Warum stellt AutoSSL kein Zertifikat aus? 6 häufige Ursachen

In unseren Tarifen stellt cPanels AutoSSL die SSL-Zertifikate über Let's Encrypt automatisch aus und verlängert sie. Meist müssen Sie nichts tun. Wurde kein Zertifikat ausgestellt, liegt die Ursache fast immer in einem der folgenden Punkte.

Wie AutoSSL eine Domain prüft

Vor der Ausstellung muss nachgewiesen werden, dass die Domain wirklich auf diesen Server zeigt. Die Zertifizierungsstelle versucht dazu, eine temporäre Prüfdatei unter /.well-known/ auf Ihrer Website zu lesen, oder prüft per DNS. Schlägt das fehl, wird kein Zertifikat ausgestellt.

Den Status sehen Sie in cPanel unter Security › SSL/TLS Status. Ein Klick auf das Warnsymbol neben einer Domain zeigt den Grund.

1. Die Domain zeigt noch nicht auf diesen Server

Das ist die häufigste Ursache. Wurden die Nameserver gerade geändert, ist die Propagation vielleicht noch nicht abgeschlossen. Wie lange das dauern kann, erklärt unser Artikel zur DNS-Propagation. Danach klicken Sie auf der Seite SSL/TLS Status auf Run AutoSSL.

2. Fehlende DNS-Einträge für www oder Subdomains

Das Zertifikat wird für beispiel.de und www.beispiel.de beantragt. Fehlt für www ein A- oder CNAME-Eintrag, schlägt nur dieser Name fehl. Für automatische Namen wie mail oder cpanel gilt dasselbe; nutzen Sie sie nicht, betreffen diese Warnungen Ihre Website nicht.

3. Cloudflare-Proxy oder Weiterleitungen

Nutzen Sie Ihre Domain über Cloudflare mit der orangefarbenen Wolke (Proxy), läuft die Prüfanfrage über Cloudflare. Eine Einstellung wie „Always Use HTTPS“ oder eine strenge Sicherheitsregel kann den Zugriff auf die Prüfdatei blockieren. Den Proxy vorübergehend abzuschalten (graue Wolke) oder Cloudflares eigenes Edge-Zertifikat mit SSL-Modus „Full“ zu nutzen, kann helfen.

4. .htaccess-Regeln blockieren die Prüfdatei

Eine Regel, die alle Anfragen umleitet oder versteckte Ordner sperrt, kann auch den Pfad /.well-known/ treffen. Fügen Sie am Anfang Ihrer Weiterleitungsregeln eine Ausnahme für diesen Ordner ein. Beispiele finden Sie in der Anleitung zu .htaccess-Weiterleitungen.

5. Ein AAAA-Eintrag (IPv6) zeigt woandershin

Ist noch ein alter AAAA-Eintrag eines früheren Servers vorhanden, kann die Prüfung über IPv6 beim falschen Server landen. Löschen Sie AAAA-Einträge des alten Servers.

6. Ein CAA-Eintrag erlaubt Let's Encrypt nicht

Gibt es in Ihrem DNS einen CAA-Eintrag, dürfen nur die dort genannten Zertifizierungsstellen Zertifikate ausstellen. Stellen Sie sicher, dass Let's Encrypt aufgeführt ist, oder entfernen Sie den CAA-Eintrag, wenn Sie ihn nicht brauchen.

Nach der Ausstellung

Meldet der Browser trotz Zertifikat „nicht sicher“, laden meist noch Dateien auf der Seite über HTTP. Die Lösung erklärt unsere Anleitung zu Mixed Content. Wird das Zertifikat trotz aller Schritte nicht ausgestellt, eröffnen Sie ein Support-Ticket mit dem Fehlertext von der Seite SSL/TLS Status.