RFC 8555, § 8.3: CA подключается к порту 80 по обычному HTTP, может следовать перенаправлениям (на HTTP или HTTPS на портах 80 или 443) и ожидает в теле ответа точную строку авторизации ключа. Способ работает только для имён хостов, которые в публичном DNS указывают на подконтрольный вам сервер, и не позволяет подтвердить wildcard-имена.
Типичные причины сбоев: порт 80 закрыт межсетевым экраном или группой безопасности в облаке; записи IPv6 указывают на хост, который не отвечает (CA предпочитают IPv6, если есть запись AAAA); балансировщик нагрузки направляет запрос не на тот узел, где лежит токен; CDN кеширует устаревший ответ на проверку; перенаправления ведут на нестандартные порты.
С 2025 года публичные CA обязаны подтверждать результат проверки из нескольких точек сети в разных регионах (Baseline Requirements, § 3.2.2.9), поэтому http-01 может не пройти и из-за геоблокировки или маршрутизации, которая зависит от региона.