Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

トラブルシューティング

最終更新 Markdown で表示Agent セットアップ

証明書が Pending Validation のまま進まない、または発行に失敗する場合、認証局（CA） が ドメイン制御検証（DCV） を完了できていないことがあります。このページでは、よくある DCV の問題を特定して解決します。

クイックチェックリスト

このチェックリストで、よくある DCV の問題を確認します。

検証 URL のブロック

HTTP DCV を使っているときに問題が起きた場合は、次の設定を確認してください。

  • /.well-known/* に影響するもの: WAF カスタムルール、IP Access Rules、その他の Configuration Rules を確認し、検証 URL にインタラクティブチャレンジを 有効にしない ようにします。

  • Workers routes: Workers routes が */* に一致している、または /.well-known/pki-validation/* や /.well-known/acme-challenge/* を含むパスに一致している場合、Worker が認証局からの DCV リクエストを横取りすることがあります。これらのパスへのリクエストを通過させるか、一致しないようにしてください。これは、フォールバックオリジンとして Worker を使う Cloudflare for SaaS ゾーンで特に重要です。

  • Cloudflare のアカウント設定 と Page Rules: アカウント設定、Configuration Rules、Page Rules を確認し、検証 URL で Under Attack mode を有効にしていないことを確かめてください。

リダイレクト

Always Use HTTPS を有効にしても、検証プロセスには影響しません。

部分（CNAME）セットアップ でトークンをオリジン側で管理している場合は、/.well-known/* パスで HTTP から HTTPS へのリダイレクトが起きないようにしてください。

Redirect Rules を使うときは、次の条件をルールに追加して、/.well-known/* パスをリダイレクトから除外します。

not starts_with(http.request.uri.path, "/.well-known/")

たとえば、すべての HTTP トラフィックを HTTPS へリダイレクトするルールがある場合は、ルール式を次のように変更します。

(http.request.scheme eq "http") and not starts_with(http.request.uri.path, "/.well-known/")

DNS 設定とレコード

次のエラーは、権威 DNS プロバイダー側で対処する必要があります。

  • the Certificate Authority had trouble performing a DNS lookup: dns problem: looking up caa for <hostname>: dnssec: bogus
  • Certificate authority encountered a SERVFAIL during DNS lookup, please check your DNS reachability.

トラブルシューティングでは、次の点を確認してください。

  • DNSSEC ↗ が正しく設定されている必要があります。DNSSEC の導入状況の把握と切り分けには DNSViz ↗ を使えます。
  • HTTP 検証はできれば IPv6 で行われます。そのため、AAAA レコードがあり、A レコードと同じデュアルスタックの場所を指していない場合、検証は失敗します。
  • ホスト名またはその親に NS レコード がある場合、DNS 解決は NS ターゲットで指定した DNS プロバイダーが外部で管理します。この場合は、外部の DNS プロバイダーに DCV の TXT レコードを追加するか、Cloudflare 側の NS レコードを削除してください。

CAA レコード

  • CAA レコード は、すべての場所から解決できる必要があります。
  • CAA レコード は、Cloudflare のパートナー 認証局（CA） が代わりに証明書を発行できるようにする必要があります。
  • サブドメインセットアップ（subdomain.example.com）を使っていて、親ドメイン（example.com）の権威 DNS プロバイダーが Cloudflare でない場合は、親ドメイン（example.com）に Cloudflare のパートナー CA を許可する CAA レコードがあるか、CAA レコードがまったくないことを確認してください。

CAA レコードは、次のコマンドで確認できます。

dig example.com CAA +short
Resolve-DnsName -Name example.com -Type CAA

認証局（CA）のエラー

認証局（CA） は、SSL/TLS 証明書を発行する組織です。Cloudflare は複数の CA と提携し、ドメイン向けの証明書を提供します。

レート制限

認証局 で述べたとおり、CA によっては独自の制限があります。Let’s Encrypt を使っていて次のエラーが出た場合は、Let's Encrypt が定める 重複証明書の上限 ↗ に達しています。

The authority has rate limited these domains. Please wait for the rate limit to expire or try another authority.

証明書が以前の証明書と重複していると見なされるのは、ホスト名の集合が完全に同じ場合です。

この場合は、レート制限の期間が終わるまで待つか、別の認証局を選びます。

The authority has rate limited these domains. Please wait for the rate limit to expire or try another authority と表示される場合、最近のリクエストが多すぎるため、認証局がドメインへの証明書発行を一時的にブロックしています。

レート制限の期間は CA によって異なります。

対処: レート制限の期間が終わるまで待つか、別の CA を選びます。

CAA レコードが発行をブロックする

エラー CAA records block issuance. Please remove all CAA records or add records for this authority は、ドメインの CAA レコード が、選んだ認証局による証明書発行を許可していないことを示します。

対処: ドメインから CAA レコードをすべて削除するか、Cloudflare のパートナー認証局 を明示的に許可する CAA レコードを追加します。

複数視点検証のエラー

認証局は特定の攻撃を防ぐため、複数の地理的な場所からドメイン検証を行います。次のいずれかのエラーが出ることがあります。

  • Certificate authority encountered a multiple perspective CAA check error, please ensure your DNS is configured to allow CAA queries from all geographic perspectives
  • Certificate authority was unable to verify domain ownership from multiple geographic locations (MPIC failure). Please ensure your DNS records are reachable from all geographic perspectives and try again.

対処: DNS レコード（CAA レコードを含む）が、すべての地理的な場所から一貫して解決できるようにしてください。解決エラーの調査には ping.pe ツール ↗ を使えます。たとえば Google Trust Services の証明書では、<hostname>:CAA:8.8.8.8 を確認します。

認証局のドキュメントも参照してください。SSL.com ↗、Let's Encrypt ↗、Google Trust Services ↗ です。

DNS ルックアップエラー

エラー the Certificate Authority had trouble performing a DNS lookup は、CA がドメインの DNS レコードを解決できなかったことを示します。よくある原因は、SERVFAIL 応答、NXDOMAIN、DNSSEC 検証の失敗です。

対処: DNS レコードが正しく設定され、解決できることを確認してください。DNSSEC の問題確認には DNSViz ↗ などのツールを使い、権威ネームサーバーが正しく応答していることも確かめてください。

拒否された識別子

エラー The certificate authority will not issue for this domain. Please check your input or try another authority は、CA のポリシーにより、そのドメインへの証明書発行ができないことを意味します。

対処: ドメイン名のスペルが正しいこと、CA の発行ポリシーに違反していないことを確認してください。ドメインが有効なら、別の CA を選んでみてください。

内部エラー

Internal error with Certificate Authority. Please check later と表示される場合、認証局が検証中に一時的な問題に遭遇しています。

対処: 数分待ってから再試行してください。問題が続く場合は、別の CA を選んでみてください。Cloudflare は 検証のバックオフスケジュール に従って、検証を自動で再試行します。

役に立ちましたか？