So sieht die Meldung aus
Error creating new order :: too many certificates (5) already issued for this exact set of identifiers in the last 168h0m0s, retry after 2026-10-25 14:02:11 UTCHäufige Ursachen
- Mehr als 5 Zertifikate für exakt dieselbe Namensliste innerhalb von 7 Tagen.
- Mehr als 50 neue Zertifikate pro registrierter Domain in 7 Tagen, z. B. bei vielen Subdomains.
- Skript oder Container fordert bei jedem Start ein neues Zertifikat an, weil
/etc/letsencryptnicht persistent ist. - Tests gegen die Produktions-API statt gegen Staging.
- Verwandt: „too many failed authorizations“ nach mehreren gescheiterten Validierungen.
Prüfen
- Lokal vorhandene Zertifikate anzeigen
certbot certificates - Wie oft wurde zuletzt ausgestellt? Archiv-Dateien prüfen
ls -l /etc/letsencrypt/archive/example.com/ - Öffentlich ausgestellte Zertifikate in den CT-Logs ansehen
curl -s 'https://crt.sh/?q=example.com&output=json' | jq -r '.[] | .not_before + " " + .name_value' | sort -r | head -n 20 - Genaue Fehlermeldung und retry-after im certbot-Log finden
grep -iE 'rateLimited|too many' /var/log/letsencrypt/letsencrypt.log | tail -n 5
Lösung
- Bis zum genannten „retry after“ warten – das Limit lässt sich nicht manuell zurücksetzen.
- Vorhandenes gültiges Zertifikat weiterverwenden, statt neu anzufordern.
/etc/letsencryptin Containern als Volume persistent machen.- Tests nur mit
--dry-runoder--stagingausführen. - Für viele Subdomains ein Wildcard-Zertifikat per DNS-01 erwägen.
Häufige Fragen
Kann ich das Limit umgehen, indem ich einen Namen hinzufüge?
Eine andere Namensliste fällt nicht unter das Limit für exakt dieselbe Liste, zählt aber weiter zum Limit pro Domain. Besser die Ursache der Schleife beheben.
Zählen Erneuerungen mit?
Erneuerungen derselben Namensliste zählen zum Limit für identische Zertifikate. Normale Erneuerung alle 60 Tage erreicht es nie – nur Schleifen tun das.