Certbot erneuert nicht: Timer fehlt oder manual-auth-hook nötig

Das Zertifikat wurde einmal erfolgreich angelegt, erneuert sich aber nicht. Vielleicht fehlt ein erwarteter systemd-Timer; vielleicht erscheint beim Test --manual-auth-hook. Ein belegter Fall enthält beide Probleme: eine eigene Certbot-Installation und einen nicht automatisierten manuellen Nachweis. Diese zwei Voraussetzungen müssen unabhängig voneinander funktionieren. Q1

„Nicht fällig“ ist noch kein Erneuerungstest

Eine Meldung, dass kein Zertifikat zur Erneuerung ansteht, bestätigt nur die aktuelle Auswahlentscheidung. Sie beweist nicht, dass der nächste Nachweis ohne Eingabe gelingt. Certbot unterscheidet das Authentifizierungsverfahren von der Zeitplanung; manuelle Verfahren brauchen für unbeaufsichtigte Abläufe geeignete Hooks. Q2

Den tatsächlichen Ablauf prüfen

1. Installation identifizieren. Ermittle Pfad und Version des ausgeführten Certbot. Vergleiche interaktive Shell, geplanten Job und gegebenenfalls Container. Paketinstallation, Snap und eigenes Python-Environment können unterschiedliche Pfade haben. Installiere nicht vorsorglich einen zweiten Client.
2. Betroffenes Zertifikat zuordnen. Notiere Zertifikatsnamen, Domains und die zugehörige Erneuerungskonfiguration. Lies das gespeicherte Authentifizierungsverfahren. Enthält es manual, kläre, welche Eingabe bisher ein Mensch vorgenommen hat.
3. Nachweis isoliert erproben. Verwende einen zur Installation passenden Dry Run. Prüfe vorher vorhandene Hooks: Ein Test kann diese ausführen und damit externe Änderungen auslösen. Bleibt er an einer Eingabe oder einem fehlenden Hook stehen, muss zuerst dieser Schritt automatisiert werden.
4. Zeitplanung kontrollieren. Sieh vorhandene systemd-Timer beziehungsweise Cron-Einträge und deren letzte Ergebnisse an. Entscheidend sind der richtige ausführbare Pfad, das Benutzerkonto, die nötigen Secrets und die Protokollausgabe. Das Fehlen eines bestimmten Unit-Namens allein beweist noch keinen fehlenden Job.
5. Auslieferung nachweisen. Ein erneuertes Zertifikat auf der Festplatte muss auch vom vorgesehenen Dienst geladen werden. Vergleiche dessen ausgelieferte Laufzeit mit der neuen Datei und kontrolliere einen gegebenenfalls erforderlichen Reload-Hook.

Von der Reparatur zur verlässlichen Beobachtung

Nutze nach Möglichkeit einen passenden automatischen Authenticator oder einen geprüften, eng berechtigten Hook. Richte anschließend genau den vorgesehenen Zeitplan ein. Ein extern beobachtetes Ablaufdatum und sichtbare Fehlerprotokolle helfen, einen späteren Ausfall früher zu erkennen. Das ersetzt keinen erfolgreichen Probelauf.

Für Unterstützung sind Installationsweg, anonymisierte Erneuerungskonfiguration, Scheduler-Auszug und Testfehler hilfreich. Private Schlüssel und API-Tokens gehören nicht in die Anfrage. Bewahre den bisherigen Stand auf, bis der neue Ablauf nachvollziehbar funktioniert.

Häufige Fragen

Reicht es, einen Timer zu aktivieren?

Nur wenn sein Befehl im tatsächlichen Ausführungskontext auch ohne menschliche Eingabe funktioniert.

Darf ich die Erneuerungsdatei frei umschreiben?

Bevorzuge die dokumentierte Konfiguration für deine Certbot-Version und sichere den bisherigen Stand. Ein falscher Dateieintrag kann erst beim nächsten Lauf auffallen.

Fall beschreiben