1

TLS ACME

groales edited this page 2025-11-29 18:26:40 +01:00

Table of Contents

• TLS y ACME
• Flujo HTTP-01
• Requisitos
• Errores comunes
• Staging
• Revocación
• Multi-Dominio
• Forzar renovación manual

TLS y ACME

Flujo HTTP-01

1. Solicitud inicial de certificado.
2. Let's Encrypt envía desafío HTTP.
3. Traefik sirve el token en /.well-known/acme-challenge/ sobre puerto 80.
4. Validación correcta → emisión de certificado.
5. Renovación automática ~30 días antes de expirar.

Requisitos

• Puertos 80 y 443 abiertos.
• DNS correcto apuntando al servidor.
• Email válido para notificaciones.

Errores comunes

Problema	Causa	Acción
Timeout	Puerto 80 cerrado	Abrir en firewall/router
NXDOMAIN	DNS no propagado	Verificar registros A/AAAA
Rate limit	Demasiadas peticiones	Usar staging y espaciar
Unauthorized	Token no accesible	Revisar reverse proxy adicional

Staging

Usa staging para pruebas: evita límites y bloqueos.

certificatesResolvers:
  letsencrypt:
    acme:
      caServer: https://acme-staging-v02.api.letsencrypt.org/directory

Revocación

Si comprometes una clave privada, genera nueva y deja expirar el anterior; la revocación rara vez es necesaria.

Multi-Dominio

Con labels múltiples:

- "traefik.http.routers.app.rule=Host(`app1.tu.com`,`app2.tu.com`)"

Un único certificado SAN.

Forzar renovación manual

No suele ser necesario. Eliminar entrada de acme.json concreta (avanzado) → Traefik solicitará de nuevo.

---

Última actualización: Nov 2025