RFC 8555 §8.3: Die CA verbindet sich über unverschlüsseltes HTTP mit Port 80, darf Weiterleitungen folgen (auf HTTP oder HTTPS an Port 80 oder 443) und erwartet im Body exakt den String der Schlüsselautorisierung. Die Methode funktioniert nur für Hostnamen, die öffentlich auf einen Server auflösen, über den du verfügst, und sie kann keine Wildcard-Namen validieren.
Typische Fehlerursachen: Port 80 ist durch eine Firewall oder eine Security Group in der Cloud gesperrt; IPv6-Einträge zeigen auf einen Host, der nicht antwortet (CAs bevorzugen IPv6, wenn ein AAAA-Eintrag existiert); Load Balancer leiten die Anfrage an einen anderen Knoten weiter als an den, der das Token bereithält; CDNs cachen eine veraltete Challenge-Antwort; Weiterleitungen führen auf ungewöhnliche Ports.
Seit 2025 müssen öffentliche CAs die Validierung aus mehreren Netzwerkperspektiven in verschiedenen Regionen bestätigen (Baseline Requirements §3.2.2.9); deshalb können auch Geoblocking oder ein je nach Region unterschiedliches Routing http-01 scheitern lassen.