RFC 8555 §8.3：CA 通过明文 HTTP 连接 80 端口，可以跟随重定向（指向 80 或 443 端口上的 HTTP 或 HTTPS），并要求响应体与密钥授权字符串完全一致。这种方法只适用于公开解析到你所控制的服务器的主机名，而且无法验证通配符域名。
常见失败原因：80 端口被防火墙或云安全组拦截；IPv6 记录指向不响应的主机（存在 AAAA 记录时，CA 会优先使用 IPv6）；负载均衡器把请求路由到了未保存该令牌的节点；CDN 缓存了过时的挑战响应；以及重定向到不常见的端口。
自2025年起，公共 CA 必须从位于不同地区的多个网络视角佐证验证结果（《基线要求》§3.2.2.9），因此地理封锁或按地区路由也可能导致 http-01 失败。