#Что происходит и когда применима инструкция
TXT виден в панели DNS или на одном резолвере, но проверка ACME отвечает NXDOMAIN/incorrect TXT. Частые причины — редактирование неавторитетной зоны, неполная синхронизация NS, неверное имя и устаревший токен.
#Причины: как различить похожие случаи
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Запись добавлена не в ту DNS-зонуДомены делегированы на другие NS, а TXT создан в старой панели. | dig NS показывает других провайдеров, их ответы не содержат записи. | Создать TXT у текущего авторитетного DNS-поставщика. |
| Не все авторитетные NS обновилисьРазные серверы одной зоны пока возвращают разные TXT. | Один dig @ns1 видит строку, другой @ns2 — NXDOMAIN. | Дождаться синхронизации, увеличить задержку ACME-клиента. |
| Некорректное имя или значение токенаПанель автоматически добавляет доменную часть или CNAME ведёт к чужой зоне. | Полное имя становится _acme-challenge.example.com.example.com либо токен старый. | Проверить абсолютное имя, CNAME/NS, скопировать текущее значение из клиента. |
#Диагностика и пошаговое устранение
- 1. Запишите проверяемое имя и актуальный токенОткройте журнал ACME-клиента или страницу выпуска в панели. Для
example.comобычное проверочное имя —_acme-challenge.example.com; для вложенногоsub.example.com—_acme-challenge.sub.example.com. Скопируйте TXT из текущей попытки без пробелов и лишних кавычек. Не используйте значение из завершённой попытки: ACME выдаёт новые данные. Если автоматическое дополнение домена в панели DNS неизвестно, прочитайте подсказку поля имени записи.
- 2. Найдите текущие делегированные серверы имёнВ терминале Linux или macOS с
digзапросите NS и сопоставьте ответ с NS в личном кабинете регистратора. Еслиdigне установлен, используйте штатные средства панели или установите пакет по правилам ОС через администратора; не скачивайте утилиты с неизвестных сайтов. Отсутствие ожидаемого NS означает, что TXT нужно искать у другого DNS-провайдера. - Заменить example.com проверяемым доменом; запрос только читает DNSLinux · Терминал (Bash)КомандаЗаменить example.com проверяемым доменом; запрос только читает DNS.
dig +short NS example.com
- 3. Запросите TXT непосредственно у каждого авторитетного NSВыберите реальное имя NS из шага 2 (ниже
ns1.example.net— пример). Выполните отдельный запрос к каждому серверу; ожидаемый ответ — точное значение текущего токена. Строка только в одном ответе недостаточна: ACME может обратиться к другому NS. Если все пустые, проверьте название поля записи и состояние зоны. - Заменить оба имени на свои; повторить для каждого NSLinux · Терминал (Bash)КомандаЗаменить оба имени на свои; повторить для каждого NS. NS должен действительно обслуживать эту зону.
dig @ns1.example.net TXT _acme-challenge.example.com +short
- 4. Убедитесь, что запись создана в правильной панелиВойдите в панель действующего DNS-провайдера, откройте зону своего домена и раздел записей DNS. Для TXT укажите имя
_acme-challenge(или полное имя, если так требует интерфейс) и значение текущего токена. Сохраните; проверьте, что в списке оно отображается как_acme-challenge.example.com, а не с повторённым окончанием. Не удаляйте другие рабочие TXT, включая SPF/DKIM.
- 5. Проверьте делегирование самой проверкиЕсли у
_acme-challengeнастроен CNAME или отдельная NS-делегация, запросите его. TXT тогда должен находиться на конечном имени/в дочерней зоне по правилам DNS, и все соответствующие авторитетные серверы должны отвечать. Не создавайте одновременно CNAME и обычный TXT на одном и том же имени: это противоречит правилам DNS. - Только чтениеLinux · Терминал (Bash)КомандаТолько чтение. При отсутствии делегации результат может быть пустым — это нормально.
dig CNAME _acme-challenge.example.com +shortdig NS _acme-challenge.example.com +short
- 6. Дождитесь распространения на всех серверахПосле сохранения TXT выждите реальное время синхронизации поставщика. TTL влияет на кэширование резолверов, но уменьшение TTL прямо сейчас не ускорит мгновенно обновление каждого авторитетного узла. Повторите запросы из шага 3 в разные моменты; при расхождениях настройте достаточную задержку перед подтверждением в ACME-клиенте, если она поддерживается. Не отправляйте повторные запросы на реальную выдачу, пока ответы расходятся.
- 7. Разберите несколько одновременных TXT без потери токеновЕсли сертификат одновременно включает обычное имя и wildcard либо несколько клиентов запускают выпуск, может потребоваться несколько TXT-значений на одном имени. Не заменяйте значение другого активного задания. Уточните идентификаторы попыток у владельцев обеих автоматизаций; устаревшие значения удаляйте только после подтверждения, что проверка уже завершена, и с учётом регламента DNS.
- 8. Повторите проверку и зафиксируйте результатПосле совпадения TXT у авторитетных NS нажмите в ACME-панели проверку текущей попытки либо перезапустите выпуск однократно согласно инструкции вашего клиента. Ожидается
valid/успешный выпуск. Если опять ошибка, запишите имя, точный ответ DNS, время запроса и текст ACME; проверьте DNSSEC и доступность внешних NS перед дальнейшими попытками.
#Как проверить, что неисправность устранена
Успех: каждый авторитетный NS возвращает актуальную TXT-строку, ACME фиксирует успешную проверку и сертификат появляется в панели. Если локальный резолвер ещё видит старое — проверьте TTL, но не редактируйте правильную зону повторно.
#Если не получилось и как отменить правки
При ошибочном TXT верните прежний набор DNS-записей из сохранённой копии. Удаление временной TXT записи возможно после завершения соответствующей проверки и согласования с автоматизацией. Не удаляйте CNAME или NS делегацию без выяснения её назначения.
Если причина не установлена, соберите точный текст ошибки, время, имя домена, результаты проверок без паролей и приватных ключей. Передайте их ответственному администратору или поддержке регистратора, DNS-провайдера либо хостинга. Не повторяйте опасные изменения без резервной копии.