SSL-Zertifikatsausstellung & Cloudflare
Bei Cloudflare müssen beide Verbindungen stimmen: die Verbindung vom Besucher zu Cloudflare und die von Cloudflare zum lima-city-Webspace. Ein gültiges Cloudflare-Zertifikat allein belegt noch kein gültiges Zertifikat am Ursprungsserver.
Für die Domainvalidierung nutzt die automatische Zertifikatsausstellung DNS- oder HTTP-Challenges. Bei externen Nameservern wie Cloudflare kann lima-city die DNS-Challenge nicht ohne entsprechende Kontrolle der DNS-Zone durchführen. Für die automatische Ausstellung bleibt dann die HTTP-Validierung der einzelnen Hostnamen. Wildcard-Zertifikate wie *.example.com benötigen bei Let’s Encrypt dagegen eine DNS-01-Challenge. Daraus folgt keine allgemeine Grenze von 50 Hostnamen pro Domain.
„Always use HTTPS“ muss nicht pauschal deaktiviert werden. Let’s Encrypt folgt bei HTTP-01 zulässigen HTTP-/HTTPS-Weiterleitungen; auch der lima-city-Vorabtest erlaubt die direkte Weiterleitung derselben Adresse von HTTP auf HTTPS. Cloudflare-Regeln, Zugriffsschutz, Challenges oder weitere Umleitungen dürfen den Abruf unter /.well-known/acme-challenge/ allerdings nicht verhindern oder durch fremden Inhalt ersetzen.
Bei Error 526 kann Cloudflare das Zertifikat am Ursprungsserver im strengen Prüfmodus nicht akzeptieren. Prüfe:
- Ist der betroffene Hostname in der lima-city-Verwaltung als Website eingerichtet und verweist das Cloudflare-DNS-Ziel auf den richtigen Webspace?
- Können die HTTP-Validierungsanfragen für genau diesen Hostnamen den Webspace erreichen? Prüfe insbesondere Weiterleitungs-, WAF- und Zugriffsregeln.
- Ist das Ursprungszertifikat gültig und deckt es den Hostnamen ab? Prüfe auch CAA-Einschränkungen.
- Wenn die Ausstellung oder Erneuerung weiterhin scheitert, sende dem Support den Hostnamen, die Fehlermeldung und den Zeitpunkt.
Die Validierung abzuschalten oder auf unverschlüsselte Kommunikation zum Ursprung auszuweichen behebt die Ursache eines ungültigen Zertifikats nicht. Hintergrund: Let’s Encrypt: Challenge-Typen.
Weitere Diagnosehinweise: Cloudflare: Error 526.