Ein ACME-Client wie certbot, acme.sh, Caddy oder Traefik beweist der CA die Kontrolle über die Domain. Bei HTTP-01 legt er eine Datei unter /.well-known/acme-challenge/ ab, die die CA über Port 80 abruft. Bei DNS-01 setzt er einen TXT-Eintrag _acme-challenge, was auch Wildcard-Zertifikate erlaubt.
Zertifikate von Let's Encrypt laufen 90 Tage. Die Erneuerung muss daher automatisch laufen, per systemd-Timer oder Cron, inklusive Reload des Webservers, der das neue Zertifikat sonst nicht lädt.
Häufige Ursachen für fehlgeschlagene Erneuerungen: Port 80 per Firewall gesperrt, eine Weiterleitung, die /.well-known/ erfasst, ein CAA-Eintrag, der die CA nicht erlaubt, oder Rate-Limits nach zu vielen Fehlversuchen.
Beispiel
certbot renew --dry-run