Fehler beim erstellen eines Let's Encrypt Zertifikans für mty-sts

seppelchen

Ich versuchen mich seit ein paar Tagen einen Mailcow Server einzurichten. Soweit habe ich auch alle hinbekommen, nur das Zertifikat über Let’s Encrypt will nicht. Hier mal der LOG:

acme-mailcow-1 | Wed Jun 3 16:35:27 CEST 2026 - Waiting for Docker API... acme-mailcow-1 | Wed Jun 3 16:35:27 CEST 2026 - Docker API OK acme-mailcow-1 | Wed Jun 3 16:35:27 CEST 2026 - Waiting for Postfix... acme-mailcow-1 | Wed Jun 3 16:35:27 CEST 2026 - Postfix OK acme-mailcow-1 | Wed Jun 3 16:35:27 CEST 2026 - Waiting for Dovecot... acme-mailcow-1 | Wed Jun 3 16:35:27 CEST 2026 - Dovecot OK acme-mailcow-1 | Wed Jun 3 16:35:27 CEST 2026 - Waiting for database... acme-mailcow-1 | Wed Jun 3 16:35:27 CEST 2026 - Database OK acme-mailcow-1 | Wed Jun 3 16:35:27 CEST 2026 - Waiting for Nginx... acme-mailcow-1 | Wed Jun 3 16:35:27 CEST 2026 - Nginx OK acme-mailcow-1 | Wed Jun 3 16:35:27 CEST 2026 - Waiting for resolver... acme-mailcow-1 | Wed Jun 3 16:35:28 CEST 2026 - Resolver OK acme-mailcow-1 | Wed Jun 3 16:35:28 CEST 2026 - Waiting for domain table... acme-mailcow-1 | OK acme-mailcow-1 | Wed Jun 3 16:35:28 CEST 2026 - Initializing, please wait... acme-mailcow-1 | Could not find certificate from <stdin> acme-mailcow-1 | Could not find certificate from <stdin> acme-mailcow-1 | Wed Jun 3 16:35:28 CEST 2026 - Using existing domain rsa key /var/lib/acme/acme/key.pem acme-mailcow-1 | Wed Jun 3 16:35:28 CEST 2026 - Using existing Lets Encrypt account key /var/lib/acme/acme/account.pem acme-mailcow-1 | Wed Jun 3 16:35:28 CEST 2026 - Detecting IP addresses... acme-mailcow-1 | Wed Jun 3 16:35:37 CEST 2026 - OK: 123.456.123.456, 0000:0000:0000:0000:0000:0000:0000:0000 acme-mailcow-1 | Wed Jun 3 16:35:37 CEST 2026 - Found A record for autodiscover.meinefirma.de: 123.456.123.456 acme-mailcow-1 | (skipping check, returning 0) acme-mailcow-1 | Wed Jun 3 16:35:37 CEST 2026 - Confirmed A record 123.456.123.456 acme-mailcow-1 | Wed Jun 3 16:35:38 CEST 2026 - Found A record for autoconfig.meinefirma.de: 123.456.123.456 acme-mailcow-1 | (skipping check, returning 0) acme-mailcow-1 | Wed Jun 3 16:35:38 CEST 2026 - Confirmed A record 123.456.123.456 acme-mailcow-1 | Wed Jun 3 16:35:38 CEST 2026 - Found A record for mta-sts.meinefirma.de: 123.456.123.456 acme-mailcow-1 | (skipping check, returning 0) acme-mailcow-1 | Wed Jun 3 16:35:38 CEST 2026 - Confirmed A record 123.456.123.456 acme-mailcow-1 | Wed Jun 3 16:35:38 CEST 2026 - Found A record for mail.meinefirma.de: 123.456.123.456 acme-mailcow-1 | (skipping check, returning 0) acme-mailcow-1 | Wed Jun 3 16:35:38 CEST 2026 - Confirmed A record 123.456.123.456 acme-mailcow-1 | Wed Jun 3 16:35:38 CEST 2026 - Certificate /var/lib/acme/mail.meinefirma.de/cert.pem missing or changed domains 'mail.meinefirma.de autoconfig.meinefirma.de autodiscover.meinefirma.de mta-sts.meinefirma.de' - start obtaining acme-mailcow-1 | Wed Jun 3 16:35:38 CEST 2026 - Creating backups in /var/lib/acme/backups/mail.meinefirma.de/2026-06-03_16_35_38 ... acme-mailcow-1 | Wed Jun 3 16:35:38 CEST 2026 - Checking resolver... acme-mailcow-1 | Wed Jun 3 16:35:38 CEST 2026 - Resolver OK acme-mailcow-1 | Wed Jun 3 16:35:38 CEST 2026 - Using command acme-tiny --account-key /var/lib/acme/acme/account.pem --disable-check --csr /var/lib/acme/mail.meinefirma.de/acme.csr --acme-dir /var/www/acme/ acme-mailcow-1 | Parsing account key... acme-mailcow-1 | Parsing CSR... acme-mailcow-1 | Found domains: autoconfig.meinefirma.de, mta-sts.meinefirma.de, mail.meinefirma.de, autodiscover.meinefirma.de acme-mailcow-1 | Getting directory... acme-mailcow-1 | Directory found! acme-mailcow-1 | Registering account... acme-mailcow-1 | Already registered! Account ID: https://acme-v02.api.letsencrypt.org/acme/acct/3398635676 acme-mailcow-1 | Creating new order... acme-mailcow-1 | Order created! acme-mailcow-1 | Already verified: autoconfig.meinefirma.de, skipping... acme-mailcow-1 | Already verified: autodiscover.meinefirma.de, skipping... acme-mailcow-1 | Already verified: mail.meinefirma.de, skipping... acme-mailcow-1 | Verifying mta-sts.meinefirma.de... acme-mailcow-1 | Traceback (most recent call last): acme-mailcow-1 | File "/usr/bin/acme-tiny", line 8, in <module> acme-mailcow-1 | sys.exit(main()) acme-mailcow-1 | ^^^^^^ acme-mailcow-1 | File "/usr/lib/python3.12/site-packages/acme_tiny.py", line 195, in main acme-mailcow-1 | signed_crt = get_crt(args.account_key, args.csr, args.acme_dir, log=LOGGER, CA=args.ca, disable_check=args.disable_check, directory_url=args.directory_url, contact=args.contact, check_port=args.check_port) acme-mailcow-1 | ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ acme-mailcow-1 | File "/usr/lib/python3.12/site-packages/acme_tiny.py", line 153, in get_crt acme-mailcow-1 | raise ValueError("Challenge did not pass for {0}: {1}".format(domain, authorization)) acme-mailcow-1 | ValueError: Challenge did not pass for mta-sts.meinefirma.de: {'identifier': {'type': 'dns', 'value': 'mta-sts.meinefirma.de'}, 'status': 'invalid', 'expires': '2026-06-10T14:35:40Z', 'challenges': [{'type': 'http-01', 'url': 'https://acme-v02.api.letsencrypt.org/acme/chall/3398635676/715612328656/xfUzkw', 'status': 'invalid', 'validated': '2026-06-03T14:35:45Z', 'error': {'type': 'urn:ietf:params:acme:error:unauthorized', 'detail': '123.456.123.456: Invalid response from http://mta-sts.meinefirma.de/.well-known/acme-challenge/Q-NeZaD2jXCNAZjZDJwWHdlcM1_A0wHVdLSO_KWYuKc: 503', 'status': 403}, 'token': 'Q-NeZaD2jXCNAZjZDJwWHdlcM1_A0wHVdLSO_KWYuKc', 'validationRecord': [{'url': 'http://mta-sts.meinefirma.de/.well-known/acme-challenge/Q-NeZaD2jXCNAZjZDJwWHdlcM1_A0wHVdLSO_KWYuKc', 'hostname': 'mta-sts.meinefirma.de', 'port': '80', 'addressesResolved': ['123.456.123.456'], 'addressUsed': '123.456.123.456'}]}]} acme-mailcow-1 | Wed Jun 3 16:35:46 CEST 2026 - Failed to obtain certificate /var/lib/acme/mail.meinefirma.de/cert.pem for domains 'mail.meinefirma.de autoconfig.meinefirma.de autodiscover.meinefirma.de mta-sts.meinefirma.de' acme-mailcow-1 | OK acme-mailcow-1 | Wed Jun 3 16:35:46 CEST 2026 - Some errors occurred, retrying in 30 minutes... acme-mailcow-1 | OK
Wie man ober sehen kann, wird mta-sts.meinefirma.de auch richtig aufgelöst. DNS Einträge sind alle gemacht (_mta-sts; smtp.tls; ….), A-Record zu mty.sts.mein.. ebenfalls erstellt - wird ja auch aufgelöst, MX einräge auch OK, Mails kommen an und gehen raus.

Reverse-Proxy konfiguriert, Server ist von Außen über port 80,443 auf mail.; autodiscover.; autoconfig. und mta-sts erreichbar, wenn auch mit Zertifikatsfehler.

Es wurde einmalig zwar ein Zertifikat erzeugt, aber nur für die Sub-Domail mail.meinefirma.de.

Die mta-sts Daten ist unter https://mta-sts.meinefirma.de/.well-known/mta-sts.txt erreichbar mit folgenden Inhalt:
version: STSv1 mode: enforce max_age: 15552000 mx: mail.meinefirma.de

Das Problem scheint die Sub-Domain “mta-sts.meinefirma.de” zu sein, was ich so jetzt nicht nachvollziehen kann.

Hat vielleicht jemand eine Lösung hierfür?

Vielen Dank vorab!!!

LG
Seppelchen

DocFraggle

seppelchen Reverse-Proxy konfiguriert

Ich würde mal direkt hier den schuldigen Part suchen…

Letsencrypt versucht via Port 80 auf http://mta-sts.meinefirma.de/.well-known/acme-challenge/Q-NeZaD2jXCNAZjZDJwWHdlcM1_A0wHVdLSO_KWYuKc zuzugreifen, bekommt aber einen 403 (=Access denied) Fehler

seppelchen

mhh, ok? Dieser Pfad wurde bei der Installation erstellt, also nichts manuelles, somit wüsste ich jetzt nicht, wie ich da Zugriff gewähren könnte.
Bin leider nicht wirklich affin, was das angeht.

Mit chmod lässt sich da wohl eher nix machen, oder?

DocFraggle

seppelchen Das hat rein gar nichts mit Datei oder Verzeichnisrechten zu tun, Dein Reverse Proxy muss das analog den anderen Subdomains durchlassen

seppelchen

Das hat rein gar nichts mit Datei oder Verzeichnisrechten zu tun

Eben, deshalb meine Vermutung dass das mit chmod nicht zu lösen ist.
Aber dein Tip mit dem reverse-Proxy war entscheidend: Zwar waren die Einträge alle richtig (fast), hatte mich verschrieben in der Sub-Domain, mta-tst statt mta-sts.

Jetzt läufts, Vielen Dank!!!