رفع خطاهای AutoSSL و DNS DCV در cPanel؛ از TOTAL_DCV_FAILURE تا CAA و Cloudflare

وقتی AutoSSL در cPanel یا WHM خطا می‌دهد، نصب دوباره SSL معمولاً اولین کاری نیست که باید انجام دهید. AutoSSL قبل از صدور گواهی باید ثابت کند دامنه واقعاً تحت کنترل شماست؛ این مرحله DCV یا Domain Control Validation نام دارد. اگر DNS به IP اشتباه اشاره کند، رکورد AAAA خراب باشد، Cloudflare مسیر Challenge را مسدود کند، CAA اجازه صدور به Let’s Encrypt ندهد یا DNS DCV روی DNS خارجی قابل انجام نباشد، AutoSSL با خطا متوقف می‌شود.

در این راهنما از ساده‌ترین بررسی‌ها شروع می‌کنیم و قدم‌به‌قدم به خطاهای تخصصی‌تر مثل TOTAL_DCV_FAILURE، SECURED_DOMAIN_DCV_FAILURE، خطای CAA، DNS SERVFAIL، HTTP DCV با پاسخ 403 یا 404، مشکل IPv6 و DNS خارجی می‌رسیم. اگر فقط به cPanel معمولی دسترسی دارید، بخش‌های قابل انجام توسط کاربر را اجرا کنید؛ دستورهای SSH و WHM فقط برای مدیر سرور با دسترسی root هستند.

AutoSSL و DCV دقیقاً چه هستند؟

AutoSSL قابلیتی در cPanel & WHM است که گواهی SSL از نوع Domain Validated یا DV را برای دامنه‌های حساب صادر و تمدید می‌کند. در نسخه‌های فعلی cPanel، Let’s Encrypt Provider اصلی AutoSSL است.

قبل از صدور Certificate، مرجع صدور باید مطمئن شود درخواست‌کننده کنترل دامنه را در اختیار دارد. cPanel برای این کار از DCV استفاده می‌کند. دو مسیر اصلی وجود دارد:

برای Certificate معمولی، موفق شدن روش قابل استفاده می‌تواند برای صدور کافی باشد. اما Certificateهای Wildcard مانند *.example.com به DNS Challenge نیاز دارند؛ HTTP Challenge برای Wildcard قابل استفاده نیست.

قبل از شروع مشخص کنید چه سطح دسترسی دارید

دو گروه ممکن است این مقاله را بخوانند و مسیر عیب‌یابی آن‌ها یکسان نیست.

اگر فقط cPanel هاست را دارید

شما معمولاً می‌توانید وضعیت SSL، DNS Zone و دامنه‌های دارای مشکل را ببینید، اما نمی‌توانید فایل‌های سیستمی یا Logهای WHM را مدیریت کنید. در این حالت بخش‌های بررسی A، AAAA، CAA، Cloudflare و SSL/TLS Status برای شما مهم‌تر هستند.

اگر root و WHM دارید

علاوه بر موارد بالا می‌توانید AutoSSL Log، Document Root، Apache، DNS Server و اجرای دستی AutoSSL را بررسی کنید.

مرحله ۱: خطای دقیق AutoSSL را پیدا کنید

مهم‌ترین اشتباه در رفع AutoSSL این است که بدون خواندن خطا شروع به تغییر DNS کنیم. ابتدا متن Error را پیدا کنید.

در cPanel

در نسخه‌های فعلی وارد بخش Security → SSL/TLS Certificates → Status شوید. در بعضی نسخه‌های قدیمی‌تر این بخش با نام SSL/TLS Status دیده می‌شود.

دامنه‌هایی که مشکل AutoSSL دارند معمولاً در Status مشخص می‌شوند. متن Error را کامل بخوانید؛ فقط عبارت «AutoSSL Failed» برای تشخیص کافی نیست.

در WHM

وارد مسیر زیر شوید:

WHM → SSL/TLS → Manage AutoSSL → Logs

cPanel لاگ‌های AutoSSL را در Server نیز نگه می‌دارد. مسیر آن برای مدیر root:

/var/cpanel/logs/autossl

برای دیدن فایل‌های موجود:

ls -lah /var/cpanel/logs/autossl

مرحله ۲: بررسی کنید دامنه به IP درست اشاره می‌کند

یکی از پرتکرارترین دلایل شکست HTTP DCV این است که دامنه هنوز به Server قبلی، CDN دیگر یا IP اشتباه Resolve می‌شود.

این دستورات را می‌توانید روی کامپیوتر لینوکسی، macOS یا Server اجرا کنید. اگر Windows دارید، می‌توانید از WSL یا ابزارهای DNS آنلاین معتبر استفاده کنید.

dig +short A example.com
dig +short A www.example.com

به‌جای example.com دامنه خودتان را بنویسید. IP خروجی باید همان IP وب‌سروی باشد که اکانت cPanel روی آن قرار دارد.

اگر خروجی خالی است، A Record ندارید. اگر IP متعلق به Server دیگری است، HTTP DCV فایل Challenge را از همان Server اشتباه درخواست خواهد کرد.

مرحله ۳: رکورد AAAA و IPv6 را فراموش نکنید

یکی از خطاهایی که ممکن است با وجود صحیح بودن IPv4 شما را گیج کند، رکورد AAAA است. اگر دامنه IPv6 داشته باشد ولی همان IPv6 روی حساب cPanel و وب‌سرور شما تنظیم نشده باشد، مرجع صدور ممکن است Challenge را از IPv6 درخواست کند و به Virtual Host اشتباه برسد.

بررسی AAAA:

dig +short AAAA example.com
dig +short AAAA www.example.com

اگر IPv6 نشان داده می‌شود، دو حالت دارید:

بعد از تغییر، صبر کنید DNS با TTL جدید منتشر شود و دوباره AAAA را بررسی کنید.

مرحله ۴: Nameserverهای واقعی دامنه را پیدا کنید

وجود Zone در cPanel به این معنی نیست که اینترنت از همان Zone استفاده می‌کند. اگر DNS دامنه روی Cloudflare، سرویس ثبت دامنه یا DNS Provider دیگری باشد، تغییر Zone داخل cPanel هیچ اثری روی DNS عمومی ندارد.

dig +short NS example.com

DNS را باید در همان سرویسی ویرایش کنید که این Nameserverها به آن تعلق دارند.

مرحله ۵: تفاوت DNS خارجی با DNS DCV را متوجه شوید

این موضوع الزاماً به این معنی نیست که SSL عادی صادر نمی‌شود. برای دامنه معمولی می‌تواند HTTP DCV موفق شود. اما برای Wildcard مانند *.example.com، Let’s Encrypt به DNS Challenge نیاز دارد.

پس اگر DNS شما خارجی است و خطای DNS DCV می‌بینید، اول سؤال درست این است:

مرحله ۶: CAA Record را بررسی کنید

CAA مشخص می‌کند کدام Certificate Authority اجازه صدور SSL برای Domain را دارد. وجود CAA اجباری نیست؛ اما اگر CAA تعریف کرده باشید و Let’s Encrypt در آن مجاز نباشد، AutoSSL نمی‌تواند Certificate صادر کند.

بررسی:

dig CAA example.com +short

اگر هیچ CAA وجود ندارد، از نظر CAA محدودیتی برای CA ایجاد نشده است. اگر CAA وجود دارد، Let’s Encrypt باید مجاز باشد. یک نمونه رایج:

example.com.  IN  CAA  0 issue "letsencrypt.org"

اگر AutoSSL پیام CA forbidden نشان می‌دهد، یکی از اولین مواردی که باید بررسی کنید همین CAA است.

خطای SERVFAIL هنگام بررسی CAA یعنی چه؟

خطایی شبیه این ممکن است در Log دیده شود:

DNS problem: SERVFAIL looking up CAA for example.com

این خطا با «CAA وجود ندارد» فرق دارد. نبودن CAA معمولاً مشکلی ایجاد نمی‌کند، اما SERVFAIL یعنی Resolver نتوانسته پاسخ سالمی از DNS بگیرد.

موارد قابل بررسی:

برای دیدن پاسخ کامل:

dig CAA example.com
dig NS example.com

مرحله ۷: HTTP DCV را دستی آزمایش کنید

اگر DNS خارجی دارید، HTTP DCV اهمیت بیشتری پیدا می‌کند. Let’s Encrypt باید بتواند یک فایل را در مسیر Challenge دریافت کند.

در نسخه‌های فعلی AutoSSL با Let’s Encrypt، مسیر اصلی Challenge این است:

/.well-known/acme-challenge/

اگر root دارید، ابتدا Document Root واقعی Domain را پیدا کنید. برای مثال:

grep 'example.com' /etc/userdatadomains

اگر Document Root مثلاً /home/account/public_html بود، به‌عنوان همان کاربر یا با Permission صحیح فایل آزمایشی بسازید:

mkdir -p /home/account/public_html/.well-known/acme-challenge

printf 'autossl-test\n' > /home/account/public_html/.well-known/acme-challenge/iranica-test.txt

حالا از خارج Server یا حداقل با Domain عمومی تست کنید:

curl -i http://example.com/.well-known/acme-challenge/iranica-test.txt

نتیجه مورد انتظار Status موفق و متن autossl-test است. اگر 403، 404، Redirect غیرعادی یا محتوای Server دیگری را می‌بینید، HTTP DCV هنوز مشکل دارد.

بعد از تست، فایل آزمایشی خودتان را حذف کنید:

rm /home/account/public_html/.well-known/acme-challenge/iranica-test.txt

خطای 403 AutoSSL هنگام استفاده از Cloudflare

اگر Domain پشت Cloudflare Proxy قرار دارد، Let’s Encrypt ممکن است به‌جای IP اصلی Server به Cloudflare برسد. این به‌خودی‌خود همیشه مشکل نیست، اما WAF، Bot Protection، Redirect Rule یا Rule امنیتی می‌تواند درخواست Challenge را با 403 مسدود کند.

نشانه رایج:

HTTP DCV error:
Invalid response ...
403

راه اصولی این است که Ruleهای Cloudflare را طوری تنظیم کنید که مسیر زیر مسدود نشود:

/.well-known/acme-challenge/

برای تشخیص موقت نیز می‌توانید Proxy رکورد مربوط را موقتاً خاموش کنید و بعد از صدور SSL دوباره تنظیمات Cloudflare را بررسی کنید. این کار راه‌حل دائمی برای Rule اشتباه WAF نیست.

خطای 404 در HTTP DCV

خطای 404 معمولاً یکی از این علت‌ها را دارد:

اگر Apache با ProxyPass استفاده می‌کنید، مسیر Challenge نباید به Application Proxy شود. در سناریوهای مرتبط با ProxyPass می‌توان مسیر .well-known را از Proxy مستثنی کرد؛ اما قبل از تغییر Apache حتماً Configuration فعلی را Backup و Syntax را بررسی کنید.

خطای TOTAL_DCV_FAILURE چیست؟

اگر Log این پیام را نشان دهد:

ERROR Impediment: TOTAL_DCV_FAILURE:
Every domain failed DCV.

یعنی هیچ‌کدام از روش‌های DCV قابل استفاده برای Domainهای مورد بررسی موفق نشده‌اند. این عبارت خودش علت اصلی نیست؛ فقط نتیجه نهایی شکست Validation است.

در چند خط بالاتر Log دنبال Error واقعی بگردید. معمولاً یکی از این موارد را می‌بینید: DNS Resolution، 403، 404، CAA، SERVFAIL، AAAA اشتباه، Quota یا DNS DCV.

SECURED_DOMAIN_DCV_FAILURE یعنی چه؟

این خطا زمانی دیده می‌شود که Certificate فعلی چند Domain را پوشش می‌دهد اما یک یا چند Domain موجود در Coverage قبلی دیگر DCV را Pass نمی‌کنند.

cPanel برای جلوگیری از کاهش ناخواسته Coverage ممکن است Certificate جدید با Domainهای کمتر را فوراً جایگزین Certificate فعلی نکند.

قبل از حذف Certificate فعلی، ابتدا بررسی کنید آن Subdomain هنوز باید وجود داشته باشد یا نه. برای مثال ممکن است رکورد قدیمی زیر دامنه‌ای مثل mail، webdisk یا یک Addon Domain حذف شده باشد.

دامنه بلااستفاده را از AutoSSL خارج کنیم یا DNS آن را اصلاح کنیم؟

اگر Domain یا Subdomain واقعاً باید SSL داشته باشد، آن را Exclude نکنید؛ مشکل DNS یا HTTP آن را رفع کنید.

اما اگر Subdomain قدیمی، دامنه پارک‌شده بلااستفاده یا Hostی دارید که عمداً به Server دیگری اشاره می‌کند، می‌توانید آن را از AutoSSL خارج کنید.

در نسخه‌های قدیمی‌تر این گزینه در SSL/TLS Status قرار داشت. در cPanel 134 و نسخه‌های جدیدتر، رابط SSL یکپارچه شده و برخی AutoSSL Actionها ممکن است به‌صورت پیش‌فرض نمایش داده نشوند. این موضوع لزوماً نشانه خرابی AutoSSL نیست.

خطای Disk quota exceeded

HTTP DCV باید فایل موقتی داخل مسیر .well-known ایجاد کند. اگر Account به سقف Disk Quota رسیده باشد، cPanel ممکن است نتواند فایل Challenge را ایجاد کند.

اگر در Log عبارت زیر را دیدید:

Disk quota exceeded

فضای Account را بررسی کنید. فایل غیرضروری را پس از Backup حذف کنید یا Quota حساب را از WHM افزایش دهید. پاک کردن تصادفی Backup یا Mail برای آزادسازی فضا روش مناسبی نیست؛ ابتدا مشخص کنید چه چیزی Disk را پر کرده است.

خطای You do not have a document root for the domain

اگر root هستید و AutoSSL چنین خطایی می‌دهد، ابتدا بررسی کنید Domain در Cache مربوط به userdata وجود دارد:

grep 'example.com' /etc/userdatadomains

اگر Domain باید متعلق به این Account باشد اما در فایل نیست، cPanel برای بازسازی Cache دستور زیر را پیشنهاد می‌کند:

/scripts/updateuserdatacache

سپس Configuration Apache را بازسازی و Syntax/Service را کنترل کنید:

/scripts/rebuildhttpdconf
/scripts/restartsrv_httpd

اگر userdata خود Account خراب یا ناقص است، قبل از دست‌کاری دستی فایل‌های آن، مسیر رسمی Rebuild Userdata در cPanel را دنبال کنید.

رکوردهای قدیمی _acme-challenge را بررسی کنیم؟

گاهی Zone قبلاً برای سرویس دیگری تنظیم شده و رکوردهایی مانند CNAME یا TXT برای _acme-challenge باقی مانده‌اند. اگر Log مشخصاً نشان می‌دهد این رکوردها باعث Conflict شده‌اند، Zone را بررسی کنید.

dig TXT _acme-challenge.example.com
dig CNAME _acme-challenge.example.com

وجود این رکوردها لزوماً اشتباه نیست؛ سرویس دیگری ممکن است عمداً از آن‌ها استفاده کند. قبل از حذف، مشخص کنید مالک و کاربردشان چیست.

جدول سریع تشخیص خطاهای AutoSSL

مرحله ۸: AutoSSL را بعد از رفع مشکل دوباره اجرا کنید

تا وقتی علت DCV رفع نشده، چند بار پشت‌سرهم AutoSSL را اجرا نکنید. این کار مشکل DNS را حل نمی‌کند و ممکن است در سناریوهای خاص شما را به محدودیت‌های CA نزدیک کند.

برای یک Account در SSH

این دستور فقط با دسترسی root اجرا شود و account را با Username واقعی cPanel جایگزین کنید:

/usr/local/cpanel/bin/autossl_check --user=account

برای همه کاربران

/usr/local/cpanel/bin/autossl_check --all

روی Server پرکاربر، اجرای AutoSSL برای همه Accountها فقط برای رفع مشکل یک Domain ضروری نیست؛ همان User مشکل‌دار را اجرا کنید.

چطور بفهمیم مشکل واقعاً حل شده است؟

بعد از Run جدید فقط به سبز شدن صفحه اکتفا نکنید. این موارد را بررسی کنید:

برای مشاهده Certificate ارائه‌شده توسط Server:

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates

اگر Let’s Encrypt Registration مشکل دارد

اگر DNS و HTTP سالم هستند اما WHM خطای Provider یا Registration نشان می‌دهد، در WHM → SSL/TLS → Manage AutoSSL وضعیت Let’s Encrypt را بررسی کنید.

در صورتی که Registration خراب یا منقضی شده باشد، cPanel گزینه Recreate my current registration with Let’s Encrypt را در همان بخش ارائه می‌کند. این گزینه را فقط زمانی استفاده کنید که Log واقعاً مشکل Registration را نشان می‌دهد؛ برای خطای DNS یا 404 هیچ کمکی نمی‌کند.

AutoSSL روی cPanel 134 چرا با آموزش‌های قدیمی فرق دارد؟

در cPanel 134 رابط جدید SSL/TLS Certificates بخش‌های قدیمی SSL/TLS، SSL/TLS Status و Wizard را در یک Interface یکپارچه می‌کند. به همین دلیل ممکن است آموزش قدیمی بگوید روی دکمه‌ای در SSL/TLS Status کلیک کنید اما همان دکمه را در نسخه جدید نبینید.

اگر فقط کاربر Hosting هستید، تنظیمات Server-level را تغییر ندهید و نبودن یک Action را به‌عنوان خرابی SSL تلقی نکنید. مدیر WHM می‌تواند وضعیت Featureها و تنظیمات رابط را بررسی کند.

چک‌لیست رفع AutoSSL به ترتیب درست

سؤالات متداول AutoSSL و DNS DCV

DNS DCV error یعنی چه؟

یعنی AutoSSL نتوانسته کنترل دامنه را از طریق DNS تأیید کند. در cPanel این خطا اغلب زمانی دیده می‌شود که DNS روی Server دیگری میزبانی می‌شود، رکورد Challenge قابل ساخت نیست یا DNS پاسخ معتبر نمی‌دهد.

آیا DNS خارجی باعث می‌شود AutoSSL اصلاً کار نکند؟

برای Certificate عادی لزوماً خیر؛ HTTP DCV می‌تواند موفق شود. اما DNS DCV خودکار cPanel برای DNS ثالثی که خارج از Server یا DNS Cluster است محدودیت دارد و Wildcard Certificate نیز به DNS Challenge نیاز دارد.

آیا Cloudflare باید همیشه خاموش شود؟

خیر. مشکل زمانی ایجاد می‌شود که Proxy، WAF یا Ruleهای Cloudflare درخواست HTTP Challenge را مسدود یا تغییر دهند. بهتر است Rule مشکل‌دار اصلاح شود؛ خاموش کردن Proxy بیشتر یک آزمایش تشخیصی یا راه موقت است.

آیا برای AutoSSL باید CAA بسازیم؟

خیر. نبود CAA به معنی این نیست که AutoSSL شکست می‌خورد. مشکل زمانی است که CAA وجود دارد ولی Let’s Encrypt را مجاز نمی‌کند، یا DNS هنگام Query رکورد CAA با SERVFAIL پاسخ می‌دهد.

TOTAL_DCV_FAILURE را چطور رفع کنیم؟

خود این پیام علت اصلی نیست. Log را چند خط بالاتر بخوانید تا مشخص شود HTTP DCV و DNS DCV چرا شکست خورده‌اند؛ سپس همان علت را رفع کنید.

چرا AutoSSL با وجود صحیح بودن A Record هنوز 404 می‌دهد؟

AAAA اشتباه، Reverse Proxy، Rewrite Rule، Document Root نادرست یا CDN می‌توانند باعث شوند Request Challenge به مسیر دیگری برسد. فقط IPv4 را بررسی نکنید.

آیا حذف SSL و اجرای دوباره AutoSSL کار درستی است؟

نه به‌عنوان اولین راه‌حل. اگر Certificate فعلی هنوز سالم است، حذف آن می‌تواند HTTPS را قطع کند. ابتدا دلیل DCV Failure را برطرف کنید.

جمع‌بندی

منابع رسمی برای بررسی بیشتر

مستندات رسمی Manage AutoSSL در cPanel & WHM

مستندات دستور autossl_check

مستندات Let’s Encrypt AutoSSL و Wildcard

راهنمای رسمی TOTAL_DCV_FAILURE

راهنمای خطاهای DNS Resolution در AutoSSL