Certbot: Wildcard funktioniert nicht mit --standalone

Du beantragst ein Zertifikat mit --standalone für eine Domain und *.example.com. Certbot meldet, der gewählte Authenticator unterstütze die erforderliche Kombination von Challenges nicht. Genau dieser Aufruf steht im Originalbericht. Die Meldung ist hier kein nachgewiesener Portkonflikt und kein Beleg für einen DNSSEC-Fehler. Q1

Warum der Aufruf scheitert

HTTP-01 unterstützt keine Wildcard-Ausstellung. DNS-01 ist dafür der passende Nachweistyp. Q2 Standalone und Wildcard sind deshalb nicht durch Öffnen weiterer Webserver-Ports miteinander kompatibel zu machen. Entscheide zunächst, welche Namen das Zertifikat tatsächlich abdecken soll.

Den Antrag sinnvoll neu aufsetzen

1. Namensliste prüfen. Notiere alle beantragten Namen, einschließlich Basisdomain und Wildcard. Frage, ob beliebige Subdomains benötigt werden oder eine begrenzte Liste konkreter Hosts genügt. Diese Entscheidung bestimmt den Nachweisweg und späteren Betriebsaufwand.
2. Bestehende Erneuerung lesen. Wenn bereits ein Zertifikat vorhanden ist, prüfe dessen gespeicherten Authenticator und Installationsweg. Ein neuer Testbefehl erklärt nicht automatisch, wie die vorhandene Erneuerung eingerichtet wurde. Behalte funktionierende Dateien zunächst unverändert.
3. DNS-Anbieter und Rechte klären. Ermittle, wer den Challenge-Eintrag verwalten darf und ob ein passendes gepflegtes DNS-Plugin verfügbar ist. Ein API-Zugang sollte nur die nötigen Änderungen erlauben. Teile solche Zugangsdaten nicht über Supportformulare.
4. Kontrollierten Nachweis testen. Beobachte in einer geeigneten Testumgebung, ob der erwartete TXT-Wert erscheint und wieder sauber verwaltet wird. Prüfe dabei auch vorhandene parallele Zertifikatsjobs. Ein manuell gesetzter TXT-Wert belegt noch keine automatische nächste Erneuerung.
5. Ausgabe und Betrieb verbinden. Kontrolliere nach erfolgreicher Ausstellung die enthaltenen Namen, das Ablaufdatum und das vom Dienst ausgelieferte Zertifikat. Plane Erneuerung und gezielten Reload gemeinsam; Certbot beschreibt dafür unterschiedliche Plugins und Hooks. Q3

Wenn kein DNS-Zugang verfügbar ist

Kläre zuerst die Zuständigkeit für die Zone. Falls ausschließlich konkrete Hostnamen erforderlich sind, kann ein passender HTTP-Nachweis dafür eine Alternative sein. Eine kleinere Namensliste verändert jedoch den abgedeckten Dienstumfang und sollte nicht stillschweigend übernommen werden. Wiederholte identische Wildcard-Anträge mit Standalone lösen den Grundkonflikt nicht.

Für eine Übergabe sind die anonymisierte Namensliste, der Aufruf, der DNS-Anbieter, die bisherige Erneuerung und das Zielsystem hilfreich. Dokumentiere getrennt, was gebraucht wird und was der aktuelle Antrag tatsächlich enthält.

Häufige Fragen

Muss ich Apache oder nginx stoppen?

Nicht zur Lösung dieses Wildcard-/Authenticator-Konflikts. Ein Eingriff am Webserver beantwortet die DNS-Nachweisfrage nicht.

Reicht ein einmal manuell gesetzter TXT-Eintrag?

Er kann einen einzelnen Nachweis ermöglichen. Für später unbeaufsichtigte Erneuerungen brauchst du einen nachvollziehbaren automatisierten Ablauf.

Fall beschreiben