Con ACME il client rinnova il certificato con largo anticipo, in genere quando ne resta circa un terzo della validità. Se il rinnovo fallisce, il client riprova nei giorni successivi, e il certificato in uso resta valido: c'è tempo per intervenire, se qualcuno se ne accorge.
Come accorgersene
- Controlla la scadenza dall'esterno. Il controllo più affidabile non dipende dal client: un servizio di monitoraggio, o lo strumento che già usi per controllare i siti, che legge il certificato servito e avvisa quando la scadenza si avvicina oltre la soglia di rinnovo. Così ti accorgi anche di un certificato rinnovato ma non installato.
- Leggi gli esiti del client. Tutti i client scrivono un log; molti possono inviare un'email o eseguire uno script in caso di errore. Attivalo.
- Controlla il primo rinnovo dopo ogni modifica alla configurazione del server, del DNS o del firewall: è lì che di solito si rompe qualcosa.
Le cause più comuni
| Errore | Causa tipica |
|---|---|
| Verifica del dominio non valida | Il client non è configurato per la prova automatica, o la prova non riesce: vedi la verifica dei domini |
| Verifica dell'organizzazione scaduta (OV, EV) | Va rinnovata: ti avvisiamo per tempo, ma richiede la tua risposta |
| Prova HTTP-01 fallita | Porta 80 chiusa, un DNS che punta altrove, un bilanciatore o una CDN davanti al server |
| Prova DNS-01 fallita | Chiave API scaduta o revocata, provider DNS cambiato, propagazione lenta |
| Account non autorizzato | Credenziali EAB sostituite, o servizio scaduto |
| Certificato rinnovato ma vecchio sul sito | Il server web non è stato ricaricato, o il certificato serve anche su altri server |
| Dominio non compreso nel servizio | Un nome aggiunto alla configurazione del client ma non al servizio |
Se l'errore non è chiaro, scrivici con il messaggio del client: ti aiutiamo a capirlo.