Deze handleiding legt uit hoe u een probleem kunt oplossen bij de installatie van een SSL-certificaat (Let's Encrypt of Sectigo) als u Cloudflare gebruikt met strikte beveiligingsregels, zoals land- of IP-adresfiltering.

SSL-instellingen / geografische blokkering aanpassen

Wanneer een SSL-certificaat via Infomaniak wordt aangevraagd (gratis Let's Encrypt of Sectigo), moet de certificeringsinstantie verifiëren of u daadwerkelijk de eigenaar bent van het domein. Deze verificatie kan plaatsvinden via HTTP (door middel van speciale bestanden op uw website), DNS of e-mail:

• Let's Encrypt gebruikt /.well-known/acme-challenge/.
• Sectigo gebruikt doorgaans /.well-known/pki-validation/ (of DNS/e-mail, afhankelijk van de gekozen optie).

Als deze verificaties mislukken (bijvoorbeeld omdat Cloudflare de toegang blokkeert), kan het certificaat niet worden uitgegeven of verlengd. Let's Encrypt voert echter niet meer alleen verificaties uit vanaf één locatie. Sinds enige tijd (en nog meer sinds maart 2024) voert het zijn verificaties tegelijkertijd uit vanuit verschillende landen, waaronder nieuwe landen zoals Zweden of Singapore. Het resultaat is dat als een van deze landen door uw Cloudflare-instellingen wordt geblokkeerd, het certificaatverzoek kan mislukken, zelfs als alles anders correct is geconfigureerd.

Sterker nog: zelfs als u een uitzondering probeert te maken voor alleen het adres van de challenge (.well-known/acme-challenge), werkt dit mogelijk niet met bepaalde Cloudflare-regels. Dit komt doordat de regels voor het blokkeren van landen of IP-adressen worden toegepast voordat eventuele uitzonderingen op basis van URL-paden worden toegepast.

Pas de SSL/TLS-modus aan

In Cloudflare gebruikt u de modus Volledig of Volledig (strikt). Deze modi tolereren tijdelijk een verlopen of zelfondertekend certificaat, totdat de validatie is voltooid:

Validatiepaden toestaan

Vermijd blokkerende "IP-toegangsregels" en gebruik in plaats daarvan "Aangepaste regels" die zonder beperking toegang verlenen tot de volgende paden:

• /.well-known/acme-challenge/ (Let's Encrypt)
• /.well-known/pki-validation/ (Sectigo)

Geoblokkering tijdelijk uitschakelen

Schakel indien nodig tijdelijk de geografische of IP-blokkering uit tijdens de validatie en activeer uw beveiligingen vervolgens weer na het uitgeven of vernieuwen van het certificaat.