RFC 8555 §8.3 では、CA は暗号化されていない HTTP でポート 80 に接続し、リダイレクト（ポート 80 または 443 の HTTP または HTTPS へ）をたどることがあり、レスポンスの本文が鍵認可の文字列と完全に一致することを確認します。この方法は、自分が管理するサーバーに公開 DNS で名前解決されるホスト名にしか使えず、ワイルドカードの名前は検証できません。
よくある失敗の原因は次のとおりです。ファイアウォールやクラウドのセキュリティグループによるポート 80 のブロック、応答しないホストを指す IPv6 のレコード（AAAA レコードがあると CA は IPv6 を優先します）、トークンを保持しているノードとは別のノードにリクエストを振り分けるロードバランサー、古いチャレンジのレスポンスをキャッシュしている CDN、そして通常とは異なるポートへのリダイレクトです。
2025年以降、公的な CA は、異なる地域にある複数のネットワーク視点から検証結果を裏付けなければならない（ベースライン要件 §3.2.2.9）ため、ジオブロッキングや地域ごとのルーティングによって http-01 が失敗することもあります。