Por que o certificado SSL não é emitido ou não renova

Este artigo ajuda a descobrir por que o painel não consegue emitir ou renovar o certificado SSL gratuito. Siga a lista na ordem: as primeiras causas respondem pela maioria dos casos que chegam ao suporte.

1. O domínio ainda não aponta para o servidor

O certificado só é emitido para nomes que respondem pelo servidor da sua hospedagem. Mensagens como "Failed HTTP Checks", "DCV" ou "não foi possível emitir" quase sempre indicam isso.

• Confira os nameservers e o IP em https://dnschecker.org/#A/seudominio.com.br.
• Se você alterou o DNS há pouco, aguarde a propagação (algumas horas, até 24 horas). O SSL é instalado automaticamente quando o domínio passa a responder pelo servidor.

2. O DNS está fora da ValueHost e faltam registros

Se o DNS está no Cloudflare, no registrador ou em outro provedor, todos os nomes incluídos no certificado precisam apontar para o IP do servidor. Os que mais faltam são:

mail
webmail
ftp
www

Crie esses registros no provedor externo ou retire do pedido os nomes que não vão apontar para a ValueHost. Criar os registros só no painel da ValueHost não adianta quando o DNS está em outro lugar.

3. Existe registro AAAA (IPv6)

A hospedagem da ValueHost não usa IPv6. Se a zona tiver um registro AAAA, a validação pode ir para outro endereço e falhar. Remova o AAAA, aguarde a propagação e tente de novo.

4. Foi pedido um certificado wildcard

O wildcard (*.seudominio.com.br) falha quando parte do domínio não responde pelo servidor. Peça o certificado só para os nomes que você usa. No DirectAdmin, nunca marque wildcard.

5. Registro CAA restritivo

Se a zona tiver registros CAA, eles precisam permitir a autoridade letsencrypt.org. Sem nenhum registro CAA, não há restrição.

6. Particularidades do painel

• DirectAdmin: mensagem "The ACME system is disabled" ou domínio vindo de um plano cPanel. Veja o artigo específico do DirectAdmin.
• cPanel: use uma única ferramenta (SSL/TLS Certificates ou Let's Encrypt) para o mesmo domínio.
• Plesk: subdomínio recém-criado pode levar algumas horas para ser reconhecido.

7. O domínio está congelado ou expirado

Se o domínio .br está congelado no Registro.br, a zona DNS deixa de funcionar e nenhum certificado é emitido. Veja o artigo sobre domínio congelado.

Sobre a renovação automática

A renovação acontece sozinha enquanto os apontamentos continuam corretos. Se você mudou o DNS para outro provedor, levou o mail para outro servidor ou ligou um proxy, a renovação seguinte pode falhar pelos mesmos motivos acima.

Se não resolver

Abra um ticket com:

• o domínio e os nomes que deveriam estar no certificado;
• o painel usado;
• a mensagem de erro completa, em texto ou captura de tela;
• onde está o DNS do domínio (ValueHost, Cloudflare ou outro).