Jak możemy pomóc?

Certyfikat Let’s Encrypt nie odnawia się - jak znaleźć przyczynę?

Certyfikat Let’s Encrypt zwykle odnawia się automatycznie. Jeżeli zbliża się termin jego wygaśnięcia albo przeglądarka pokazuje ostrzeżenie, sprawdź certyfikat, ustawienia odnawiania i możliwość potwierdzenia domeny. Poniższe kroki pomogą znaleźć przyczynę bez przypadkowego zmieniania konfiguracji strony.

1. Otwórz ustawienia certyfikatów

Zaloguj się do DirectAdmin i wybierz właściwą domenę. W sekcji Domeny kliknij Certyfikaty SSL/TLS (1). Na tym samym pulpicie znajdziesz też Zarządzanie DNS (4), potrzebne w dalszej części instrukcji.

2. Sprawdź ważność i nazwy w certyfikacie

W zakładce Zarządzaj certyfikatami porównaj Nazwy DNS, Ważność, termin wygaśnięcia i Tryb odnawiania (2). Certyfikat musi obejmować adres, który otwierasz, np. domenę z www lub bez niego. Ważny certyfikat dla innej nazwy nie usuwa ostrzeżenia przeglądarki.

Przykład pokazuje ważny certyfikat, ale jednocześnie komunikat System ACME jest wyłączony. Sam napis „Automatyczny” w wierszu certyfikatu nie wystarcza więc do potwierdzenia, że kolejne odnowienie zostanie wykonane. Nie usuwaj działającego certyfikatu przed ustaleniem przyczyny.

3. Sprawdź ustawienia ACME i historię prób

Otwórz Ustawienia ACME (3). Sprawdź, czy automatyczne wystawianie i odnawianie jest włączone oraz czy dostawcą jest Let’s Encrypt. Jeżeli ACME jest wyłączone, a dla tej domeny chcesz korzystać z automatycznych certyfikatów, włącz je i zapisz ustawienia. Nie zmieniaj przy okazji typu klucza ani innych opcji bez potrzeby.

Następnie przejdź do Historii odnawiania (3). Jeżeli są dostępne wpisy, odczytaj datę ostatniej próby i komunikat. Zapisz domenę, dla której wystąpił błąd: jedna niepoprawna nazwa może blokować wystawienie całego certyfikatu. Pusta historia oznacza brak zapisanych prób w tym widoku, a nie potwierdzenie udanego odnowienia.

4. Sprawdź DNS domeny i wszystkich nazw certyfikatu

Ustal, gdzie utrzymywana jest aktywna strefa DNS. Jeżeli domena korzysta z serwerów Hostido, wróć na pulpit i otwórz Domeny → Zarządzanie DNS (4). Jeżeli korzysta np. z Cloudflare, sprawdź rekordy u tego dostawcy — zmiana nieaktywnej strefy w DirectAdmin nie wpłynie na publiczny DNS.

• A i AAAA: nazwy objęte certyfikatem muszą prowadzić do serwera lub konfiguracji, która obsłuży weryfikację. Sprawdź osobno domenę, www i pozostałe nazwy. Jeżeli istnieje rekord AAAA, sprawdź także IPv6 — poprawny rekord A nie naprawia błędnej odpowiedzi serwera po IPv6.
• CAA: jeżeli ograniczasz wystawców tym rekordem, upewnij się, że dopuszcza Let’s Encrypt. Wartością identyfikującą wystawcę jest letsencrypt.org. Nie dodawaj CAA wyłącznie po to, aby odnowić certyfikat, jeśli wcześniej go nie używałeś.
• Zmiana DNS: po poprawieniu rekordu odczekaj czas potrzebny na odświeżenie pamięci DNS. Sprawdź wynik publicznie, zamiast od razu ponawiać wiele prób.

5. Sprawdź sposób potwierdzania domeny

Przy weryfikacji HTTP-01 Let’s Encrypt pobiera plik z adresu zaczynającego się od http://example.com/.well-known/acme-challenge/. Port 80 i ta ścieżka muszą być dostępne z internetu. Ochrona hasłem, reguła blokująca żądania, niewłaściwe przekierowanie albo kierowanie domeny na inny serwer mogą uniemożliwić odnowienie. Samo przekierowanie HTTP na HTTPS nie musi być problemem — liczy się końcowy wynik żądania.

Certyfikat wildcard, np. dla *.example.com, wymaga weryfikacji DNS-01. Sprawdź komunikat ACME i sposób obsługi aktywnej strefy DNS. Jeśli DNS utrzymujesz poza Hostido, automatyczne odnawianie wildcard może wymagać właściwej integracji z tym dostawcą. Nie zakładaj, że zaznaczenie opcji wildcard samo zapewni dostęp do zewnętrznej strefy.

6. Ponów próbę po poprawieniu przyczyny

Po usunięciu wskazanego problemu ponów wystawienie lub poczekaj na kolejną próbę automatyczną. Jeśli komunikat dotyczy limitu prób, zastosuj termin podany w błędzie. Wielokrotne klikanie wystawiania bez zmiany konfiguracji nie przyspieszy odnowienia.

Po udanej próbie sprawdź nowy termin ważności, listę nazw i stronę w przeglądarce. Jeśli używasz Cloudflare, przeglądarka pokazuje certyfikat na brzegu tej usługi; certyfikat na serwerze Hostido sprawdź również w DirectAdmin.

Jeżeli potrzebujesz pomocy Hostido, podaj domenę, czas próby i pełny komunikat błędu oraz informację o ostatnich zmianach DNS. Nie przesyłaj klucza prywatnego ani tokenów dostępu. Instrukcję pierwszej instalacji znajdziesz w poradniku Jak zainstalować certyfikat Let’s Encrypt?.