AutoSSL DCV failed in cPanel: cause e soluzioni

In breve: AutoSSL DCV failed cPanel: significa che il sistema non è riuscito a completare la Domain Control Validation per uno o più nomi.

AutoSSL DCV failed cPanel

Questa guida approfondisce AutoSSL DCV failed cPanel con verifiche progressive e reversibili. Non inviare password, cookie, token, chiavi private, codici 2FA o file di configurazione completi nei ticket.

Che cosa significa

cPanel può usare HTTP DCV e, in alcune configurazioni, DNS DCV. Per HTTP il dominio deve risolvere al server corretto e rendere accessibile il percorso di validazione senza blocchi o redirect incompatibili.

Cloudflare, record AAAA errati, alias non aggiunti, regole `.htaccess`, CAA e DNSSEC possono modificare il risultato visto dalla CA.

Come riconoscere il problema

• AutoSSL log mostra DCV failed.
• Il certificato esclude www o un sottodominio.
• Il dominio apre un altro server.
• La validazione riceve 403, 404 o timeout.
• CAA impedisce l’autorità usata da AutoSSL.

Cause più frequenti

1. A o AAAA errato

Il nome punta a un server diverso. Confronta questa ipotesi con il messaggio completo e con i log dell’orario interessato, evitando conclusioni basate soltanto sulla schermata mostrata dal client.

2. HTTP DCV bloccata

WAF, redirect, autenticazione o regole negano il file.

3. Dominio non aggiunto

Il virtual host non conosce l’hostname.

4. Proxy Cloudflare

La richiesta non raggiunge l’origine prevista o una regola la filtra.

5. Record CAA

La CA scelta non è autorizzata.

6. DNSSEC non valido

La risposta DNS non può essere convalidata.

Diagnosi passo per passo

1. Apri il log AutoSSL. Copia nome e motivo esatto. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
2. Interroga A, AAAA e nameserver. Controlla tutti i nomi inclusi. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
3. Testa il percorso HTTP. Verifica che `/.well-known/` non sia bloccato. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
4. Controlla Domains e document root. Il nome deve appartenere all’account. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
5. Verifica CAA. Autorizza le CA richieste dal provider. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
6. Controlla DNSSEC. DS e chiavi devono essere coerenti. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.
7. Valuta Cloudflare. Controlla proxy, redirect e regole per la validation. Salva il risultato prima di passare al controllo successivo, così potrai individuare il punto preciso nel quale il comportamento cambia.

Procedura di risoluzione

1. Correggi DNS. Rimuovi A o AAAA obsoleti. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
2. Aggiungi il dominio in cPanel. Con document root corretto. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
3. Consenti HTTP DCV. Eccezione limitata al percorso di validazione. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
4. Correggi redirect e autenticazione. La challenge deve essere raggiungibile. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
5. Aggiorna CAA. Senza eliminare autorizzazioni necessarie ad altri servizi. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
6. Correggi o disabilita DNSSEC in modo coordinato. Mai rimuovere soltanto una metà della configurazione. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
7. Rilancia AutoSSL. Solo dopo che i controlli pubblici sono corretti. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.

Domande frequenti

Guide Xlogic correlate

• AutoSSL non si rinnova: controllare DNS, CAA e Cloudflare
• Come disattivare le email AutoSSL in cPanel
• DNSSEC: cos’è e come attivarlo in sicurezza

Fonti tecniche

• ICANN — Domain registration process