Cert-Manager

acme-dns: DNS-01 sin dar la llave de toda la zona (delegación CNAME de _acme-challenge) con certbot y cert-manager

NS auth.example.com → acme-dns; POST /register → username, password, fulldomain; CNAME _acme-challenge.example.com → . certbot certonly –manual –manual-auth-hook /etc/letsencrypt/acme-dns-auth.py –preferred-challenges dns -d ‘*.example.com’ -d example.com. En Kubernetes, solver dns01.acmeDNS con accountSecretRef. acme-dns 2.0.2 (febrero de 2025) sigue activo.

cert-manager: el reto HTTP-01 devuelve 308 (falta ingressClassName en el solver) y otros fallos del self-check

ingressClassName: nginx dentro de solvers.http01.ingress y borra el Challenge atascado. Si el self-check no llega a la IP pública desde dentro del clúster, es NAT reflection o split DNS, no cert-manager.