Schneller Webspace, Domain & E-Mail:
Schneller Webserver mit PHP/MySQL.

Symptom

Das Let’s Encrypt SSL-Zertifikat kann mit einem Fehler 403 nicht erstellt werden oder die Verlängerung der Zertifikate scheitert mit einem Fehler 403, obwohl das Zertifikat vormals problemfrei erstellt wurde.

Ursache

Zum Erstellen oder Verlängern von Zertifikat schreibt Let’s Encrypt eine Token-Datei in das Verzeichnis /.well-known/acme-challenge. Dieser Token wird über das Internet abgerufen. Damit wird bestätigt, dass der Host, der das Zertifikat einrichten möchte, auch wirklich die Domain betreibt, für die das Zertifikat ausgestellt werden soll.

Sie verwenden eine Software oder ein Plugin zu einer Software, dass suchmaschinenfreundliche URLs mit modRewrite Rewrite-Regeln in der .htacces-Datei erzeugt. Dadurch werden aber auch alle Aufrufe von Dateien im /.well-known/acme-challenge-Pfad umgeleitet, so dass die dort abgelegten wichtigen Dateien für technische Zwecke einschließlich der SSL-Token für die Erneuerung von SSL-Zertifikaten nicht mehr erreichbar sind.

Folglich gibt die Website einen „403 Zugriff verweigert“-Fehler zurück, wenn Let’s Encrypt den Token bestätigen möchte.

Lösung

Um den Zugriff auf den Token zu ermöglichen, müssen Sie das /.well-known/acme-challenge-Verzeichnis von allen Rewrite-Regeln ausschließen. Dazu fügen Sie folgende drei Zeilen an den Anfang (wichtig!) Ihrer .htaccess-Datei ein:

RewriteEngine On
RewriteCond %{REQUEST_URI} ^/.well-known/acme-challenge [NC]
RewriteRule .* - [L]

Diese drei Zeilen bewirken, dass immer dann, wenn eine Datei aus dem Pfad /.well-known/acme-challenge abgerufen wird, keine weiteren Rewrite-Regeln verarbeitet werden. Damit bleiben Dateien in diesem Pfad auch dann verfügbar, wenn nachfolgende Rewrite-Regeln den Web-Aufruf eigentlich auf einen anderen Pfad oder eine Datei umleiten oder deren Abruf blockieren würden.

Übersicht häufig gestellter Fragen