostet.

    Die API-Schnittstelle habe ich im CCP aktiviert, API-Key und API-Passwort sind im ACME-Client hinterlegt.

    Das Problem: Der Zertifikatsprozess schlägt fehl, weil der benötigte TXT-Eintrag für _acme-challenge.meinedomaene.de angeblich nicht existiert. Wenn ich während des Prozesses im CCP unter den DNS-Einstellungen nachsehe oder die Nameserver direkt abfrage, ist dort tatsächlich kein TXT-Eintrag zu finden.

    Das Kuriose dabei ist: Schaue ich im CCP in die API-Logs, sehe ich dort erfolgreiche Aufrufe:

    • Aktion: updateDnsRecords
    • Status: Erfolgreich
    • Meldung: DNS records successful updated

    Die API meldet also Vollzug, schreibt den Eintrag aber physisch offenbar nicht in die Zone (oder löscht ihn sofort wieder).

    Ich habe auch die ACME Configuration angepasst und die Propagation-Time: Testweise auf bis zu 1800 Sekunden angehoben. Leider ohne Erfolg.

    Hat jemand Erfahrungen mit diesem Verhalten. Im Forum habe ich keine passenden Einträge gefunden.

    Vielen Dank im Voraus für eure Hilfe!

    Einmal editiert, zuletzt von twi (2. Juli 2026 um 20:26)

    (Mit NPM habe ich leider noch keine Erfahrung gesammelt, daher nur allgemeine Ratschläge.)

    Siehst Du die DNS-Records im CCP bei der jeweiligen Domain? Oder fehlen sie dort auch? Was in der Zone öffentlich abrufbar ist, ist vorerst zur Eingrenzung nicht relevant.

    Kannst Du anhand der API-Logs im CCP nachvollziehen, dass die Einträge von den Timestamps her vom Client aus nur angelegt, aber nicht selbständig (zu früh) gelöscht werden?

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)

    Ich sehe sobald ich den Vorgang starte in den API Logs, dass ein updateDnsRecords stattgefunden hat. Da der API-Key in den Logs angezeigt wird und ich diesen nur genau dort verwende, bin ich sicher dass der Eintrag von diesem Client stammt. Wie erwähnt sehe ich keinen zusätzlichen DNS-Eintrag nach diesem Logeintrag. Einen Logeintrag für eine Löschung eines DNS-Records habe ich noch nie bekommen.

    leg den _acme-challenge-eintrag mal manuell im CCP an (schreib test/whatever rein) und probier es dann (nachdem er gültig ist) nochmal mit NPM.

    »Hauptsache BogoMIPS!«
    Volksfront DLT #64Ksplit
    Sag' NEIN zu Wordpress

    3 Mal editiert, zuletzt von Olivetti (3. Juli 2026 um 21:14)

    Ich hatte mit NPM da auch so diverse Probleme. Am Ende hatte geholfen den timeout in NPM relativ hoch zu setzen. Dann ging plötzlich alles und ohne Fehlermeldungen, die keinen wirklichen Sinn ergaben zur eigentlichen Ursache. Aber naja, ein Versuch ist es auf jeden Fall wert. Der standardmäßig eingestellte Wert in NPM, um auf den Abschluss von dem ganzen Prozess zu warten ist definitiv zu kurz.

    Mit Traefik ging das alles irgendwie viel schneller mit dem ausstellen der Zertifikate. Aber ich glaube auch dort hatte ich das Zeitlimit entsprechend höher gesetzt. Mag sein, dass das an der netcup API liegt, aber das konnte ich zu dem Zeitpunkt nicht testen.

    Welche TTL hat deine Domain, Standard von Netcup ist 86400, also 24 Stunden.

    Ich hab meine TTL auf 3600 und da klappt jedes Letsencrypt DNS-01 Cert mit 600 sec. Verweilzeit, nach Platzierung der _acme-challenge durch API.

    twi Benutzt Deine Domain bereits das neue CloudDNS? Sprich: Wie heißt die Registerkarte im CCP, wenn Du die Domain aufklappst? DNS oder CloudDNS?

    Falls es Letzteres ist, haben wir den Übeltäter gefunden: Denn damit scheint die API offenbar (noch) nicht zu funktionieren, da kannst Du lange auf die Veröffentlichung der Records warten…

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)

    3 Mal editiert, zuletzt von KB19 (6. Juli 2026 um 20:11)

    Zitat von KB19

    twi Benutzt Deine Domain bereits das neue CloudDNS? Sprich: Wie heißt die Registerkarte im CCP, wenn Du die Domain aufklappst? DNS oder CloudDNS? Falls es Letzteres ist, haben wir den Übeltäter gefunden. Denn damit scheint die API offenbar (noch) nicht zu funktionieren.

    Diese Domäne wurde tatsächlich bereits auf CloudDNS gezügelt. Das dies allenfalls die Ursache sein könnte, ist mir auch durch den Kopf gegangen, aber auf der netcup Status Seite habe ich keinen Eintrag gefunden. Ist das irgendwo dokumentiert?

    Vielen Dank KB19!

    Es ist tatsächlich so, dass auf CloudDNS migrierte Domänen das API nicht funktioniert. Ich habe dies mit einer nicht migrierten Domäne versucht und alles funktionierte.

    Habe mal ein Supportticket erstellt.

    Leider scheint der netcup Support nicht wirklich motiviert zu sein, dieses Problem anzugehen. Jedenfalls erhielt ich keine verbindliche Antwort bis wann das Problem gelöst sein wird. Auch auf die Frage, wieso das eine solche Einschränkung des Services auf der Statusseite nicht erwähnt wir, habe ich auch nach der 3. Rückfrage keine Antwort erhalten...

    Das ist eins meiner größten Proboeme gewesen. Bin mit dem DNS auf Cloudflare gewechselt. Musste irgendwann 10min warten für ein Zertifikat.

    Größter Vorteil, Let's Encrypt Zertifikate werden innerhalb von 30 Sekunden ausgestellt.