#Признаки неисправности и область применимости
Certificate Manager не выпускает управляемый сертификат для нового домена: проверка владения зависает или возвращает ошибку. Для сертификата Let’s Encrypt необходимо подтвердить права на каждый домен, причём способы DNS и HTTP требуют разной конфигурации.
#Почему это происходит
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Неверная DNS-записьЗапись опубликована в неправильной зоне или с устаревшим значением. | Проверка TXT/CNAME остаётся в ожидании | Проверьте авторитетную зону и имя _acme-challenge. |
| Конфликт DNS-01Для одного проверочного имени CNAME не должен конфликтовать с другими записями. | Одновременно добавлены TXT и CNAME на одно имя | Выберите один поддерживаемый метод. |
| HTTP-01 не проходит по сетиДомен указывает не на обслуживающий проверку узел, есть WAF/прокси/перенаправление. | Челлендж возвращает 404/403 или недоступен порт 80 | Проверьте доступ к проверочному маршруту. |
#Пошаговая диагностика и устранение
- Определите все домены сертификатаВ консоли откройте каталог → Certificate Manager → нужный управляемый сертификат. Запишите домены, статус каждой проверки и выбранный метод. Если один из SAN-доменов не подтверждён, выдача может не завершиться; сертификат с wildcard обычно требует DNS-проверку.
- Узнайте требуемую проверочную записьВ карточке сертификата в разделе проверки прав на домены скопируйте точное имя и значение TXT либо CNAME для каждого домена. Не придумывайте токен проверки по названию домена и не используйте значение от предыдущего выпуска.
- Определите авторитетного DNS-провайдераПроверьте NS домена у регистратора или в публичной DNS. Если домен управляется сторонним провайдером, изменение зоны в Yandex Cloud DNS, которая не делегирована, ничего не даст. Сначала убедитесь, куда реально направлены NS.
- Добавьте запись только выбранного типаУ DNS-провайдера создайте TXT либо CNAME на нужном имени
_acme-challengeи сохраните. Для CNAME не оставляйте одновременно TXT на том же имени: это противоречит правилам DNS. Если работаете в Cloud DNS, можно использовать создание записи из карточки сертификата при наличии подходящей зоны.
- Проверьте распространение DNSНа своём компьютере или сервере с dig запросите опубликованную запись через независимый публичный резолвер. Сверьте точное имя и значение со сведениями Certificate Manager. Пустой ответ означает, что ждать без проверки зоны бессмысленно.
- Замените домен и тип TXT на фактически выбранныйLinux · Терминал (Bash)КомандаЗамените домен и тип TXT на фактически выбранный. Требуется dig; команда только читает DNS. Для CNAME используйте
dig @1.1.1.1 CNAME ....dig @1.1.1.1 TXT _acme-challenge.example.com
- Если выбран HTTP, проверьте доступностьУбедитесь, что A/AAAA домена ведут к ресурсу, обслуживающему HTTP-проверку. Посмотрите правила доступа по порту 80 и обработку
/.well-known/acme-challenge/; не выдумывайте содержимое проверочного файла — оно задаётся механизмом выпуска. Не отключайте WAF целиком.
- Дождитесь обновления статусаПосле корректной публикации проверьте в Certificate Manager, что каждый домен переходит в Valid, а сертификат — в Issued. Документация предупреждает, что подтверждение может занять часы или дни; не создавайте десятки новых сертификатов подряд.
- Привяжите сертификат к нужному сервисуПосле статуса Issued проверьте, что сертификат выбран в конфигурации балансировщика/веб-сервера именно для нужного домена и SNI. Выполните внешнюю HTTPS-проверку; выпуск сам по себе не переключает каждый ресурс автоматически.
#Как проверить, что проблема исправлена
Каждая проверка домена имеет статус Valid, сертификат — Issued; браузер при открытии нужного имени видит действительный сертификат с соответствующим SAN, а не сертификат другого сервиса.
#Если проблема осталась
Если TXT виден у публичных резолверов, но подтверждение не завершается, сравните проверяемое имя, наличие CNAME, остальные домены и задержку обработки. Для HTTP проверьте IPv4/IPv6 и правила доступа на 80, затем обратитесь в поддержку с ID сертификата.