Hello à tous !
J'ai un certificat en cours de régénération depuis… plus d'une semaine !
La personne en contact avec moi sur le ticket me dit que le problème vient de la config DNS mais aucune info supplémentaire. Je ne sais pas quoi faire 
Ticket numéro 3847073184
url : bofema.crous-bfc.fr
Si quelqu'un a une idée ça serait vraiment cool !
Merci !
dans le multisite Ovh, tu ne dois pas activer pour le cluster 28 (ne pas toucher à ça)<br /><br />la zone DNS est Ok<br /><br />```text<br />dig +nocmd +noall +answer bofema.crous-bfc.fr A @ns2.nuonet.fr<br /> bofema.crous-bfc.fr. 86400 IN A 92.222.139.190<br /> dig +short -x 92.222.139.190 -> cluster028.hosting.ovh.net<br /><br />dig +nocmd +noall +answer www.bofema.crous-bfc.fr A @ns2.nuonet.fr<br /> bofema.crous-bfc.fr. 86400 IN A 92.222.139.190<br />```<br /><br />par contre:<br /><br />ton TLL est préhistorique, à changer pour éviter des délais de propagation longs au changement<br />3600 ou 600 par exemple<br /><br />bug Ovh depuis des mois, au moins depuis fin janvier 2020, toujours pas rectifié, tu as hérité d'Ip en Irlande<br /><br />manager Ovh / hébergement / multisite:<br />modifier les lignes en choisissant une **Ip d'un pays** plus approprié pour voir les ip à configurer<br /><br />en france: **51.91.236.193**
Merci pour ta réponse Kyodev,
Dans le multisite, le SSL n'est pas actif pour le cluster28 normalement.
Je vais faire la demande du changement de TTL pour l'avenir à mon contact qui s'occupe du nom de domaine. Merci 
Le multisite est bien actif de mon côté (le site est accessible via son adresse), et l'IPv6 a été désactivée et supprimée du DNS après recommandation de mon contact technique chez OVH par rapport à ce soucis de SSL. Mais rien n'a changé.
> l'IPv6 a été désactivée et supprimée du DNS
très bien
> Mais rien n'a changé.
tu as [commandé] le certificat gratuit?
Il y a la bande d'info verte "Régénération du certificat SSL en cours…" affichée et les deux boutons pour commander ou régénérer le certificat sont grisées avec un cercle de chargement infini. J'ai donc aucune action possible et la seule réponse d'OVH a été
> "En effet, l'opération d'installation du certificat SSL est tombée en erreur de
> nouveau car il y a un souci dans la configuration DNS de votre nom de domaine.
> De ce fait, je vous invite à vous rapprocher du prestataire qui gère vos
> serveurs DNS afin d'y remédier."
> en erreur de
nouveau car il y a un souci dans la configuration DNS de votre nom de domaine.
voir plus haut, ta zone est ok…
peut-être te rapprocher d'un fournisseur pro avec un support intelligent, où avoir un SSL ne prend pas des heures?
J'ai pu en créer un sur zeroSSL mais l'installation nécessite de bidouiller la config apache et demande à avoir accès à des dossiers inaccessibles pour moi.
tu es sur un mutualisé
donc tu ne peux rien faire de toi même
C'est bien ça le soucis oui. 
je tente de contacter le service OVH par le chat, cela pourra peut-être débloquer la solution plus rapidement ?
À priori ce serait la zone DNS CAA qui bloquerait cette gestion de certificat.
On supprime le tout et on croise les doigts 
Bonjour,
On supprime le tout et on croise les doigts
ou il suffit de modifier l'enregistrement CAA pour autoriser let's encrypt…
Cordialement, janus57
ah oui
ou si le sectigo est un wildcard, l'installer sur le sous-domaine, ce qui n'est pas forcément simple
On va surement tester cela oui.
Il faut entrer letsencrypt.org dans la zone CAA c'est bien ça ?
Bonjour,
pour avoir sectigo + let's encrypt par exemple :<br /><a href="example.com." target="_blank" rel="nofollow noopener">example.com.</a> IN CAA 0 issue "<a href="letsencrypt.org" target="_blank" rel="nofollow noopener">letsencrypt.org</a>"<br /><a href="example.com." target="_blank" rel="nofollow noopener">example.com.</a> IN CAA 0 issue "<a href="sectigo.com" target="_blank" rel="nofollow noopener">sectigo.com</a>"<br />
Cordialement, janus57
Merci pour votre réponse janus.
En reprenant votre exemple ce serait plutôt
bofema.1bfc.frbfc.fr IN CAA 0 issue "letsencrypt.org"
1bfc.frbfc.fr IN CAA 0 issue "sectigo.com"
Ou
1bfc.frbfc.fr IN CAA 0 issue "letsencrypt.org"
1bfc.frbfc.fr IN CAA 0 issue "sectigo.com"
Sachant que sectigo gère le certificat pour 1bfc.frbfc.fr** et let's encrypt gèrera le certificat pour bofema.1bfc.frbfc.fr**
Merci,
Viktor
Bonjour,
1bfc.frbfc.fr IN CAA 0 issue "letsencrypt.org"
1bfc.frbfc.fr IN CAA 0 issue "sectigo.com"
cette solution est la plus simple car elle sous-entend les sous-domaine, ce qui fait que si dans 6mois vous décider de créer v2new.1bfc.frbfc.fr et de lui donner un certificat let's encrypt (ou sectigo), pas de problème cela sera autorisé grâce à l'entrée CAA du domaine root.
Cordialement, janus57
Le changement a été fait, on attend la propagation et de voir si ça résout le soucis.
Merci beaucoup !
```text<br />dig +nocmd +noall +answer crous-bfc.fr CAA @ns1.crous-bfc.fr<br />crous-bfc.fr. 86400 IN CAA 0 issue "letsencrypt.org"<br />crous-bfc.fr. 86400 IN CAA 0 issue "sectigo.com"<br />crous-bfc.fr. 86400 IN CAA 0 issuewild "sectigo.com"<br />```<br />c'est ok<br />si propagation DNS tu es mal avec un TTL de 1 jour...<br /><br />c'est quoi ce '_issuewild_'?
Ce n'est pas moi qui m'occupe de ces DNS, mais d'après mes recherches :
> issuewild: explicitly authorizes a single certificate authority to issue a wildcard certificate (and only wildcard) for the hostname.
Bonjour,
Et pour ceux qui ont un doute, voilà un petit générateur : https://sslmate.com/caa/
Cordialement, janus57