Se você usa o Cloudflare, certifique-se de que seu registro CNAME esteja definido como DNS only (ícone de nuvem cinza) e não como Proxied (ícone de nuvem laranja).
Quando um registro está proxied, o Cloudflare oculta seu CNAME e serve o tráfego através de seus próprios servidores, gerenciando o TLS por conta própria. Como resultado, não conseguimos ver que o registro aponta para mydomain.onelink.to, e não podemos verificar seu domínio nem emitir um certificado TLS para ele. Para corrigir, abra as configurações de DNS do Cloudflare, encontre o registro do seu subdomínio e clique na nuvem laranja para que fique cinza ("DNS only"). A verificação deve ser concluída em poucos minutos.
O mesmo se aplica a outros serviços de proxy, CDN ou web-firewall (como Sucuri, Imperva ou StackPath): desative o proxying para este registro para que o CNAME aponte diretamente para nossos servidores.