Bonjour,

J'ai un système sous Bullseye qui héberge une appli web qui utilise un certificat Letsencrypt.
Celui-ci est basé sur un challenge http01. Il a été automatiquement renouvelé 4 fois depuis octobre 2022.
Le dernier date du 26/4/23 et si je conserve le rythme précédent, le
prochain doit avoir lieu de 26/6.

Pourtant,
1. j'observe dans /var/log/letsencrypt/letsencrypt.log que mon système
essaie plusieurs fois par jour de renouveler,
2. chaque renouvellement échoue pour une cause peu précise
3. La commande certbot -q renew échoue avec:

Challenge failed for domain foo.com
Failed to renew certificate foo.com with error: Some challenges have failed. All renewals failed. The following certificates could not be renewed:
/etc/letsencrypt/live/foo.com/fullchain.pem (failure)
1 renew failure(s), 0 parse failure(s)


Dans quelle direction chercher ?

Slts

--- SoupGate-Win32 v1.05
* Origin: fsxNet Usenet Gateway (21:1/5)

Bonjour,

Est ce que le certificat en production a déjà expiré ? Je ne suis pas sûr, mais il me semble que le challenge est utilisé quand on crée un nouveau certificat ou quand on renouvelle un certificat expiré. Il faut vérifier si le challenge est utilisé quand le certificat n'est pas encore expiré.

Dans tous les cas le challenge requiert de mettre un fichier dans ton
serveur qui sera accessible en HTTP. Tu pourrais vérifier la configuration
de Apache ou nginx. Peut-être qu'une modification a fait que le challenge n'est plus accessible.

Le mer. 7 juin 2023 à 19:12, Olivier <oza.4h07@gmail.com> a écrit :

Bonjour,

J'ai un système sous Bullseye qui héberge une appli web qui utilise un certificat Letsencrypt.
Celui-ci est basé sur un challenge http01. Il a été automatiquement renouvelé 4 fois depuis octobre 2022.
Le dernier date du 26/4/23 et si je conserve le rythme précédent, le prochain doit avoir lieu de 26/6.

Pourtant,
1. j'observe dans /var/log/letsencrypt/letsencrypt.log que mon système essaie plusieurs fois par jour de renouveler,
2. chaque renouvellement échoue pour une cause peu précise
3. La commande certbot -q renew échoue avec:

Challenge failed for domain foo.com
Failed to renew certificate foo.com with error: Some challenges have
failed.
All renewals failed. The following certificates could not be renewed:
/etc/letsencrypt/live/foo.com/fullchain.pem (failure)
1 renew failure(s), 0 parse failure(s)

Dans quelle direction chercher ?

Slts

<div dir="auto">Bonjour,<div dir="auto"><br></div><div dir="auto">Est ce que le certificat en production a déjà expiré ? Je ne suis pas sûr, mais il me semble que le challenge est utilisé quand on crée un nouveau certificat ou quand on renouvelle
un certificat expiré. Il faut vérifier si le challenge est utilisé quand le certificat n&#39;est pas encore expiré.</div><div dir="auto"><br></div><div dir="auto">Dans tous les cas le challenge requiert de mettre un fichier dans ton serveur qui sera
accessible en HTTP. Tu pourrais vérifier la configuration de Apache ou nginx. Peut-être qu&#39;une modification a fait que le challenge n&#39;est plus accessible.</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">Le mer. 7 juin
2023 à 19:12, Olivier &lt;<a href="mailto:oza.4h07@gmail.com">oza.4h07@gmail.com</a>&gt; a écrit :<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Bonjour,<br>

J&#39;ai un système sous Bullseye qui héberge une appli web qui utilise un<br>
certificat Letsencrypt.<br>
Celui-ci est basé sur un challenge http01. Il a été automatiquement<br> renouvelé 4 fois depuis octobre 2022.<br>
Le dernier date du 26/4/23 et si je conserve le rythme précédent, le<br> prochain doit avoir lieu de 26/6.<br>

Pourtant,<br>
1. j&#39;observe dans /var/log/letsencrypt/letsencrypt.log que mon système<br> essaie plusieurs fois par jour de renouveler,<br>
2. chaque renouvellement échoue pour une cause peu précise<br>
3. La commande certbot -q renew échoue avec:<br>

Challenge failed for domain <a href="http://foo.com" rel="noreferrer noreferrer" target="_blank">foo.com</a><br>
Failed to renew certificate <a href="http://foo.com" rel="noreferrer noreferrer" target="_blank">foo.com</a> with error: Some challenges have failed.<br>
All renewals failed. The following certificates could not be renewed:<br>
  /etc/letsencrypt/live/<a href="http://foo.com/fullchain.pem" rel="noreferrer noreferrer" target="_blank">foo.com/fullchain.pem</a> (failure)<br>
1 renew failure(s), 0 parse failure(s)<br>


Dans quelle direction chercher ?<br>

Slts<br>

</blockquote></div>

--- SoupGate-Win32 v1.05
* Origin: fsxNet Usenet Gateway (21:1/5)

Le 7 juin 2023 Dethegeek a écrit :

Dans tous les cas le challenge requiert de mettre un fichier dans ton
serveur qui sera accessible en HTTP. Tu pourrais vérifier la configuration de Apache ou nginx. Peut-être qu'une modification a fait que le challenge n'est plus accessible.

Normalement certbot automatise tout ça. Et la commande ne doit rien
renvoyer même si les certificats sont à jour. Mais il faut effectivement
que la conf du serveur web n'est pas bougé. Il faut vérifier qu'il n'y a
pas de redirection, que les lignes ajoutées par certbot sont bien là, que
les ports 80 et 443 sont bien disponibles. Il faut aussi que le
répertoire /etc/letsencrypt/ n'est pas été modifié. Notamment les droits des certificats.

--- SoupGate-Win32 v1.05
* Origin: fsxNet Usenet Gateway (21:1/5)

Il y a quelques semaines, j'ai utilisé la machine hébergeant l'appli
web pour la préparer à l'installation d'une autre appli web.

En supprimant d'Apache2 (avec a2dissite <autre_site_web>) cette autre
appli, le renouvellement du certificat est passé tout seul.

Merci à tous pour votre aide.

Chacun pourra retenir que la configuration Apache2 influe sur le
fonctionnement de Certbot (c'est évident pour beaucoup mais c'est
mieux en le rappelant).

--- SoupGate-Win32 v1.05
* Origin: fsxNet Usenet Gateway (21:1/5)

Le 8 juin 2023 Olivier a écrit :

Chacun pourra retenir que la configuration Apache2 influe sur le fonctionnement de Certbot (c'est évident pour beaucoup mais c'est
mieux en le rappelant).

Je lance certbot en cron.daily, ça permet d'avoir l'erreur éventuelle dès
la modif et donc de ne pas l'oublier

--- SoupGate-Win32 v1.05
* Origin: fsxNet Usenet Gateway (21:1/5)