رفع خطاهای Let’s Encrypt باید بر اساس مرحلهٔ شکست انجام شود: یافتن دامنه، اعتبارسنجی، صدور، نصب یا تمدید. خطای مرورگر همیشه خطای صادرکننده نیست. ابتدا متن کامل خطا، نام دامنه و ابزار مدیریت گواهی را مشخص کنید؛ پنل هاست و Certbot مستقل دو مسیر متفاوت‌اند.
رفع خطاهای Let’s Encrypt در DNS
A و AAAA باید به مقصد مورد انتظار اشاره کنند. AAAA اشتباه می‌تواند حتی با A درست مشکل ایجاد کند. DNS را در سرویس authoritative واقعی بررسی کنید؛ ویرایش منطقه‌ای که nameserver فعال دامنه نیست، اثری ندارد. زمان کش به TTL و وضعیت قبلی وابسته است و عدد ثابتی برای انتشار جهانی وجود ندارد.
nslookup -type=A example.com
nslookup -type=AAAA example.com
nslookup -type=CAA example.comاین فرمان‌ها نمونهٔ بررسی‌اند؛ example.com را با دامنهٔ خود جایگزین کنید. خروجی یک resolver به‌تنهایی وضعیت همهٔ نقاط شبکه را ثابت نمی‌کند.
اعتبارسنجی HTTP و DNS
HTTP-01 به مسیر .well-known/acme-challenge روی پورت ۸۰ نیاز دارد. در timeout، مسیر شبکه و دسترسی همین سرویس را بررسی کنید؛ در پاسخ اشتباه، webroot، پراکسی و قوانین برنامه را ببینید. Wildcard با DNS-01 صادر می‌شود و رکورد TXT باید در DNS authoritative قابل مشاهده باشد. فایروال را برای آزمون کامل غیرفعال نکنید.
CAA و محدودیت صدور
CAA می‌تواند صادرکنندهٔ مجاز را محدود کند. سیاست دامنه را درست تنظیم کنید؛ حذف همهٔ رکوردها راه‌حل عمومی نیست. در rate limit، پیام و زمان Retry-After را بخوانید و پیش از تکرار علت شکست را رفع کنید. برای آزمون‌های مکرر از محیط آزمایشی ابزار استفاده کنید؛ گواهی آزمایشی برای مرورگر عمومی معتبر نیست.
بررسی تمدید با Certbot
اگر همین سرور با Certbot مدیریت می‌شود، ابتدا نام گواهی‌ها را ببینید و آزمون تمدید انجام دهید:
sudo certbot certificates
sudo certbot renew --dry-runآزمون، ارتباط اعتبارسنجی برقرار می‌کند. پس از رفع خطا، دستور sudo certbot renew گواهی‌های واجد شرایط را با تنظیمات ذخیره‌شده تمدید می‌کند. برای یک مورد از –cert-name و نام واقعی استفاده کنید. نصب مجدد بی‌دلیل یا حذف پوشهٔ تنظیمات می‌تواند مدیریت گواهی را خراب کند.
تمدید موفق ولی مرورگر هنوز خطا دارد
ممکن است وب‌سرور گواهی تازه را بارگذاری نکرده باشد یا CDN گواهی دیگری ارائه کند. گواهی واقعی هر مسیر، زمان اعتبار و نام میزبان را بررسی کنید. خطای 502 برنامه یا Mixed Content را با انقضای گواهی یکسان نگیرید.
Let’s Encrypt سرویس ایمیل یادآوری انقضا را متوقف کرده است؛ پایش مستقل لازم است. منابع: اعتبارسنجی، تمدید Certbot و وضعیت اعلان انقضا.
مطالعهٔ مرتبط
بازبینی فنی: ۱۳ آبان ۱۴۰۵. تاریخ انتشار اولیه و نشانی قبلی حفظ شده‌اند.
