• 간편 가입 하세요!
• 로그인

CA/B 정책에 따라, 모든 인증기관 CA 의 인증서 발급에서, 대상 도메인의 DNS 조회를 검사하도록 강제되어 있습니다. ACME 를 이용한 SSL 발급도 예외없이 MPIC 정책이 적용됩니다.

[2026-09-09 17:41:38 KST] Verifying: *.domain.com
[2026-09-09 17:43:48 KST] Processing. The CA is processing your order, please wait. (1/30)
[2026-09-09 17:43:53 KST] The retryafter=86400 value is too large (> 600), will not retry anymore.

위 로그는 acme.sh 에서 Sectigo ACME 에 접근하여, DCV 인증에서 MPIC 정책을 통과하지 못했을경우, 발생하는 내용입니다.

DCV 1차 검증 실패 후 Sectigo 서버가 백오프(재시도 제한)를 위해 보낸 Retry-After: 86400 (24시간) 헤더를 acme.sh 클라이언트가 감지하고 프로세스를 강제 종료한 명확한 클라이언트-서버 간 규격 충돌 이슈입니다.



[DNS 레코드 응답 지연]

클라이언트(acme.sh 등)가 와일드카드용 DNS TXT 레코드를 DNS API를 통해 등록합니다. ➜ DNS 전파 속도가 느리거나 TTL 설정 문제로 인해, Sectigo 검증 서버가 즉시 해당 TXT 레코드를 읽지 못해 1차 검증 실패(Invalid/Pending) 처리를 합니다. 

CA는 짧은 시간 내에 반복적인 검증 요청(Aggressive Polling)이 들어오면, HTTP 응답 헤더에 Retry-After: 86400을 실어 보냅니다. 이는 DNS 전파에 시간이 소요되므로, "24시간(86400초) 이 지난 후에 재요청 해보라"는 CA 측의 지연 명령어입니다.

acme.sh 스크립트 내부에는 CA가 제시한 대기 시간(Retry-After)이 600초(10분)를 초과하면 발급 프로세스가 무한 루프에 빠지거나 세션을 붙잡고 있는 것을 방지하기 위해 스크립트 동작을 강제로 안전 종료(Exit)하도록 코딩되어 있습니다.


[조치 또는 우회 방안]

(최우선 권장 방안) 일반적인 DNS 서버나 또는 해외 지역 제한 설정이 되어 있는 DNS 서버에서 자주 발생하고 있습니다. 전세계 대부분의 지역에서 원활한 응답을 지원하는 클라우드플레어DNS(무료) 로, 고객측 네임서버를 변경하는 것입니다. (DNS 서버가 불안정하면, 이번에 성공하였어도 다음번에는 통과지연 될수도 있음)

MPIC 정책에 대한 자세한 설명 보기

DCV 레코드가 완벽히 전파될 때까지 클라이언트가 검증 요청을 보내지 않고 기다려야 합니다. 명령어를 다시 실행할 때 --dnssleep 600 또는 --dnssleep 900 옵션을 추가하여 TXT 레코드 등록 후 최소 10~15분간 대기한 뒤 Sectigo에 검증을 요청하도록 강제 설정하세요.