Certbot: DNS SERVFAIL trotz erreichbarer Website

Certbot bricht beim Zertifikatsantrag mit DNS problem: SERVFAIL ab, während du die Website im Browser öffnen kannst. Das wirkt widersprüchlich, passt aber zu unterschiedlichen DNS-Abfragewegen. Im belegten Fall führte ein CNAME zu einem DDNS-Anbieter; die Antworten der zuständigen Server waren nicht durchgehend konsistent. Das ist ein konkreter Befund, keine allgemeine Aussage über jeden DDNS-Dienst. Q1

Was der Fehler eingrenzt

SERVFAIL ist keine Meldung über ein falsches Apache-Passwort und kein Beweis für einen kaputten Zertifikatsschlüssel. Die Namensauflösung konnte für die geprüfte Anfrage nicht erfolgreich abgeschlossen werden. Eine lokal zwischengespeicherte Adresse kann parallel weiterhin funktionieren. Prüfe deshalb den im Fehler genannten Namen und Abfragetyp, bevor du Webserver-Konfigurationen änderst.

Diagnose in fünf Schritten

1. Originalmeldung sichern. Notiere Uhrzeit, vollständigen Domainnamen, A oder AAAA und den verwendeten Certbot-Aufruf ohne vertrauliche Optionen. Ein erfolgreicher Aufruf einer anderen Subdomain ist nur ein Vergleich, keine Entwarnung.
2. CNAME-Kette aufzeichnen. Frage den Namen mit einem DNS-Werkzeug ab und folge jedem Alias bis zur Zieladresse. Halte fest, an welchem Namen die Antwort fehlt. So wird sichtbar, ob deine eigene Zone oder eine nachgelagerte Anbieterzone untersucht werden muss.
3. Autoritative Server einzeln vergleichen. Ermittle die zuständigen Nameserver und frage dieselbe Kombination aus Name und Typ bei jedem ab. Unterschiedliche Antworten oder ausbleibende Antworten sind für den DNS-Betreiber konkreter als „bei mir funktioniert es manchmal“.
4. Validierung getrennt betrachten. Zeigt der Fehler zusätzliche DNSSEC-Hinweise, prüfe die veröffentlichte Delegation und Signaturkette mit dem Betreiber. Schalte DNSSEC nicht versuchsweise pauschal aus. Aus SERVFAIL allein folgt diese Ursache nicht.
5. Nach Korrektur erneut beobachten. Berücksichtige noch gültige Cache-Zeiten und vergleiche mehrere unabhängige Auflösungswege. Erst konsistente Antworten machen einen erneuten Zertifikatstest aussagekräftig. Certbot stellt dafür einen dokumentierten Testlauf bereit. Q2

Maßnahmen nach dem Befund

Liegt der Ausfall bei einem DDNS-Ziel, braucht dessen Betreiber die betroffenen autoritativen Server, Antwortzeiten und Abfragen. Ein direkter A-Eintrag ist nur dann eine tragfähige Alternative, wenn die Adresse und ihre Pflege dazu passen. Kopiere keine dynamische Adresse dauerhaft als vermeintliche Reparatur.

Für die Übergabe reichen zunächst DNS-Ausgaben, Zeitfenster, Domainkette und die Änderungshistorie. Private Schlüssel oder Zugangsdaten sind dafür nicht erforderlich. Prüfe anschließend neben der Zertifikatserneuerung auch normale Namensauflösung von außerhalb deines Netzes.

Häufige Fragen

Hilft ein Wechsel vom Apache- zum Webroot-Plugin?

Nicht gegen eine unverändert fehlerhafte öffentliche DNS-Kette. Der Nachweisweg kommt erst danach.

Warum funktioniert ein öffentlicher Resolver trotzdem?

Eine erfolgreiche Einzelantwort kann zwischengespeichert sein oder einen gerade erreichbaren Nameserver verwendet haben.

Fall beschreiben