Cosa risolverai
- Verificare i record CAA per assicurarti che Let's Encrypt sia una CA autorizzata — la causa più comune di emissione fallita.
- Disattivare il proxy Cloudflare con cloud arancione, che impedisce a Caddy di completare il suo handshake TLS.
- Identificare e attendere la finestra di rate-limit di Let's Encrypt (50 certificati per dominio registrato per settimana).
Se il tuo dominio personalizzato è verificato ma i visitatori vedono un avviso TLS ("certificate not trusted", "ERR_CERT_AUTHORITY_INVALID"), Caddy non è riuscito a ottenere un certificato Let's Encrypt. Ecco come risolverlo.
1. Controlla i record CAA#
Questa è la causa #1. Esegui:
dig CAA links.acme.com
Se vedi 0 issue "digicert.com" o qualsiasi CA che non è letsencrypt.org, Let's Encrypt è bloccato e l'emissione del certificato fallisce silenziosamente.
Soluzione: aggiungi 0 issue "letsencrypt.org" ai record CAA del tuo dominio. Puoi mantenere la CA esistente per qualsiasi altro utilizzo del certificato — il CAA è additivo.
Aspetta 1 ora che la propagazione del CAA si esaurisca, poi fai clic su Riprova verifica nella dashboard.
2. Controlla il proxy Cloudflare#
Se il tuo provider DNS è Cloudflare e lo "stato proxy" del record mostra il cloud arancione, Cloudflare sta terminando il TLS al suo edge con il proprio certificato. Questo rompe il handshake TLS on-demand di Caddy.
Soluzione: fai clic sul cloud arancione per renderlo grigio (solo DNS). La CDN di Cloudflare è incompatibile con il nostro edge — già utilizziamo una cache aggressiva all'edge POP, quindi non perdi nulla.
Se hai assolutamente bisogno del proxy Cloudflare (ad esempio regole WAF), i piani Business supportano una modalità origin personalizzata in cui punti Cloudflare al nostro IP edge e accettiamo la connessione proxata. Contatta il supporto per abilitarla.
3. Controlla i limiti di frequenza#
Let's Encrypt limita a 50 certificati per dominio registrato per settimana. Se hai aggiunto molti sottodomini in una breve finestra, potresti raggiungere questo limite.
Soluzione: aspetta. Riproviamo ogni 12 ore, e la maggior parte delle finestre di rate-limit si chiude entro 7 giorni. I certificati già emessi continuano a funzionare — solo la nuova emissione è bloccata.
Puoi confermare lo stato del rate-limit controllando crt.sh per i certificati recenti del tuo dominio.
Ancora rotto?#
- Controlla la nostra pagina di stato. A volte Let's Encrypt stesso ha un incidente.
- La pagina dei dettagli del dominio nella dashboard mostra il messaggio di errore Caddy più recente testualmente — incollalo in chat e lo diagnostichiamo insieme.
- Per ambienti air-gapped, puoi ospitare autonomamente Caddy con la tua CA interna. La guida al self-hosting copre le modifiche alla configurazione.
Una volta che funziona#
Imposta un promemoria tra 60 giorni per verificare che il rinnovo sia riuscito. Inviamo un'email al contatto di fatturazione del workspace quando il rinnovo riesce (puoi rinunciare in Impostazioni → Notifiche). Se il rinnovo fallisce, inviamo un'email e attiviamo un webhook in modo che il tuo sistema di alerting lo catturi.