Eine fehlgeschlagene Domainvalidierung hat fast immer eine konkrete technische Ursache: nicht erreichbare E-Mail-Adresse, falsch abgelegter Validierungs-Token, blockierender DNS-CAA-Record, Caching oder ein abgelaufener Bestätigungslink. Welche Fehlerquelle in Frage kommt, hängt vom gewählten Validierungsverfahren ab.
Die Domain-Validierung kennt drei Verfahren — E-Mail, HTTP und DNS. Die häufigsten Ursachen für Fehlversuche, sortiert nach Verfahren:
| Verfahren | Häufige Fehlerursache | Lösung |
|---|---|---|
Keine der fünf zulässigen Adressen (admin, administrator, webmaster, hostmaster, postmaster) eingerichtet |
Alias anlegen oder auf DNS-/HTTP-Validierung wechseln | |
| Bestätigungsmail im Spam-Ordner oder durch Filter abgewiesen | Spam prüfen, Absender (z.B. noreply@sectigo.com) freischalten |
|
| Bestätigungslink abgelaufen | Validierung im Kundenbereich neu anstoßen | |
| HTTP | Datei nicht unter http://meine-domain.de/.well-known/pki-validation/ erreichbar |
Verzeichnis und Datei prüfen, kein automatisches Redirect auf HTTPS einrichten |
| HTTP | HTTP-zu-HTTPS-Weiterleitung blockiert die Validierung | Ausnahme für /.well-known/pki-validation/ setzen oder DNS-Validierung wählen |
| HTTP | WAF, CDN oder Bot-Schutz blockiert die CA-Anfrage | Pfad /.well-known/ in der Firewall freigeben |
| DNS | TXT-Record noch nicht propagiert | TTL niedrig setzen (z.B. 60 Sekunden), 5–15 Minuten warten, mit dig prüfen |
| DNS | Falscher Recordname oder zusätzliche Anführungszeichen im Wert | Vorgaben der CA exakt übernehmen, Hosting-Panel-Ausgabe per Kommandozeile gegenprüfen |
| DNS | DNSSEC-Konfiguration fehlerhaft | DNSSEC-Status mit dig +dnssec prüfen, ggf. mit Provider klären |
| Alle Verfahren | CAA-Record erlaubt die ausstellende CA nicht | CAA-Record anpassen oder entfernen — siehe unten |
Der CAA-Record ist eine häufig übersehene Ursache. Er legt fest, welche Zertifizierungsstellen für eine Domain überhaupt ausstellen dürfen. Ist die ausgewählte CA dort nicht freigegeben, wird die Validierung selbst bei korrektem Token abgewiesen.
So prüfen Sie den CAA-Record:
dig CAA meine-domain.de
Ein gültiger Eintrag für Sectigo-Zertifikate sähe etwa so aus:
meine-domain.de. IN CAA 0 issue "sectigo.com"
Praktische Schritt-für-Schritt-Diagnose:
dig TXT _acme-challenge.meine-domain.de abfragen.Bei wiederkehrenden Fehlversuchen blockieren manche CAs die Domain temporär. Lösen Sie die Validierung in solchen Fällen erst nach Behebung der Ursache erneut aus, statt sie mehrfach hintereinander zu starten.