Pela RFC 8555 §8.3, a CA se conecta por HTTP não criptografado à porta 80, pode seguir redirecionamentos (para HTTP ou HTTPS nas portas 80 ou 443) e espera encontrar no corpo exatamente a string da autorização de chave. O método só funciona para nomes de host que resolvem publicamente para um servidor que você controla e não consegue validar nomes curinga.
Falhas comuns: a porta 80 bloqueada por um firewall ou por um grupo de segurança da nuvem, registros IPv6 que apontam para um host que não responde (as CAs preferem IPv6 quando existe um registro AAAA), balanceadores de carga que encaminham a requisição para um nó diferente daquele que guarda o token, CDNs que mantêm em cache uma resposta antiga ao desafio e redirecionamentos para portas incomuns.
Desde 2025, as CAs públicas devem corroborar a validação a partir de várias perspectivas de rede em regiões diferentes (Baseline Requirements §3.2.2.9), então o bloqueio geográfico ou o roteamento por região também pode fazer o http-01 falhar.