トラブルシューティング

高リスクドメイン

Cloudflare の CA パートナーは、ドメインを「高リスク」とフラグすることがあります。対象になるのは、通常、Google の Safe Browsing がフィッシングやマルウェアとしてフラグしたドメインだけです。

CA がドメインにフラグを付けた場合、検証を完了するにはサポートへ連絡する必要があります。API 呼び出しは失敗を返し、チケットを作成するリンクも含まれます。

Certificate Authority Authorization（CAA）レコード

CAA は RFC 6844 ↗ で定義された DNS リソースレコードの種類で、ドメイン所有者がどの CA に証明書発行を許可するかを示せます。

SaaS プロバイダー向け

お客様のドメインに CAA レコードがある場合、次を追加するか、CAA をすべて削除する必要があります。

example.com. IN CAA 0 issue "pki.goog"
example.com. IN CAA 0 issue "letsencrypt.org"
example.com. IN CAA 0 issue "ssl.com"

お客様がサービスで使いたいサブドメインに CAA レコードを置くこともできますが、通常はドメインの apex に設定されます。サブドメインにも CAA レコードがある場合は、それらも削除する必要があります。

SaaS のお客様向け

ホスト名が、CAA レコードの定義された CNAME ターゲットを指しているために、検証が進まないことがあります。

この場合は、ターゲットに CAA レコードがある認証局を選ぶか、ターゲットを所有するサービスプロバイダーと設定を確認してください。

タイムアウト

証明書の発行がタイムアウトした場合、エラーメッセージに発生箇所が示されます。

Timed Out (Initializing)
Timed Out (Validation)
Timed Out (Issuance)
Timed Out (Deployment)
Timed Out (Deletion)

このエラーを解消するには、API から PATCH リクエストを送るか、ダッシュボードで対象のカスタムホスト名の Refresh を選びます。API を使う場合は、--data フィールドに、元のリクエストと同じ method と type を持つ ssl オブジェクトを含めてください。

これらがエラーを返す場合は、カスタムホスト名を削除して作り直します。

競合する `_acme-challenge` TXT レコード

正しい CNAME または TXT レコードがあるのに証明書検証が進まない場合、競合する _acme-challenge TXT レコードが認証局の検証完了を妨げていることがあります。

切り分け方

_acme-challenge ホスト名に委任用の CNAME があるかを確認します。

dig _acme-challenge.example.com CNAME +short

何も返らない場合、委任用 CNAME がありません。TXT クエリを実行し、ハードコードされたレコードがないかも確認します。
```
dig _acme-challenge.example.com TXT +short
```
生のトークン文字列が返る場合、ハードコードされた _acme-challenge TXT レコードが証明書発行を妨げています。委任用 CNAME を追加する前に、そのレコードを削除してください。
CNAME ターゲットが返っても証明書検証が進まない場合、競合はお客様の直接ゾーン内にある、ハードコードされた _acme-challenge TXT レコードである可能性が高いです。リゾルバーはソース名のレコードを見せず CNAME チェーンをたどるため、確認するにはお客様のゾーンを直接見る必要があります。そのゾーンの Cloudflare ダッシュボードで DNS > Records を開き、_acme-challenge の TXT エントリがないか確認します。

よくある原因と対処

以前の Cloudflare 証明書注文のレコード — Cloudflare は証明書発行時に _acme-challenge TXT レコードを追加します。以前の注文や中止した注文のレコードが残り、Cloudflare ダッシュボードに表示されないことがあります。削除は Cloudflare サポートへ問い合わせてください。

直接ゾーン内のレコード — お客様のドメインが直接ゾーンにもある場合（例: お客様自身の Cloudflare アカウントで example.com をプロキシしている）、そのゾーンに Universal SSL や Advanced 証明書の注文由来の _acme-challenge TXT レコードがあることがあります。認証局が _acme-challenge.example.com を問い合わせると、委任された DCV の CNAME をたどらず、直接ゾーンのレコードを解決します。

対処するには、お客様に Cloudflare ダッシュボードの DNS 設定から _acme-challenge TXT レコードを削除してもらい、即時の検証チェックを実行します。

即時の検証チェック

任意の証明書に対して即時の検証チェックを依頼するには、PATCH リクエストを送ります。PATCH のデータには、元のリクエストと同じ ssl オブジェクトを含めます。