RFC 8555 §8.3: la CA se conecta por HTTP sin cifrar al puerto 80, puede seguir redirecciones (a HTTP o HTTPS en los puertos 80 o 443) y espera encontrar en el cuerpo exactamente la cadena de autorización de clave. Solo funciona con nombres de host que se resuelven públicamente a un servidor que controlas, y no puede validar nombres comodín.
Fallos habituales: el puerto 80 bloqueado por un firewall o un grupo de seguridad de la nube, registros IPv6 que apuntan a un host que no responde (las CA prefieren IPv6 cuando existe un registro AAAA), balanceadores de carga que envían la solicitud a un nodo distinto del que tiene el token, CDN que sirven desde la caché una respuesta antigua al desafío y redirecciones a puertos poco habituales.
Desde 2025, las CA públicas deben corroborar la validación desde varias perspectivas de red en regiones distintas (Baseline Requirements §3.2.2.9), así que el bloqueo geográfico o el enrutamiento por región también pueden hacer fallar http-01.