CAA impedisce il rinnovo del certificato

In breve: CAA rinnovo certificato — riguarda certificato, identità dell’host o negoziazione TLS.

Cosa indica il problema

CAA rinnovo certificato — riguarda certificato, identità dell’host o negoziazione TLS. La diagnosi deve collegare la prova, l’orario e il primo evento utile nei log prima di cambiare la configurazione.

Sintomi e cause probabili

Sintomi da verificare

• Il comportamento descritto da “CAA impedisce il rinnovo del certificato” si ripete nella stessa operazione
• Il controllo di messaggio completo, orario, configurazione e log produce un dato coerente con lo stesso orario
• Un tentativo comparabile permette di capire se l’anomalia è generale o limitata a un solo elemento

Cause probabili

• Nome host non coperto dal certificato
• Catena, issuer o ordine degli intermedi non corretti
• Versione, cifrario o parametro TLS incompatibile
• Certificato scaduto, revocato o non ancora valido

Controlli da eseguire

1. Verificare record e TTL
2. Controllare DNSSEC e record DS
3. Testare IPv4 e IPv6 separatamente
4. Verificare il servizio di destinazione
5. Ripetere da una seconda rete

Dati utili

• Dettagli certificato nel browser
• Log TLS del server o del proxy
• Configurazione del virtual host e della catena

Correzione sicura

1. Installa il certificato che copre esattamente l’hostname
2. Ricostruisci la catena con gli intermedi corretti e nel giusto ordine
3. Allinea certificato, chiave privata, SNI e virtual host
4. Abilita versioni e parametri TLS compatibili e sicuri
5. Rinnova o sostituisci il certificato scaduto o revocato

Verifica finale

• Hostname e SAN coincidono
• La catena termina in una CA attendibile
• L’handshake usa parametri supportati
• Browser e client aggiornati non mostrano avvisi

Errori da evitare

• Non disattivare la verifica del certificato
• Non sostituire solo un intermedio senza controllare la catena
• Non usare certificati autofirmati sul servizio pubblico
• Non ignorare SNI, hostname o orologio del sistema

Guide Xlogic correlate

• Certificato wildcard e dominio principale
• Certificato SSL dopo cambio nameserver
• HTTPS obbligatorio sui domini .app e .dev

Fonti tecniche

• IETF RFC 8446 — TLS 1.3
• Mozilla — Server Side TLS

Domande frequenti