← Cloudflare for Platforms / cloudflare-for-platforms / cloudflare-for-saas / security / certificate-management / issue-and-validate / validate-certificates

Řešení potíží

Partneři Cloudflare mezi certifikačními autoritami občas označí doménu jako „vysoce rizikovou“. Obvykle se to týká jen domén s hodnocením Alexa v rozmezí 1-1,000 a domén, které služba Google Safe Browsing označila za zdroj phishingu nebo malwaru.

Pokud certifikační autorita (CA) doménu označí k prověření, musíte před dokončením ověření kontaktovat podporu. Volání API vrátí informaci o selhání spolu s odkazem, kde lze založit tiket.

CAA je typ zdrojového záznamu DNS definovaný v RFC 6844 ↗ která vlastníkovi domény umožňuje určit, které certifikační autority (CA) mohou pro danou doménu vydávat certifikáty.

Pokud má váš zákazník na své doméně nastavené záznamy CAA, bude muset buď přidat následující, nebo CAA úplně odstranit:

example.com. IN CAA 0 issue "pki.goog"
example.com. IN CAA 0 issue "letsencrypt.org"
example.com. IN CAA 0 issue "ssl.com"

Záznamy CAA sice lze nastavit i na subdoméně, kterou chce zákazník pro vaši službu použít, obvykle se ale nastavují na apexu domény. Pokud má zákazník záznamy CAA na subdoméně, bude nutné odstranit i ty.

V některých případech může ověření bránit skutečnost, že váš hostitelský název směřuje na cíl CNAME, kde jsou definovány záznamy CAA.

V takovém případě byste museli buď zvolit certifikační autoritu, jejíž záznamy CAA jsou u cíle uvedeny, nebo probrat konfiguraci s poskytovatelem služby, kterému cíl patří.

Pokud vyprší časový limit při vydávání certifikátu, chybová zpráva uvede, ve které fázi k tomu došlo:

• Vypršel časový limit (inicializace)
• Vypršel časový limit (ověření)
• Vypršel časový limit (vydání)
• Vypršel časový limit (nasazení)
• Vypršel časový limit (odstranění)

Chcete-li tuto chybu opravit, odešlete Požadavek PATCH přes API, nebo vyberte Obnovit pro konkrétní vlastní hostname v dashboardu. Pokud používáte API, ujistěte se, že --data pole obsahuje ssl objekt se stejným method a type jako původní požadavek.

Pokud tato volání vrátí chybu, vlastní hostitelský název smažte a vytvořte znovu.

Můžete odeslat Požadavek PATCH k vyžádání okamžité kontroly ověření u libovolného certifikátu. Data v požadavku PATCH by měla obsahovat stejné ssl objekt jako původní požadavek.