RFC 8555 §8.3 : l’AC se connecte en HTTP en clair au port 80, peut suivre des redirections (vers HTTP ou HTTPS sur les ports 80 ou 443) et attend dans le corps de la réponse la chaîne exacte de l’autorisation de clé. La méthode ne fonctionne que pour des noms d’hôte qui se résolvent publiquement vers un serveur que vous contrôlez, et elle ne peut pas valider les noms wildcard.
Échecs courants : port 80 bloqué par un pare-feu ou un groupe de sécurité cloud, enregistrements IPv6 pointant vers un hôte qui ne répond pas (les AC privilégient IPv6 quand un enregistrement AAAA existe), répartiteurs de charge qui acheminent la requête vers un autre nœud que celui qui détient le jeton, CDN qui mettent en cache une réponse de challenge périmée et redirections vers des ports inhabituels.
Depuis 2025, les AC publiques doivent corroborer la validation depuis plusieurs perspectives réseau situées dans des régions différentes (Baseline Requirements §3.2.2.9) : un blocage géographique ou un routage par région peut donc aussi faire échouer http-01.