Диагностика Let's Encrypt — почему падает certbot

При том, что проверка HTTP-01 всегда начинается с порта 80. Удостоверяющий центр подключается туда первым, независимо от того, что сайт делает дальше, и файрвол, отбрасывающий порт 80, делает проверку невозможной. Перенаправление с порта 80 на HTTPS безвредно — УЦ идёт по нему и сертификат при этом не проверяет. А вот закрытый порт — нет. Если открыть его действительно нельзя, остаётся DNS-01.

Да. До выпуска проверочного файла нет, поэтому 404 — именно то, что должен вернуть правильно настроенный сервер. Важно лишь, что запрос вообще дошёл до вашего веб-сервера. Во время проверки certbot положит по этому пути настоящий токен, и УЦ его найдёт. А вот отказ в соединении или 403 означают, что запрос туда не дошёл, — и это и есть проблема.

Это запись DNS, называющая, каким удостоверяющим центрам разрешено выпускать сертификаты для вашего домена. Центры обязаны её проверять и отказывать, если их там нет. Появляются такие записи из мастера настройки прежнего провайдера, из панели хостинга или наследуются с родительского домена — запись на example.com действует и на www.example.com, поэтому «я её не создавал» так часто оказывается неверным.

Косвенно — и в этом смысл. Let's Encrypt ограничивает число сертификатов на домен в неделю, а расходуют этот лимит как раз повторяющиеся неудачные попытки. Проверка предпосылок до очередного запуска certbot и не даёт сжечь квоту на попытках, которые изначально не могли пройти.

Нет и не будет. Инструмент не выполняет операций ACME, не хранит ключей и не обращается к удостоверяющим центрам — он только наблюдает ваш домен снаружи. Выпуск должен происходить на вашем сервере, где лежит приватный ключ и где продление может быть автоматическим; веб-страница этого дать не может.