letsencrypt 인증서 재발급 실패(SERVFAIL)

Letsencrypt 인증서 갱신할 때 “CAA record for iws.iptime.org prevents issuance”오류가 발생하는 경우가 있어 해결방법을 기술한다.

[2026-07-15 업데이트] 두 가지가 바뀌었다.

이 글에서 사용한 letsencrypt-auto 스크립트는 2021년에 지원이 중단되어 더 이상 쓸 수 없다. 지금은 snap으로 설치한 certbot을 사용한다. (sudo snap install --classic certbot) 아래 명령들은 certbot 기준으로 바꿔 적었으며, SERVFAIL 오류의 원인과 해결방법(DNSSEC 지원 네임서버로 변경) 자체는 지금도 유효하다.

본문에 언급한 만료 안내 메일(Expiry Bot)은 2025년 6월부터 발송이 중단되었다. 만료 관리는 certbot 자동갱신(systemd timer)에 맡기면 된다.

인증서 재발급 (renew)

Letsencrypt로 기존에 발급 받은 인증서를 90일 이전에 재발급 할 경우에는 아래와 같이 –force-renewal 옵션(구 letsencrypt-auto의 --renew-by-default에 해당)으로 실행하며 진행과정은 초기와 동일하다.

Let’s Encrypt Expiry Bot expiry@letsencrypt.org이 친절하게 메일을 보내준다. (2025년 6월부터 만료 안내 메일은 발송되지 않는다.)

sudo certbot certonly --force-renewal --manual -d test.domain.com

# (당시 letsencrypt-auto 명령)
[root@localhost letsencrypt]# ./letsencrypt-auto certonly --renew-by-default --manual --no-bootstrap -d test.domain.com

./letsencrypt-auto has insecure permissions!
To learn how to fix them, visit https://community.letsencrypt.org/t/certbot-auto-deployment-best-practices/91979/
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator manual, Installer None Please enter in your domain name(s) (comma and/or space separated)  (Enter 'c' to cancel): test.domain.com
Renewing an existing certificate for test.domain.com
Performing the following challenges:
http-01 challenge for test.domain.com

인증서 발급 및 갱신 실패

개발용으로 쓰고 있던 softroom.duckdns.org DDNS로 갱신을 하려고 하니 아래와 같이 CAA record 오류가 발생하는 경우가 있다.

SERVFAIL이 나오는 경우 DNS를 “1.1.1.1” 과 같은 DNSSEC을 지원하는 네임서버로 바꾸고 시도하면 재발급이 완료된다.

참고 : The domain’s name servers may be malfuntioning

Waiting for verification...
Challenge failed for domain softroom.duckdns.org
http-01 challenge for softroom.duckdns.org
Cleaning up challenges
Some challenges have failed.

IMPORTANT NOTES:
 - The following errors were reported by the server:

   Domain: softroom.duckdns.org
   Type:   dns
   Detail: DNS problem: SERVFAIL looking up CAA for
   softroom.duckdns.org - the domain's nameservers may be malfunctioning

Cloudflare 1.1.1.1 DNS 적용

클라우드플레어에서 제공하는 DNS를 설정은 1.1.1.1 Setup on PC 가이드를 참고한다.

설정 > 네트워크 및 인터넷 > 이더넷 > IP 설정

1.1.1.1

이전에 “iptime.org” DDNS의 경우에는 “CAA RR(리소스 레코드)”가 허용목록에 없어서 발급이 안되는 경우였고 아래 링크에 오류 내용을 적어뒀다.

letsencrypt 인증서 발급하기

인증서 재발급 (renew)

인증서 발급 및 갱신 실패

Cloudflare 1.1.1.1 DNS 적용

참고

관련글 목록