AutoSSL DCV failed cPanel significa che il sistema non è riuscito a completare la Domain Control Validation per uno o più nomi. Senza DCV la Certification Authority non può confermare che il server controlli il dominio e non emette il certificato.
Questa guida approfondisce AutoSSL DCV failed cPanel con verifiche progressive e reversibili. Non inviare password, cookie, token, chiavi private, codici 2FA o file di configurazione completi nei ticket.
Che cosa significa
cPanel può usare HTTP DCV e, in alcune configurazioni, DNS DCV. Per HTTP il dominio deve risolvere al server corretto e rendere accessibile il percorso di validazione senza blocchi o redirect incompatibili.
Cloudflare, record AAAA errati, alias non aggiunti, regole `.htaccess`, CAA e DNSSEC possono modificare il risultato visto dalla CA.
Come riconoscere il problema
- AutoSSL log mostra DCV failed.
- Il certificato esclude www o un sottodominio.
- Il dominio apre un altro server.
- La validazione riceve 403, 404 o timeout.
- CAA impedisce l’autorità usata da AutoSSL.
Cause più frequenti
1. A o AAAA errato
Il nome punta a un server diverso. Confronta questa ipotesi con il messaggio completo e con i log dell’orario interessato, evitando conclusioni basate soltanto sulla schermata mostrata dal client.
2. HTTP DCV bloccata
WAF, redirect, autenticazione o regole negano il file. Confronta questa ipotesi con il messaggio completo e con i log dell’orario interessato, evitando conclusioni basate soltanto sulla schermata mostrata dal client.
3. Dominio non aggiunto
Il virtual host non conosce l’hostname. Confronta questa ipotesi con il messaggio completo e con i log dell’orario interessato, evitando conclusioni basate soltanto sulla schermata mostrata dal client.
4. Proxy Cloudflare
La richiesta non raggiunge l’origine prevista o una regola la filtra. Confronta questa ipotesi con il messaggio completo e con i log dell’orario interessato, evitando conclusioni basate soltanto sulla schermata mostrata dal client.
5. Record CAA
La CA scelta non è autorizzata. Confronta questa ipotesi con il messaggio completo e con i log dell’orario interessato, evitando conclusioni basate soltanto sulla schermata mostrata dal client.
6. DNSSEC non valido
La risposta DNS non può essere convalidata. Confronta questa ipotesi con il messaggio completo e con i log dell’orario interessato, evitando conclusioni basate soltanto sulla schermata mostrata dal client.
Diagnosi passo per passo
- Apri il log AutoSSL. Copia nome e motivo esatto. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
- Interroga A, AAAA e nameserver. Controlla tutti i nomi inclusi. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
- Testa il percorso HTTP. Verifica che `/.well-known/` non sia bloccato. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
- Controlla Domains e document root. Il nome deve appartenere all’account. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
- Verifica CAA. Autorizza le CA richieste dal provider. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
- Controlla DNSSEC. DS e chiavi devono essere coerenti. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
- Valuta Cloudflare. Controlla proxy, redirect e regole per la validation. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
Metodo sicuro di diagnosi
Prima di modificare la configurazione, registra URL o servizio coinvolto, messaggio completo, data e ora, ultima modifica nota, client o rete e risultato ottenuto con un secondo strumento. Questa fotografia iniziale permette di confrontare i test e di tornare alla configurazione precedente quando una modifica non produce il risultato atteso.
Applica una sola correzione alla volta. Dopo ogni intervento ripeti esattamente la stessa operazione e controlla i log dello stesso intervallo temporale. Modificare contemporaneamente DNS, cache, PHP, plugin, proxy e firewall elimina la possibilità di attribuire il risultato a una causa precisa.
Controllo incrociato
Usa almeno due fonti indipendenti. Per HTTP confronta browser, curl e log; per WordPress confronta frontend, wp-admin, Site Health e WP-CLI; per DNS interroga nameserver autoritativi e resolver pubblici; per la posta confronta Webmail, intestazioni originali e Track Delivery. Cache, TTL e code possono mostrare stati differenti per alcuni minuti.
Quando il problema sembra risolto, esegui una seconda prova con una nuova sessione, un secondo utente o una seconda rete quando applicabile. Verifica inoltre che TLS, autenticazione, WAF, permessi e controlli antispam restino attivi: una correzione che disabilita stabilmente le protezioni non è una soluzione definitiva.
Verifica prolungata dopo la correzione
Conserva temporaneamente backup, valori precedenti ed estratti dei log. Ripeti il controllo dopo il normale ciclo di cache, cron, coda o TTL. Se l’anomalia ricompare a intervalli regolari, confronta l’orario con backup, aggiornamenti, rinnovi SSL, rotazioni DNS, processi pianificati e servizi esterni.
Documenta il risultato finale con data, comando o schermata utilizzata e condizione verificata. Questa nota evita interventi duplicati e rende più rapida una futura analisi da parte dell’assistenza.
Procedura di risoluzione
- Correggi DNS. Rimuovi A o AAAA obsoleti. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
- Aggiungi il dominio in cPanel. Con document root corretto. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
- Consenti HTTP DCV. Eccezione limitata al percorso di validazione. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
- Correggi redirect e autenticazione. La challenge deve essere raggiungibile. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
- Aggiorna CAA. Senza eliminare autorizzazioni necessarie ad altri servizi. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
- Correggi o disabilita DNSSEC in modo coordinato. Mai rimuovere soltanto una metà della configurazione. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
- Rilancia AutoSSL. Solo dopo che i controlli pubblici sono corretti. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
Come raccogliere prove utili
Quando riproduci il problema, conserva soltanto i dati tecnici necessari: codice di risposta, URL priva di token, orario con fuso, request ID, nome del client, dimensione del file o del messaggio e una breve descrizione dell’operazione. Evita screenshot parziali quando puoi esportare il testo originale, perché header, log e messaggi completi permettono una diagnosi più precisa.
Prima di chiudere il controllo, confronta il comportamento con una configurazione nota e funzionante. Per una API usa un payload minimo; per WordPress prova una funzione core senza plugin aggiuntivi; per DNS interroga direttamente i nameserver; per la posta usa Webmail e conserva il file `.eml`. Questo confronto riduce le ipotesi e impedisce modifiche inutili.
Controlli finali
- AutoSSL log success.
- Certificato include i nomi previsti.
- A e AAAA corretti.
- CAA e DNSSEC validi.
- Rinnovo automatico possibile.
Prevenzione
- Monitoraggio DNS.
- CAA documentato.
- AutoSSL controllato.
- Redirect testati.
- Inventario alias.
Errori da evitare
- Non rilanciare AutoSSL ripetutamente senza correzione.
- Non rimuovere tutti i CAA.
- Non disabilitare WAF globalmente.
- Non lasciare AAAA vecchi.
- Non confondere certificato edge e origine.
Quando contattare l’assistenza Xlogic
Apri un ticket quando il problema persiste dopo i controlli di base, coinvolge più servizi oppure richiede log e configurazioni non disponibili nel pannello. Indica:
- dominio e hostname
- errore AutoSSL
- A/AAAA/CAA
- uso Cloudflare
- orario del tentativo
Non inviare credenziali. URL, orari, codici, header non sensibili e messaggi di errore sono sufficienti per iniziare la diagnosi.
Fonti tecniche ufficiali
Domande frequenti su AutoSSL DCV failed cPanel
Che cosa significa DCV?
Domain Control Validation, la verifica del controllo del dominio.
Un record AAAA errato può bloccare AutoSSL?
Sì, la CA può raggiungere l’IPv6 sbagliato.
Cloudflare impedisce sempre la validazione?
No, ma proxy e regole devono permettere il percorso previsto.
CAA può bloccare il rinnovo?
Sì, se non autorizza la CA usata.
Quando rilancio AutoSSL?
Dopo che DNS e percorso di validazione risultano corretti pubblicamente.