Let's Encrypt erneuert nicht

Let's Encrypt stellt Zertifikate für kurze Zeit aus und erneuert sie, solange der Client laufen kann. Wenn die Erneuerung still fehlschlägt, bleibt das aktuelle Zertifikat bis notAfter gültig und fällt dann aus.

Häufige Ursachen: Port 80 ist zu, der Pfad der HTTP-Prüfung wird umgeleitet oder gesperrt, der DNS-Name zeigt auf einen anderen Host als den, auf dem der Client läuft, ein CAA-Eintrag erlaubt diese Stelle nicht, oder der Client ist nicht gestartet.

Viele Fehlversuche hintereinander stossen an ein Limit von Let's Encrypt. Die Fehlermeldung des Clients nennt das Limit und den Zeitpunkt, ab dem ein neuer Versuch möglich ist.

Ein Probelauf des Clients, ohne das Zertifikat auszutauschen, zeigt den Fehler, bevor die Seite ausfällt. Die genaue Anweisung steht in der Doku des Clients, den der Server benutzt.