Códigos de error de certificados y ACME (mpbx-certs)

Los generan las cargas de certificados, las solicitudes ACME y el renovador automático (W4-SEC-01). Los mensajes nunca contienen una clave privada, la clave de la cuenta ACME ni la autorización de clave de un desafío; como máximo nombran ids de certificado, nombres DNS y tipos de problema ACME. Un intento ACME fallido también se registra en el certificado (last_error_code, renewal_failures) y se cuenta en mpbx_tls_cert_renewal_failures. Guía: certificados.

Código	Tipo	Significado	Qué hacer
MPBX-CERT-NAME-INVALID	invalid_argument	Un nombre DNS no es aceptable: no tiene dos o más etiquetas de a-z 0-9 -, supera 253 caracteres, es una dirección IP, o tiene un comodín en una solicitud ACME (HTTP-01 no puede validar comodines).	Use nombres de host exactos para ACME (pbx.example.com); para comodines, suba un certificado.
MPBX-CERT-NAME-NOT-ALLOWED	invalid_argument	Una empresa pidió un certificado para un nombre que no es su propia dirección web <slug>.<dominio base>, o la instalación no tiene dominio base (http.base_domain), así que las empresas no tienen dirección propia.	Solicite la dirección de la empresa (deje domains vacío), o administre el certificado para toda la instalación.
MPBX-CERT-NAME-TAKEN	conflict	Una solicitud ACME nombra un certificado que ya existe en el alcance como carga o con otros nombres.	Elimine primero el certificado existente, o suba uno nuevo.
MPBX-CERT-PEM-INVALID	invalid_argument	El texto PEM no se puede interpretar, es demasiado grande (cadena 64 KiB, clave 16 KiB), no tiene certificado o no tiene clave, tiene más de una clave, o el campo de cadena contiene una clave privada.	Pegue la cadena (primero el certificado final) y la clave en sus propios campos.
MPBX-CERT-KEY-UNSUPPORTED	invalid_argument	El tipo o tamaño de clave no es compatible.	Use RSA de 2048 bits o más, ECDSA P-256 o P-384, o Ed25519.
MPBX-CERT-KEY-MISMATCH	invalid_argument	La clave privada no pertenece al primer certificado (el final) de la cadena.	Suba la clave que se generó con la solicitud de este certificado.
MPBX-CERT-CHAIN-INVALID	invalid_argument	La cadena no empieza con el certificado final, un certificado no está firmado por el siguiente, el primer certificado es una CA, o hay más de 10 certificados.	Ordene la cadena: certificado del servidor, luego cada intermedio (la raíz es opcional).
MPBX-CERT-EXPIRED	invalid_argument	El certificado final está vencido o todavía no es válido.	Suba un certificado vigente. Revise el reloj del servidor si dice "todavía no válido".
MPBX-CERT-NAME-MISMATCH	invalid_argument	El certificado final no tiene nombres DNS en su subjectAltName, o no cubre el nombre para el que está guardado (un certificado de empresa debe cubrir la dirección de la empresa; un certificado ACME emitido debe cubrir cada nombre solicitado).	Use un certificado emitido para los nombres correctos.
MPBX-CERT-NOT-FOUND	not_found	No existe ese certificado en este alcance. El certificado de una empresa es invisible para otras empresas, y los certificados de la instalación no son accesibles por las rutas de empresa.	Revise el id y el alcance (/certificates o /system/certificates).
MPBX-CERT-CHANGED	conflict	El certificado cambió entre la lectura y la eliminación.	Léalo de nuevo e intente otra vez con el nuevo ETag.
MPBX-CERT-NOT-ACME	invalid_argument	"Renovar ahora" en un certificado subido.	Suba un nuevo certificado en su lugar.
MPBX-CERT-RENEW-TOO-SOON	conflict	Una empresa pidió renovar (o volver a solicitar) un certificado que se emitió hace menos de un día. Cada pedido cuenta contra los límites de frecuencia ACME compartidos de la instalación, así que una empresa no puede agotarlos para las demás.	No hay nada que hacer: el certificado se renueva solo antes de vencer. Un administrador del sistema todavía puede renovarlo.
MPBX-CERT-ORDER-QUOTA	conflict	Un administrador de la empresa hizo 5 pedidos nuevos de certificados ACME en las últimas 24 horas (eliminar un certificado y volver a solicitarlo cuenta como un pedido nuevo). La cuenta ACME y los límites de dominio registrado de la instalación se comparten entre todas las empresas.	Espere un día, o pida ayuda a un administrador del sistema, que no tiene límite.
MPBX-CERT-CLAIM-LOST	conflict	Un renovador se detuvo más allá de su reclamo sobre un certificado (pausa, partición) y otro nodo lo renovó mientras tanto; el resultado tardío se descartó. Solo se registra.	Ninguna: el certificado del otro nodo está en servicio. Si ocurre con frecuencia, los pedidos tardan más que el reclamo (10 minutos).
MPBX-CERT-TLS-CONFIG	internal	No se puede construir la configuración del servidor TLS.	Repórtelo: es un problema de compilación o de plataforma.
MPBX-ACME-NOT-CONFIGURED	config	La configuración ACME no es válida: tls.acme_directory no es una URL https://, tls.acme_contact no es una dirección de correo, o tls.acme_ca_file no se puede leer o no contiene un certificado.	Corrija la configuración [tls] (vea la guía).
MPBX-ACME-ACCOUNT	config	No se puede crear ni cargar la cuenta ACME (la CA exige vinculación de cuenta externa, la cuenta fue desactivada, o las credenciales guardadas no se pueden leer).	Revise la URL del directorio y los requisitos de la CA; eliminar la fila acme_accounts hace que el siguiente intento cree una cuenta nueva.
MPBX-ACME-ORDER	invalid_argument	La CA rechazó o no completó el pedido (el tipo de problema está en el mensaje), o devolvió un certificado que no valida.	Lea el tipo de problema; revise los nombres y la política de la CA (por ejemplo, registros CAA).
MPBX-ACME-CHALLENGE-FAILED	invalid_argument	La CA no pudo validar HTTP-01: el nombre no resuelve a esta instalación, el puerto 80 no es accesible desde internet, o un proxy no reenvía /.well-known/acme-challenge/. Se reintenta con espera creciente (10 minutos, duplicándose, hasta 12 horas).	Apunte el nombre DNS a la instalación, abra el puerto 80 (tls.http_listen) y use "renovar ahora" para reintentar de inmediato.
MPBX-ACME-RATE-LIMITED	unavailable	La CA limitó la frecuencia de la solicitud. El siguiente intento espera al menos 3 horas.	Espere; evite eliminar y volver a solicitar certificados repetidamente.
MPBX-ACME-TIMEOUT	unavailable	La CA no terminó el pedido a tiempo (2 minutos). Se reintenta con espera creciente.	Por lo general, ninguna; revise la página de estado de la CA si persiste.
MPBX-ACME-UNREACHABLE	unavailable	No se puede acceder al directorio ACME (DNS, cortafuegos, confianza TLS). Se reintenta con espera creciente.	Permita HTTPS saliente hacia la CA; para una CA privada, defina tls.acme_ca_file.