← Cloudflare for Platforms / cloudflare-for-platforms / cloudflare-for-saas / security / certificate-management / issue-and-validate / validate-certificates

Устранение неполадок

Иногда партнёрские удостоверяющие центры Cloudflare помечают домен как «высокорисковый». Обычно это происходит только с доменами, у которых рейтинг Alexa находится в диапазоне 1-1,000, а также с доменами, которые сервис Google Safe Browsing пометил как источник фишинга или вредоносного ПО.

Если центр сертификации (CA) пометил домен, перед завершением проверки необходимо обратиться в службу поддержки. Вызов API вернёт информацию о сбое, а также ссылку, по которой можно создать заявку.

CAA представляет собой тип ресурсной записи DNS, определённый в RFC 6844 ↗ который позволяет владельцу домена указать, каким удостоверяющим центрам (CA) разрешено выпускать для него сертификаты.

Если у вашего клиента в домене настроены записи CAA, ему нужно либо добавить следующее, либо полностью убрать CAA:

example.com. IN CAA 0 issue "pki.goog"
example.com. IN CAA 0 issue "letsencrypt.org"
example.com. IN CAA 0 issue "ssl.com"

Записи CAA можно настроить на поддомене, который клиент хочет использовать с вашей службой, но обычно их настраивают на апексе домена. Если у клиента есть записи CAA на поддомене, их тоже нужно будет удалить.

В некоторых случаях проверка может не проходить из-за того, что ваше имя хоста указывает на цель CNAME, для которой заданы записи CAA.

В этом случае вам нужно либо выбрать удостоверяющий центр, записи CAA которого присутствуют у цели, либо обсудить конфигурацию с поставщиком услуги, которому принадлежит эта цель.

Если при выпуске сертификата истекает время ожидания, сообщение об ошибке укажет, на каком этапе это произошло:

• Истёк тайм-аут (инициализация)
• Истёк тайм-аут (проверка)
• Истёк тайм-аут (выпуск)
• Истёк тайм-аут (развёртывание)
• Истёк тайм-аут (удаление)

Чтобы исправить эту ошибку, отправьте Запрос PATCH через API либо выберите Обновить для конкретного пользовательского имени хоста в дашборде. Если вы используете API, убедитесь, что --data поле содержит ssl объект с тем же method и type как и исходный запрос.

Если эти вызовы возвращают ошибку, удалите и заново создайте пользовательское имя хоста.

Вы можете отправить Запрос PATCH чтобы запросить немедленную проверку любого сертификата. Данные запроса PATCH должны содержать то же ssl объект, что и исходный запрос.