Win-acme
Aus Wissen
Win-ACME: ARI-Konflikt bei Domainwechsel
Problem
Beim Versuch, ein neues Zertifikat mit geänderter Domain zu erstellen, trat folgender Fehler auf:
[HTTP] Request completed with status BadRequest
Failed to create order: Could not validate ARI 'replaces' field :: identifiers in this order do not match any identifiers in the certificate being replaced
Ursache
Die ACME Renewal Information (ARI) verlangt, dass die Identifikatoren (z. B. Domainnamen) des neuen Zertifikats exakt mit denen des zu ersetzenden Zertifikats übereinstimmen. Ein Domainwechsel (z. B. Austausch oder Hinzufügen von Domains) führt zu einem **Mismatch**, wodurch der Erneuerungsversuch fehlschlägt.
Analyse
- ARI ist aktiv und versucht, das neue Zertifikat als Ersatz für ein bestehendes zu registrieren.
- Die Domainliste hat sich geändert → ARI verweigert die Erneuerung.
- Win-ACME erkennt den Konflikt und bricht mit `BadRequest` ab.
Lösung
1. Alte Renewal-Einträge entfernen
Über die Kommandozeile:
wacs.exe --cancel --friendlyname "AlterFriendlyName"
Oder manuell im Ordner:
C:\ProgramData\win-acme\acme-v02.api.letsencrypt.org\Renewals\
Dort die entsprechende `.json`-Datei löschen.
2. Neues Zertifikat sauber anlegen
- Neue Domainliste definieren
- Neuen Friendly Name vergeben
- Zertifikat ohne ARI-Bezug erstellen
3. Optional: Zertifikatsspeicher bereinigen
Falls das alte Zertifikat nicht mehr benötigt wird:
- `certlm.msc` öffnen
- Navigieren zu: Eigene Zertifikate → Zertifikate
- Altes Zertifikat manuell löschen
Hinweis
- ARI eignet sich nur für **identische** Zertifikate (gleiche Domains).
- Bei Domainwechsel immer neuen Auftrag starten.
- Friendly Names helfen bei der Verwaltung und Fehleranalyse.
Status
Nach Entfernen der alten Einträge und Neuanlage des Zertifikats funktioniert alles wie gewünscht.
