¿Por qué el registro CNAME no se ha resuelto para mi certificado emitido por ACM y el estado de la validación de DNS sigue siendo “Validación pendiente”?

Descripción breve

Las solicitudes de certificados de validación de DNS pueden permanecer en el estado Pendiente de validación por los siguientes motivos:

• No has añadido el registro CNAME a la configuración de DNS correcta.
• El registro CNAME contiene caracteres adicionales o le faltan caracteres.
• Has añadido el registro CNAME a la configuración de DNS correcta, pero el proveedor de DNS ha añadido automáticamente el dominio básico al final de sus registros DNS.
• Existen un registro CNAME y un registro TXT para el mismo nombre de dominio.

Nota: ACM comprueba periódicamente el registro DNS. No puedes comprobar manualmente el registro DNS.

Para obtener más información, consulta AWS Certificate Manager DNS validation (Validación de DNS de AWS Certificate Manager).

Resolución

Nota: Ejecuta los comandos de Linux y macOS en la terminal de la máquina. O bien, ejecuta los comandos de Windows en PowerShell o cmd.

No has añadido el registro CNAME a la configuración de DNS correcta

Para comprobar si has añadido el registro CNAME a la configuración de DNS correcta, ejecuta el siguiente comando:

**Nota:**Reemplace example-cname.example.com por su registro CNAME de ACM.

Linux y macOS:

dig +short _example-cname.example.com

Windows:

nslookup -type=cname _example-cname.example.com

Si has añadido el registro CNAME a la configuración de DNS correcta y el registro se ha propagado, la salida del comando contiene el valor del registro CNAME.

Nota: Algunos proveedores de DNS pueden tardar entre 24 y 48 horas en propagar los registros DNS.

Si el comando anterior no ha devuelto ningún resultado, añade el registro CNAME a la configuración de DNS correcta. Para determinar la configuración de DNS a la que debes añadir el registro CNAME, ejecuta el siguiente comando:

Linux y macOS:

dig NS example.com

Windows:

nslookup -type=ns example.com

La salida del comando proporciona los servidores de nombres incluidos en el registro NS de la configuración de DNS correcta. Confirma que la configuración de DNS a la que añades el registro CNAME incluya un registro NS con estos servidores de nombres.

Para obtener información sobre cómo añadir registros CNAME a la zona alojada de Amazon Route 53, consulta Creating records by using the Amazon Route 53 console (Creación de registros mediante la consola de Amazon Route 53).

Nota: Cuando el registro CNAME está en una zona alojada privada de Route 53, no puedes validar la propiedad del dominio. El registro CNAME debe estar en una zona alojada pública.

El registro CNAME contiene caracteres adicionales o le faltan caracteres

Si el registro CNAME contiene caracteres adicionales, elimínalos. Si faltan caracteres en el nombre o el valor, añádelos.

Has añadido el registro CNAME a la configuración de DNS correcta, pero el proveedor de DNS ha añadido automáticamente el dominio básico al final de sus registros DNS

Algunos proveedores de DNS pueden añadir automáticamente el dominio básico al final del campo de nombre de todos los registros DNS. El registro CNAME propagado es similar al siguiente:

_example-cname.example.com.example.com

Como el nombre del registro CNAME no coincide con el que proporciona ACM, la validación no se ha realizado correctamente. El certificado de ACM permanece en el estado Validación pendiente hasta que se produzca un error 72 horas después de la solicitud.

Para determinar si su proveedor de DNS ha añadido automáticamente el dominio vacío al final del registro CNAME, ejecuta el comando siguiente:

Linux y macOS:

dig +short _example-cname.example.com.example.com

Windows:

nslookup -type=cname _example-cname.example.com.example.com

Si el resultado devuelve el valor del registro CNAME, entonces el proveedor de DNS ha añadido el dominio vacío.

Para resolver este problema, edita el registro CNAME para eliminar el dominio vacío del texto que has introducido en el campo de nombre.

Una vez que el proveedor de DNS añada el dominio vacío, solo queda un dominio vacío.

Existen un registro CNAME y un registro TXT para el mismo nombre de dominio

Para comprobar si el registro CNAME y el registro TXT existen para el mismo dominio, ejecuta los siguientes comandos:

Linux y macOS:

dig +short CNAME cname_record_name

dig TXT cname_record_name

Windows:

nslookup -type=CNAME cname_record_name

nslookup -type=TXT cname_record_name

Compara los tipos de registro CNAME y TXT en las salidas de los comandos. Si son idénticos, entonces un registro con formato incorrecto sigue teniendo el certificado en el estado Validación pendiente. Para resolver este problema, elimina el registro TXT.

Para obtener más información, consulta Troubleshoot DNS validation problems (Solución de problemas de validación de DNS).

Información relacionada

Troubleshoot managed certificate renewal (Solución de problemas de renovación de certificados administrados)

¿Por qué el estado de renovación de mi certificado de ACM sigue siendo “Validación pendiente” después de haber utilizado el proceso de renovación administrada de ACM para validar mi nombre de dominio?

Setting up DNS validation (Configuración de la validación de DNS)