Определение

Клиент ACME создает учетную запись у центра сертификации, запрашивает сертификат и подтверждает контроль над доменом одним из предусмотренных challenge. После проверки клиент скачивает сертификат и должен развернуть его в веб-сервере или другом приложении. Протокол автоматизирует обмен, но не обязательно перезагружает службу сам. ACME не CA.

HTTP-01 и DNS-01

При HTTP-01 клиент размещает token в специальном URL под /.well-known/acme-challenge/; центр сертификации проверяет ответ через HTTP. Для этого домен должен разрешаться на нужный веб-сервер, а маршрут не должен блокироваться proxy, firewall или правилами приложения.

При DNS-01 владелец публикует TXT-запись под _acme-challenge. Этот вариант удобен для wildcard-сертификатов и серверов без доступного HTTP, но автоматизации нужны права на изменение DNS-зоны. Используйте API-токен с минимальным набором прав и не вставляйте его в общий конфиг сайта.

Где возникают сбои

Ошибка проверки может быть связана с устаревшей DNS-записью, неверным ответом с разных nameserver, закрытым портом, CDN-кешем или тем, что challenge лежит не в том virtual host. Проверяйте публичный DNS и фактический HTTP-ответ с внешней сети. Не запускайте повторные запросы без ограничения: центр сертификации может временно ограничить частоту.

После выпуска установите файлы цепочки и закрытого ключа с правильными правами. Затем настройте reload или deploy hook ACME-клиента, проверьте срок действия сертификата извне и убедитесь, что служба прочитала новые файлы. Сценарий ACME не гарантирует, что приложение использует новый сертификат или что соединение покрывает нужные имена.

ACME - стандарт автоматизации, TLS-сертификат - результат конкретного заказа, а HTTPS - настроенное защищенное соединение. Проверьте SSL-сертификаты, выпуск Let's Encrypt и записи DNS. Определение основано на RFC 8555 и типах challenge Let's Encrypt, проверенных 8 октября 2026 года; сертификаты не выпускались.