Certificat Let's Encrypt via Certbot

[Calak]

Bonjour à tous, 

J'ai un petit soucis et j'aurais aimé vos avis. Je ne savais pas trop où poster, car mon  problèmes est lié à deux tuto d'ici (et un de forum-nas) mais je pense qu'ils n'en sont pas la cause.

Il y a quelques jours, j'ai mis en place le script acme.sh hors docker (merci @oracle  😉 ) sans vraiment avoir rencontré de difficultés. 

Par contre, avançant dans la mise en place de mes services, j'aurais aimé installer swag, et donc passer à certbot.

Lorsque je lance le "docker-compose up -d", dans les logs, j'obtiens une erreur liée à certbot, qui est la même quand je lance la commande directement d'ailleurs :

$ sudo docker exec -it swag certbot certonly -v
..
....
..
Select the appropriate number [1-40] then [enter] (press 'c' to cancel): 31
Plugins selected: Authenticator dns-ovh, Installer None
Please enter the domain name(s) you would like on your certificate (comma and/or
space separated) (Enter 'c' to cancel): mon-domaine.net *.mon-domaine.net
Requesting a certificate for mon-domaine.net and *.mon-domaine.net
Performing the following challenges:
dns-01 challenge for mon-domaine.net
dns-01 challenge for mon-domaine.net
Input the path to your OVH credentials INI file (Enter 'c' to cancel): /config/dns-conf/ovh.ini
Cleaning up challenges
Error determining zone identifier for mon-domaine.net: 403 Client Error: Forbidden for url: https://eu.api.ovh.com/1.0/domain/zone/. (Are your Application Key and Consumer Key values correct?)
Ask for help or search for solutions at https://community.letsencrypt.org. See the logfile /var/log/letsencrypt/letsencrypt.log or re-run Certbot with -v for more details.

 

Lorsque je vérifie

$ sudo docker exec -it swag more config/dns-conf/ovh.ini

J'ai bien les dns_ovh_endpoint, dns_ovh_application_key, dns_ovh_application_secret et dns_ovh_consumer_key qui sont configurés correctement.

 

Si j'inspecte le fichier "/var/log/letsencrypt/letsencrypt.log", j'ai juste avant les premières erreurs, au niveau de la réponse reçue: 

  "status": "pending",
  "expires": "2022-12-17T19:37:44Z",

 

Pensant que j'étais arrivé, malgré moi, au nombre de renouvellement max hebdomadaire, pour confirmer, j'ai tenté de regénérer un certificat sur acme.sh.

 

Si je suis arrivé au quota, letsencrypt m'enverra paitre là aussi. Testons...

sudo python /volume1/Certs/scripts/renew.py -f -l mon-domaine.net

Ca fonctionne. Par contre, il n'a pas eu a faire les vérifications dns-01 puisque mon domaine et son wildcard avaient déjà été vérifiés. Il m'a juste généré un nouveau certificat.

 

Vous savez si le fait d'avoir un certificat quelque part empêche d'en générer un ailleurs?

Auriez vous une illumination sur les raisons possible de mon problème?

 

Merci à vous 🙂

 

Modifié le 10 décembre 2022 par Calak

[Calak]

Ok, je me déteste......

Il manquant l'accès à la racine de la zone DNS ( /domain/zone/ ) dans ma requête.

Le moment dans les échanges où l'api d'ovh me refusait l'accès me paraissait étrange... Du coup j'ai vérifié mon URL générée.

Alors forcément, sans cette zone dans les authorisations, ça marche moins bien.

 

Désolé du dérangement 😛

 

Modifié le 11 décembre 2022 par Calak