#Что происходит и когда применима инструкция
Ошибка 429 rateLimited часто возникает после многократных неудачных подтверждений домена. Исправляют первопричину в HTTP-01 или DNS-01 и ждут указанного времени повторной попытки, а не запускают Certbot снова и снова.
#Причины: как различить похожие случаи
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Повторные неудачные авторизацииЦентр выпуска не смог подтвердить право управления одним из доменных имён несколько раз подряд. | В журнале перед 429 были authorization failed, unauthorized, connection или DNS errors. | Исправить проверку конкретного имени, затем дождаться указанного срока. |
| Другой лимит на выпускЕсть отдельные ограничения на заказы и идентичные наборы имён; 429 не всегда означает ошибки авторизации. | Текст ACME-ошибки называет new orders, certificates или другой тип лимита. | Читать точный текст ошибки; не менять домен и аккаунт без причины. |
| Автоматизация повторяет неисправный запросПанель хостинга, таймер или несколько серверов непрерывно запускают выпуск. | Несколько попыток за короткий промежуток при неизменной ошибке DNS/HTTP. | Приостановить только задачу повторного заказа, сохранить штатное обслуживание сертификатов. |
#Диагностика и пошаговое устранение
- 1. Сохраните журнал и прекратите повторные заказыЕсли Certbot или панель показывает
429 rateLimited, не нажимайте «Повторить» и не запускайте повторную выдачу. Запишите полное сообщение, доменное имя, датуretry after(обычно UTC) и идентификатор запроса; в панели проверьте историю выпуска. Если есть автоматический скрипт с многократными повторами, временно остановите именно его по инструкции панели, отметив способ включить обратно. Существующий сертификат обычно продолжает работать до срока действия.
- 2. Уточните, какой сертификат используется прямо сейчасПодключитесь по SSH администратором к Linux-серверу, откройте «Терминал» либо программу SSH и выполните команду только для чтения. Найдите нужные Domains, Expiry Date и Certificate Path. Если Certbot не установлен или сертификатом заведует панель, используйте её список сертификатов: не ставьте второй ACME-клиент поверх действующего.Linux · Терминал (Bash)КомандаНужен sudoПросмотр управляемых Certbot сертификатов; не выпускает новые.
sudo certbot certificates
- 3. Найдите причину первоначального отказаОткройте журнал Certbot в панели или по SSH. Ищите запись, предшествующую 429: HTTP-01 требует доступности файла по порту 80; DNS-01 — правильную TXT-запись на действующих авторитетных DNS-серверах. Если используется Certbot, читайте существующий журнал без его очистки. Не публикуйте токены и учётные данные из журнала в открытом доступе.
- Только чтение журнала, если Certbot установлен обычным образомLinux · Терминал (Bash)КомандаНужен sudoТолько чтение журнала, если Certbot установлен обычным образом.
sudo tail -n 100 /var/log/letsencrypt/letsencrypt.log
- 4. Проверьте DNS без повторного выпускаНа сервере или своём компьютере с установленной
digвыполните запросы для настоящего домена, заменивexample.com. Результат A/AAAA должен указывать на сервер или согласованный прокси, NS — на фактического поставщика DNS. Если обнаружена старая зона, исправляйте её в панели провайдера DNS; повторная попытка сертификата до исправления бессмысленна. - example.com — документационный пример, заменить своим доменомLinux · Терминал (Bash)Командаexample.com — документационный пример, заменить своим доменом.
dig +short A example.comdig +short AAAA example.comdig +short NS example.com
- 5. Проверьте доступность HTTP-01 или TXT DNS-01Для HTTP-01 проверьте через браузер или
curlпубличный адрес файла проверки и не блокируйте/.well-known/acme-challenge/. Для DNS-01 проверьте TXT именно на авторитетных серверах; значение токена каждый раз создаётся ACME-клиентом и не должно быть постоянной заглушкой. Не создавайте фальшивый TXT и не пытайтесь подтвердить текущим токеном старую попытку.
- 6. Испытайте исправление в тестовой среде ACMEЕсли Certbot обслуживает сертификат и веб-сервер готов, запустите тестовое продление.
--dry-runобращается к тестовой среде Let’s Encrypt, результат такого сертификата не годится для посетителей и может временно изменять конфигурацию с последующим откатом; поэтому выполняйте в период низкой нагрузки. Если тест не проходит, исправьте описанную им причину до настоящего заказа.Linux · Терминал (Bash)С осторожностьюНужен sudoНе создаёт действительный сертификат. Выполнять только на сервере, где Certbot уже настроен.sudo certbot renew --dry-runКоманда может изменить состояние системы или её настройки. Проверьте параметры и последствия перед запуском.
- 7. Дождитесь разрешённого времени попыткиВнимательно прочитайте время
retry afterи заголовок Retry-After в ошибке: ограничения могут быть разными, а длительность нельзя угадывать по одному числу. При нескольких ограничениях верный срок может быть самым поздним. Не обходите лимит созданием новых аккаунтов или сериями изменённых заявок. После устранения причины дождитесь указанного срока, затем разрешите единственную штатную попытку в панели или плановом задании.
- 8. Проверьте сертификат и восстановите автоматическое продлениеПосле успешного выпуска откройте
https://ваш-доменв браузере без предупреждения, проверьте даты и имена в сертификате, а также журнал приложения. Включите обратно приостановленное штатное продление и уберите частые циклы повторов. Если 429 сохраняется, передайте администратору точный текст ошибки и время Retry-After; повторять выдачу вслепую нельзя.
#Как проверить, что неисправность устранена
Успех: тестовое продление проходит; после истечения Retry-After получен настоящий сертификат с требуемыми именами, а браузер открывает HTTPS без предупреждений. Если ошибка вернулась, сравните её тип с прежней: новый 429 может относиться к другому лимиту. Остановите новые заказы и повторите диагностику.
#Если не получилось и как отменить правки
Сам выпуск сертификата отменять не нужно. Если менялись правила HTTP-01, восстановите сохранённую конфигурацию после проверки; если приостанавливали автоматический выпуск, включите штатное расписание. Никогда не удаляйте действующие сертификаты, чтобы «обнулить» ограничения.
Если причина не установлена, соберите точный текст ошибки, время, имя домена, результаты проверок без паролей и приватных ключей. Передайте их ответственному администратору или поддержке регистратора, DNS-провайдера либо хостинга. Не повторяйте опасные изменения без резервной копии.