Diese Anleitung erklärt, wie Sie ein Problem bei der Installation eines SSL-Zertifikats (Let's Encrypt oder Sectigo) beheben können, wenn Sie Cloudflare mit strengen Sicherheitsregeln wie Länder- oder IP-Adressfilterung verwenden.

Anpassen der SSL-/Geoblocking-Einstellungen

Wenn ein SSL-Zertifikat über Infomaniak angefordert wird (kostenloses Let's Encrypt oder Sectigo), muss die Zertifizierungsstelle überprüfen, ob Sie tatsächlich Inhaber der Domain sind. Diese Überprüfung kann per HTTP (über spezielle Dateien auf Ihrer Website), DNS oder E-Mail erfolgen:

• Let's Encrypt verwendet /.well-known/acme-challenge/.
• Sectigo verwendet in der Regel /.well-known/pki-validation/ (oder DNS/E-Mail, je nach gewählter Option).

Wenn diese Überprüfungen fehlschlagen (z. B. weil Cloudflare den Zugriff blockiert), kann das Zertifikat nicht ausgestellt oder erneuert werden. Let's Encrypt führt seine Überprüfungen jedoch nicht mehr nur von einem einzigen Standort aus. Seit einiger Zeit (und noch verstärkt seit März 2024) führt es seine Überprüfungen gleichzeitig von mehreren Ländern aus – darunter auch neuen Ländern wie Schweden oder Singapur. Das Ergebnis: Wenn eines dieser Länder durch Ihre Cloudflare-Einstellungen blockiert wird, kann die Zertifikatsanfrage fehlschlagen, selbst wenn alles andere korrekt konfiguriert ist.

Noch schlimmer: Selbst wenn Sie versuchen, eine Ausnahme nur für die Adresse der Challenge (.well-known/acme-challenge) zu erstellen, funktioniert dies möglicherweise nicht mit bestimmten Cloudflare-Regeln. Denn die Regeln zum Blockieren nach Land oder IP-Adresse werden angewendet, bevor Ausnahmen basierend auf URL-Pfaden berücksichtigt werden.

SSL/TLS-Modus anpassen

In Cloudflare verwenden Sie den Modus Full oder Full (strict). Diese Modi tolerieren vorübergehend ein abgelaufenes oder selbstsigniertes Zertifikat, bis die Validierung abgeschlossen ist:

Validierungspfade zulassen

Vermeiden Sie restriktive „IP-Zugriffsregeln“ und verwenden Sie stattdessen „benutzerdefinierte Regeln“, die Pfade ohne Einschränkungen zulassen:

• /.well-known/acme-challenge/ (Let's Encrypt)
• /.well-known/pki-validation/ (Sectigo)

Geoblocking vorübergehend deaktivieren

Deaktivieren Sie bei Bedarf vorübergehend die geografische oder IP-basierte Blockierung, bis die Validierung abgeschlossen ist, und aktivieren Sie Ihre Sicherheitsvorkehrungen anschließend wieder, nachdem das Zertifikat ausgestellt oder erneuert wurde.