Letsencrypt error 429

Generally, the Let’s encrypt new auth status 429 error occurs when too many certificates are created for a domain on a specific period of time. As a result, it exceeds the Let’s Encrypt’s rate limit on limit Certificates per Registered Domain.

As a part of our Server Management Services, we help our Customers to fix SSL related errors regularly.

Today, let’s discuss the possible causes and fixes for this error.

What causes the Let’s encrypt new auth status 429?

Let’s Encrypt has a limit for the number of certificates requests that we can place per domain name known as  ‘Certificates per Registered Domain’. For a single domain, this is set as 50 per week. Since this limit is per each registered domain. ie, a request for www.example.com and test.example.com will be counted against example.com itself. Exceeding the Certificates Per Registered Domain limit commonly triggers Let’s encrypt new auth status 429 error.

In case, if there is a lot of subdomains, we can combine them into a single certificate, up to a limit of 100 Names per Certificate. Considering the above limit, that means we can issue certificates containing up to 5,000 unique subdomains per week. A certificate with multiple names is called a SAN certificate, or sometimes a UCC certificate.

The most common rate limit of 50 certificates per domain per 7 days in a place that is set by Let’s Encrypt. Let’s Encrypt directly defines this limit.

Also, there are two other limits:

• User can create a maximum of 10 Accounts per IP Address per 3 hours.
• User can create a maximum of 500 Accounts per IP Range within an IPv6 /48 per 3 hours.

For instance, the error appears as below.

How we resolve the let’s encrypt new auth status 429 error

Now let’s take a look at the suggestions our Support Engineers provide to get rid of this error.

1. In order to reset the limits, we add a new alias to the domain and re-issue the SSL Let’s Encrypt certificate

2. Wait for the time period to pass and reissue the certificate

[Need any further assistance with Let’s Encrypt errors? We can help you]

Conclusion

In short, this 429 error occurs due to creation of multiple certificates for a domain. Today, we saw the suggestions our Support Engineers provide to overcome this error message.

1. 20.09.2016, 06:55

   
   

   #1

   

   
   Junior Member
   

   ---

   Регистрация

   20.09.2016

   Сообщений

   5

   Не удается получить сертификат Let’s Encrypt
   

   При попытке получения сертификата Let’s Encrypt для любого домена через некоторое время возникает ошибка 429.

   Журнал событий

   Код:

   Запрос на выдачу нового сертифика завершился неудачей
   return code:429
   Details:Error creating new cert :: Too many certificates already issued for exact set of domains: домен.ру,www.домен.ру

   ---

2. 20.09.2016, 13:05

   
   

   #2

   

   
   Senior Member
   

   ---

   Регистрация

   09.04.2013

   Адрес

   Москва

   Сообщений

   2,103

   

   
   

   У lets encrypt есть ограничения на количество выпусков сертификата за промежуток времени

   В ошибке это указано
   5 сертификатов за 7 дней
   Это касается одного домена

   ---

3. 20.09.2016, 16:06

   
   

   #3

   

   
   Junior Member
   

   ---

   Регистрация

   20.09.2016

   Сообщений

   5

   ---

4. 21.09.2016, 00:40

   
   

   #4

   

   
   Senior Member
   

   ---

   Регистрация

   09.04.2013

   Адрес

   Москва

   Сообщений

   2,103

   

   ---

5. 21.09.2016, 01:29

   
   

   #5

   

   
   Junior Member
   

   ---

   Регистрация

   20.09.2016

   Сообщений

   5

   
   

   Я тоже так думаю. Но вот как понять — в чем же проблема с доставкой?

   ---

6. 21.09.2016, 01:35

   
   

   #6

   

   
   Junior Member
   

   ---

   Регистрация

   20.09.2016

   Сообщений

   5

   
   

   Вот пример полного лога

   Код:

   2016-09-20 01:07:38
   Процесс получения сертификата начат
   2016-09-20 01:14:02
   Попытка регистрации
   2016-09-20 01:14:03
   Учетная запись существует
   2016-09-20 01:14:03
   Попытка авторизации
   2016-09-20 01:14:05
   Авторизация успешна для домена
   for domain домен.ру
   2016-09-20 01:14:06
   Авторизация успешна для домена
   for domain www.домен.ру
   2016-09-20 01:14:06
   Начало процедуры подтверждения владения доменом
   2016-09-20 01:14:06
   Токен для проверки создан
   2016-09-20 01:14:07
   Запрос для проверки владения доменом успешно отправлен. Ожидание подтверждения.
   2016-09-20 01:14:07
   Проверка владения доменом прошла успешно
   2016-09-20 01:14:07
   Начало процедуры подтверждения владения доменом
   2016-09-20 01:14:07
   Токен для проверки создан
   2016-09-20 01:14:08
   Запрос для проверки владения доменом успешно отправлен. Ожидание подтверждения.
   2016-09-20 01:14:09
   Проверка владения доменом прошла успешно
   2016-09-20 01:14:09
   Отправка запроса на выдачу нового сертификата

   А потом ошибка 429. Пытался получить сертификат для свежезареганного домена.

   ---

7. 21.09.2016, 03:14

   
   

   #7

   

   
   Senior Member
   

   ---

   Регистрация

   09.04.2013

   Адрес

   Москва

   Сообщений

   2,103

   

   
   

   логи панели в этот момент нужно смотреть наверное

   ---

8. 21.09.2016, 04:35

   
   

   #8

   

   
   Junior Member
   

   ---

   Регистрация

   20.09.2016

   Сообщений

   5

   
   

   Порылся в логах панели.

   Вот этот кусок кажется подозрительным:

   Код:

   Sep 20 23:26:03 [26408:11691] sslcert [1;33mDEBUG plugin_letsencrypt.cpp:972 Acme response '{
     "type": "urn:acme:error:malformed",
     "detail": "Registration key is already in use",
     "status": 409
   }

   ---

9. 22.09.2016, 14:32

   
   

   #9

   

   
   Senior Member
   

   

   ---

   Регистрация

   16.05.2014

   Сообщений

   1,557

   
   

   Напишите в поддержку с доступами.

   ---

10. 27.09.2016, 12:42

    
    

    #10

    

    
    Senior Member
    

    

    ---

    Регистрация

    27.08.2008

    Адрес

    MGNHost.ru

    Сообщений

    3,277

    

    
    

    Аналогичная проблема у одного из клиентов, только в конце выдаёт код 400:

    Код:

    return code:400
    Details:Error creating new cert :: policy forbids issuing for: *.domain.ru

    ---

Что такое SSL-сертификат и зачем он нужен?

SSL-сертификат (TLS-сертификат) – это специальный цифровой документ, который связывает между собой криптографический ключ и информацию о сайте, для которого он был выпущен. Наличие SSL-сертификата, выпущенного доверенным центром сертификации, является обязательным условием для установления безопасного соединения между сервером и клиентами по протоколу HTTPS.

SSL-сертификат обеспечивает защиту личной информации, позволяет шифровать данные, передаваемые между браузером и сервером, гарантируя сохранность персональной информации пользователей.

Существует несколько разновидностей SSL-сертификатов, различающихся степенью глубины проверки данных о владельце сайта. Из-за того, что такие SSL-сертификаты являлись платными, их достаточно редко использовали для небольших сайтов, домашних страниц, личных блогов и т.п. В результате, большая часть сайтов в интернете не использовала защищенные протоколы для связи с клиентами.

К счастью, на текущий момент, благодаря Let’s Encrypt, у владельцев сайтов появилась возможность совершенно бесплатно и автоматически выпускать SSL-сертификат для своего сайта и перейти на использование защищенного протокола HTTPS.

Let’s Encrypt – это некоммерческий центр сертификации, предоставляющий сертификаты для 260 миллионов сайтов. Let’s Encrypt занимается выпуском сертификатов, поддерживаемых современными браузерами (полный их список доступен на официальном форуме поддержки Let’s Encrypt). Подробную информацию о совместимости сертификатов можно найти здесь.

Мы считаем, что каждый сайт должен работать через SSL, поэтому сделали установку сертификатов простой и быстрой. Наши пользователи могут защитить свои домены с помощью бесплатного SSL-сертификата, который зашифрован 256-битным симметричным ключом, автоматически устанавливается и обновляется. На VPS сертификат устанавливается вручную либо через сторонние панели. Подробные инструкции по установке представлены ниже.

Стандартный сертификат защищает домен и до 39 поддоменов, а Wildcard используется для сайтов с большим или динамическим числом поддоменов. Сертификаты Let’s Encrypt можно устанавливать на домены в зоне .РФ или кириллические домены в любой другой зоне. Среди ключевых достоинств сертификатов от Let’s Encrypt – легкость получения и надежность (сертификат бесплатный, однако степень шифрования не уступает платным аналогам).

В Let’s Encrypt можно получить бесплатный SSL‑сертификат сроком действия в 90 дней. Для получения такого сертификата необходимо подтвердить факт владения доменом с использованием протокола аутентификации ACME (Automated Certificate Management Environment), согласно которому к веб-серверу, запросившему выпуск сертификата, производится серия запросов для валидации домена. После выполнения этой процедуры владельцу домена выдается SSL-сертификат, который следует установить и настроить на своем сервере.

Мы подготовили простые инструкции, которые позволят вам выпустить бесплатный SSL-сертификат и настроить его автоматическое обновление для веб-серверов Nginx, Apache и панели управления VestaCP, в зависимости от того, что вы используете на своем виртуальном сервере.

Выпуск и настройка сертификата для панели управления VestaCP

VestaCP – это панель управления с открытым исходным кодом, которая может использоваться для управления сайтами, учетными записями электронной почты, FTP и т. д. Интерфейс VestaCP позволяет добавлять новые сайты и домены, прямо из панели работать с почтой, создавать резервные копии и добавлять SSL‑сертификаты.

Поддержка Let’s Encrypt доступна в VestaCP из коробки.

Для выпуска и установки сертификата вы можете отметить дополнительные опции сразу при добавлении домена в разделе WEB панели VestaCP:

Или отредактировать настройки домена в разделе WEB, выбрав опции поддержки SSL уже после добавления:

Выпуск и автоматическая установка сертификата занимают до 5 минут. После этого данные SSL-сертификата будут доступны также в настройках домена.

Помимо этого, при установке добавляется cron-задание для автоматического обновления сертификатов, истекающих через 30 и менее дней. Проверить это можно в разделе CRON панели VestaCP:

Решение возможных проблем

Error: Let’s Encrypt validation status 400

• Убедитесь, что ваше доменное имя было введено правильно.
• При использовании АААА записей убедитесь, что в DNS присутствуют также записи типа А.
• Убедитесь, что записи DNS типа A для этого домена и www-поддомена содержат правильный IP-адрес (адрес текущего VPS сервера).
• Убедитесь, что в конфигурационном файле NGINX отсутствует 301-й редирект на HTTPS (для выпуска или перевыпуска сертификата домен должен быть доступен по HTTP).

Error: LetsEncrypt challenge request 429

• Попробуйте удалить домен из панели VestaCP и добавить его снова, после чего повторить попытку выпуска сертификата.
• Повторите попытку выпуска сертификата через 1 час.

Выпуск и настройка сертификата для веб-серверов Apache и Nginx

В случае использования веб-сервера без панели управления выпуск, дальнейшее обновление сертификата и настройку веб-сервера удобно будет выполнять при помощи Certbot.

Certbot — это клиент протокола ACME, который устанавливается на конечном сервере и используется для запроса сертификата, валидации домена, установки сертификата и дальнейшего автоматического продления сертификатов от Let’s Encrypt. Для получения сертификатов у Certbot есть несколько плагинов, которые делятся на два типа — аутентификаторы и установщики.

Аутентификатор используется только для получения сертификатов — он проверяет, что вы имеете доступ к домену, для которого запрашиваете сертификат, получает сертификат для указанного домена и помещает файлы сертификата в каталог /etc/letsencrypt/ на вашем сервере. Аутентификатор не устанавливает сертификат и не редактирует конфигурацию вашего веб-сервера для настройки сертификата.

Установщик — это плагин, который помимо получения сертификатов устанавливает его путем изменения конфигурации вашего веб-сервера. На сегодняшний день установка сертификатов полностью автоматизирована и для Apache, и для Nginx.

Для веб-сервера Apache

Apache – это выпущенное в 1995 году свободное ПО для размещения и поддержки веб-сервера.

Установка Certbot на Ubuntu 16.04 и выше с веб-сервером Apache:

$ sudo apt-get install snapd
$ sudo snap install core; sudo snap refresh core
$ sudo snap install --classic certbot
$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

CentOS 8 и выше с веб-сервером Nginx:

$ sudo dnf install epel-release
$ sudo dnf upgrade
$ sudo dnf install snapd
$ sudo systemctl enable --now snapd.socket
$ sudo ln -s /var/lib/snapd/snap /snap
$ sudo snap install core; sudo snap refresh core
$ sudo snap install --classic certbot
$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

Debian 9 с веб-сервером Apache:

$ sudo apt-get install snapd
$ sudo snap install core; sudo snap refresh core
$ sudo snap install --classic certbot
$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

Инструкция по установке Certbot на другие дистрибутивы доступна на официальном сайте Certbot.

После установки Certbot можно приступать к выпуску сертификата. Самый простой и быстрый способ — использовать плагин Apache для выпуска и автоматической установки сертификата:

Плагин получает сертификат для домена (доменов) и автоматически устанавливает его, конфигурируя соответствующим образом Apache.

Для установки Certbot должен иметь возможность найти корректный виртуальный хост в вашей конфигурации Apache. Для этого он будет искать директиву ServerName, соответствующую доменному имени, для которого вы запросите сертификат. Поэтому предварительно убедитесь, что конфигурация веб-сервера настроена верно.

Если вы запускаете Certbot впервые, вам будет предложено указать email для регистрации в Let’s Encrypt и получения важных уведомлений, а также ознакомиться с условиями использования и принять их.

После окончания установки сертификата Certbot предоставит вам дополнительную информацию, а также ссылку для проверки установленного сертификата:

Congratulations! You have successfully enabled https://wolfersen.ru
You should test your configuration at: https://www.ssllabs.com/ssltest/analyze.html?d=wolfersen.ru

$ sudo certbot --apache certonly

$ sudo certbot certonly --webroot

/etc/letsencrypt/live/wolfersen.ru/fullchain.pem
/etc/letsencrypt/live/wolfersen.ru/privkey.pem

$ sudo cp /etc/apache2/sites-available/default-ssl.conf /etc/apache2/sites-available/wolfersen.ru-ssl.conf

ServerName wolfersen.ru
ServerAlias www.wolfersen.ru
DocumentRoot /var/www/wolfersen.ru
SSLCertificateFile /etc/letsencrypt/live/wolfersen.ru/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/wolfersen.ru/privkey.pem

$ sudo a2enmod ssl
$ sudo a2ensite wolfersen.ru-ssl
$ sudo systemctl reload apache2

Обновление сертификатов

Сразу при установке Certbot добавляет cron-задание для автоматического обновления полученных им сертификатов. Задание будет запускаться дважды в день и обновлять те сертификаты, срок действия которых истекает через 30 дней и менее. Чтобы убедиться в этом, откройте файл /etc/cron.d/certbot и проверьте наличие задания, если задания нет, проверьте список системных таймеров командой systemctl list-timers.

Протестировать автоматическое обновление сертификатов вы можете, выполнив команду:

$ sudo certbot renew --dry-run

Для веб-сервера Nginx

Nginx – это ПО с открытым исходным кодом, которое работает под управлением ОС семейства Linux/Unix и Microsoft. Nginx выпущен в 2004 году, он позиционируется как простой и быстрый веб-сервер.

Установка Certbot на Ubuntu 16.04 и выше с веб-сервером Nginx:

$ sudo apt-get install snapd
$ sudo snap install core; sudo snap refresh core
$ sudo snap install --classic certbot
$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

CentOS 7 с веб-сервером Nginx:

$ sudo dnf install epel-release
$ sudo dnf upgrade
$ sudo dnf install snapd
$ sudo systemctl enable --now snapd.socket
$ sudo ln -s /var/lib/snapd/snap /snap
$ sudo snap install core; sudo snap refresh core
$ sudo snap install --classic certbot
$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

Debian 9 с веб-сервером Nginx:

$ sudo apt-get install snapd
$ sudo snap install core; sudo snap refresh core
$ sudo snap install --classic certbot
$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

Инструкция по установке Certbot на другие дистрибутивы доступна на официальном сайте Certbot.

После установки Certbot можно приступать к выпуску сертификата. Самый простой и быстрый способ — использовать плагин Nginx для выпуска и автоматической установки сертификата

Плагин получает сертификат для домена (доменов) и автоматически устанавливает его, конфигурируя соответствующим образом Nginx.

Для установки Certbot должен иметь возможность найти корректный блок server в вашей конфигурации. Для этого он будет искать директиву server_name, соответствующую доменному имени, для которого вы запрашиваете сертификат. Поэтому предварительно убедитесь, что конфигурация веб-сервера настроена верно.

Если вы запускаете Certbot впервые, вам будет предложено указать email для регистрации в Let’s Encrypt и получения важных уведомлений, а также ознакомиться с условиями использования и принять их.

После окончания установки сертификата Certbot предоставит вам дополнительную информацию, а также ссылку для проверки установленного сертификата:

Congratulations! You have successfully enabled https://wolfersen.ru
You should test your configuration at: https://www.ssllabs.com/ssltest/analyze.html?d=wolfersen.ru

$ sudo certbot --nginx certonly

$ sudo certbot certonly --webroot

/etc/letsencrypt/live/wolfersen.ru/fullchain.pem
/etc/letsencrypt/live/wolfersen.ru/privkey.pem

server {
  root /var/www/html;
  index index.html index.htm index.nginx-debian.html;
  server_name wolfersen.ru;

  location / {
    try_files $uri $uri/ =404;
  }
  listen [::]:443 ssl ipv6only=on;
  listen 443 ssl;
  ssl_certificate /etc/letsencrypt/live/wolfersen.ru/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/wolfersen.ru/privkey.pem;
}

$ sudo systemctl reload nginx

Обновление сертификатов

Сразу при установке Certbot добавляет cron-задание для автоматического обновления полученных им сертификатов. Задание будет запускаться дважды в день и обновлять те сертификаты, срок действия которых истекает через 30 дней и менее. Чтобы убедиться в этом, откройте файл /etc/cron.d/certbot и проверьте наличие задания.

Протестировать автоматическое обновление сертификатов вы можете, выполнив команду:

$ sudo certbot renew --dry-run

Mup version 1.5.2 (but I got this error around 4 days ago on 1.5.0.

Mup config

{
  "servers": {
    "one": {
      "host": "1.2.3.4",
      "username": "root",
      "pem": "~/.ssh/pem"
    }
  },
  "app": {
    "name": "my-app",
    "path": "../",
    "servers": {
      "one": {}
    },
    "buildOptions": {
      "serverOnly": true
    },
    "env": {
      "ROOT_URL": "https://subdomain.subdomain.host.com",
      "MONGO_URL": "mongodb://mongodb:27017/my-app",
      "MONGO_OPLOG_URL": "mongodb://mongodb/local",
      "VIRTUAL_HOST": "subdomain.subdomain.host.com",
      "HTTPS_METHOD": "redirect",
      "LETSENCRYPT_HOST": "subdomain.subdomain.host.com",
      "LETSENCRYPT_EMAIL": "email@domain.com",
      "VIRTUAL_PORT": 3000,
      "HTTP_FORWARDED_COUNT": 1
    },
    "docker": {
      "image": "abernix/meteord:node-12.16.1-base",
      "stopAppDuringPrepareBundle": true,
      "imagePort": 3000,
      "args": [
        "--link=mongodb:mongodb"
      ]
    },
    "enableUploadProgressBar": true,
    "type": "meteor"
  },
  "mongo": {
    "version": "4.4",
    "servers": {
      "one": {}
    },
    "dbName": "eshs-inspection"
  },
  "proxy": {
    "domains": "subdomain.subdomain.host.com",
    "ssl": {
      "letsEncryptEmail": "email@domain.com",
      "forceSSL": true
    }
  }
}

Output of command (mup proxy logs-le)

[104.248.95.147]2020/12/04 10:06:16 Received event die for container d97c429c4478
[104.248.95.147]2020/12/04 10:06:16 Debounce minTimer fired
[104.248.95.147]2020/12/04 10:06:16 Generated '/app/letsencrypt_service_data' from 3 containers
[104.248.95.147]2020/12/04 10:06:16 Running '/app/signal_le_service'
[104.248.95.147]Sleep for 3600s
[104.248.95.147]2020/12/04 10:06:17 Received event start for container 4b5296f95038
[104.248.95.147]2020/12/04 10:06:18 Debounce minTimer fired
[104.248.95.147]2020/12/04 10:06:18 Generated '/app/letsencrypt_service_data' from 4 containers
[104.248.95.147]2020/12/04 10:06:18 Running '/app/signal_le_service'
[104.248.95.147]Creating/renewal subdomain.subdomain.host.com certificates... (subdomain.subdomain.host.com)
[104.248.95.147][Fri Dec  4 10:06:20 UTC 2020] Using CA: https://acme-v02.api.letsencrypt.org/directory
[104.248.95.147][Fri Dec  4 10:06:20 UTC 2020] Single domain='subdomain.subdomain.host.com'
[104.248.95.147][Fri Dec  4 10:06:20 UTC 2020] Getting domain auth token for each domain
[104.248.95.147][Fri Dec  4 10:06:22 UTC 2020] Create new order error. Le_OrderFinalize not found. {
[104.248.95.147]  "type": "urn:ietf:params:acme:error:rateLimited",
[104.248.95.147]  "detail": "Error creating new order :: too many certificates already issued for exact set of domains: subdomain.subdomain.host.com: see https://letsencrypt.org/docs/rate-limits/",
[104.248.95.147]  "status": 429
[104.248.95.147]}
[104.248.95.147][Fri Dec  4 10:06:22 UTC 2020] Please check log file for more details: /dev/null
[104.248.95.147]Sleep for 3600s

What I found on the letsencrypt site is that the limit is set to 5 times a week. This is for renewing the ssl certificate and from what I read this is only done once a month by Meteor up.

I haven’t had this issue with previous projects, but I have my suspection of why this could be happening. In the past 2 weeks I changed two things for deploying with Meteor up.

Because of the bug I now have to switch back to an older version (12.18.3) using nvm to get it to deploy. This might be a reason why it’s trying to refresh the domain everytime. I also implemented a simple bash script that would do these steps for me, because I kept forgetting about switching the nvm version back.

This is the bash script I used to deploy the project:

#!/bin/bash

export NVM_DIR=$HOME/.nvm;
source $NVM_DIR/nvm.sh;
cd .mup-beta
nvm use 12.18.3
echo 'Deploying from:'
echo $PWD
mup setup
mup deploy
echo 'Finished Deployment!'

I am hoping that this can get fixed soon, because it’s currently breaking my application for showing the following error:

subdomain.subdomain.host.com uses an invalid security certificate.
The certificate is not trusted because it is self-signed.
Error code: MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT

The app is running on the new .app from google, so it is also not accessible without https. I have currently switched to a new subdomain and have been able to deploy there without any issues, but I’m worried the same issue will reappear again after deploying too often.