Let’s Encrypt: HTTPS kostenlos einrichten
Autor: Redaktion Domeny.ForSale Veröffentlicht
Kurz gesagt: Let’s Encrypt ist eine kostenlose Zertifizierungsstelle, die Zertifikate für den Einsatz von HTTPS auf Websites ausstellt. Damit kann der Browser die Identität des Servers für eine bestimmte Domain bestätigen und eine verschlüsselte Verbindung aufbauen. Bei vielen Hosting-Anbietern genügt es, die entsprechende Option im Verwaltungsbereich zu aktivieren. Allerdings müssen auch die automatische Erneuerung des Zertifikats und die korrekte Konfiguration der Website sichergestellt sein.
Was bringt ein Zertifikat von Let’s Encrypt?
Let’s Encrypt wird von der gemeinnützigen Organisation Internet Security Research Group (ISRG) betrieben. Der Dienst fungiert als Zertifizierungsstelle, stellt also digitale Zertifikate aus, die von Browsern und anderen Programmen anerkannt werden. Ein Zertifikat verknüpft den Domainnamen mit dem öffentlichen Schlüssel, der zur Absicherung der Verbindung verwendet wird.
HTTPS ist das Protokoll HTTP, abgesichert durch TLS — einen Mechanismus zur Verschlüsselung der Kommunikation. Er schützt die übertragenen Daten davor, auf dem Weg zwischen Browser und Server von Dritten gelesen oder verändert zu werden. Das ist beim Anmelden, beim Absenden eines Formulars oder bei einer Bestellung wichtig, aber auch beim einfachen Lesen einer Website.
In Hosting-Angeboten begegnet Ihnen weiterhin die Bezeichnung „SSL-Zertifikat“. Meist ist damit ein Zertifikat gemeint, das mit TLS verwendet wird, dem heutigen Nachfolger des veralteten Protokolls SSL. Sie müssen nicht nach einem separaten Produkt suchen, nur weil Ihr Hosting-Verwaltungsbereich die ältere Bezeichnung verwendet.
HTTPS bestätigt nicht die Seriosität des Website-Betreibers. Auch eine Website, die Daten abgreifen soll, kann ein gültiges Zertifikat besitzen. Let’s Encrypt prüft die Kontrolle über die Domain, nicht die Vertrauenswürdigkeit eines Shops, die Sicherheit seiner Software oder die Identität des Unternehmens.
Wie funktionieren Ausstellung und Erneuerung?
Let’s Encrypt stellt Zertifikate vom Typ DV aus, also Domain Validation. Vor der Ausstellung muss die Kontrolle über die angegebene Domain nachgewiesen werden. Dafür kommt ACME zum Einsatz — ein Protokoll, mit dem Software Zertifikate automatisch anfordern und erneuern kann.
Die gängigsten Prüfverfahren sind:
- HTTP-01: Die Software stellt eine spezielle Datei unter einer vorgegebenen Adresse der Website bereit. Der Prüfserver muss sie über Port 80 abrufen können.
- DNS-01: Im DNS der Domain, also dem System, das ihre Netzwerkeinstellungen speichert, wird ein spezieller TXT-Eintrag hinterlegt. Mit diesem Verfahren lässt sich auch ein Wildcard-Zertifikat ausstellen, das Subdomains abdeckt, etwa
*.example.com.
Die Wildcard *.example.com deckt beispielsweise shop.example.com ab, nicht aber die Domain example.com selbst oder die Adresse panel.shop.example.com. Die Hauptdomain kann als zusätzlicher Name in das Zertifikat aufgenommen werden.
Zertifikate sind nur begrenzt gültig. Deshalb ist die automatische Erneuerung ein wesentlicher Bestandteil von Let’s Encrypt. Verlassen Sie sich dafür nicht auf eine manuell eingetragene Kalendererinnerung. Prüfen Sie die aktuellen Gültigkeitszeiträume, verfügbaren Zertifikatsprofile und Ausstellungslimits in der offiziellen Dokumentation von Let’s Encrypt. Das Ablaufdatum eines bestimmten Zertifikats finden Sie auch in dessen Details.
Wie aktivieren Sie Let’s Encrypt auf Ihrer Website?
Beginnen Sie bei Shared Hosting im Verwaltungsbereich. Suchen Sie nach einem Abschnitt namens „SSL“, „TLS“, „HTTPS“ oder „Let’s Encrypt“. Prüfen Sie, ob der Dienst sowohl die Ausstellung als auch die Installation und automatische Erneuerung des Zertifikats umfasst — der Leistungsumfang hängt vom Anbieter ab.
Wenn beispielsweise ein Blog unter example.com erreichbar ist und die Adresse www.example.com auf den Blog weiterleitet, sollte das Zertifikat beide Namen abdecken. Der Browser baut zunächst eine HTTPS-Verbindung zur aufgerufenen Adresse auf und erhält erst danach die Weiterleitung.
In der Praxis bietet sich diese Reihenfolge an:
- Prüfen Sie, ob die Domain und die verwendeten Subdomains auf den richtigen Server verweisen.
- Aktivieren Sie das Zertifikat für alle Namen, unter denen die Website erreichbar sein soll.
- Öffnen Sie die Website über
https://und testen Sie Formulare, Anmeldung und die eingebundenen Ressourcen. - Legen Sie im Content-Management-System eine Adresse mit HTTPS als Hauptadresse fest und richten Sie die Weiterleitung von HTTP ein.
- Prüfen Sie, ob die automatische Erneuerung und die Benachrichtigungen bei Fehlern funktionieren.
Auf einem eigenen Server können Sie einen ACME-Client wie Certbot oder einen Webserver mit integrierter ACME-Unterstützung verwenden. Die konkreten Befehle hängen vom Betriebssystem und der Konfiguration ab. Wenn Sie die DNS-Prüfung automatisieren, beschränken Sie die Berechtigungen der Zugangsdaten für DNS und schützen Sie diese vor Offenlegung.
Reicht ein kostenloses Zertifikat für einen Shop oder eine Firmenwebsite?
Für einen typischen Blog, eine Firmenwebsite oder einen Onlineshop reicht Let’s Encrypt in der Regel aus, um die HTTPS-Verbindung abzusichern. Ein kostenloses Zertifikat bedeutet nicht grundsätzlich eine schwächere Verschlüsselung. Die Sicherheit hängt auch von der Konfiguration von TLS, dem Schutz des privaten Schlüssels und einem aktuellen Softwarestand des Servers ab.
Ein kostenpflichtiges Zertifikat kann sinnvoll sein, wenn Sie eine Überprüfung der Organisationsdaten oder bestimmte Supportleistungen des Anbieters benötigen oder vertragliche Anforderungen erfüllen müssen. OV- und EV-Zertifikate umfassen eine zusätzliche Prüfung der Organisation; Let’s Encrypt stellt diese nicht aus. Der Kauf eines Zertifikats allein schützt eine Anwendung nicht vor einem Einbruch.
Die Ausstellung von Zertifikaten durch Let’s Encrypt ist kostenlos. Der Hosting-Anbieter kann jedoch Gebühren für deren Verwaltung verlangen. Prüfen Sie vor der Wahl eines Dienstes die Preisliste und die Bedingungen des Anbieters, insbesondere die Kosten für Installation und Erneuerung.
Was prüfen, wenn HTTPS nicht richtig funktioniert?
Eine Browserwarnung kann durch ein abgelaufenes Zertifikat, einen fehlenden passenden Domainnamen im Zertifikat oder eine unvollständige Zertifikatskonfiguration auf dem Server ausgelöst werden. Stellen Sie nach einem Hosting-Umzug sicher, dass auch der neue Server das Zertifikat erneuert — die Automatisierung auf dem bisherigen Server übernimmt diese Aufgabe nicht.
Ein anderes Problem ist Mixed Content: Dabei werden Ressourcen über HTTP geladen, obwohl die Website über HTTPS geöffnet wurde. Das betrifft beispielsweise Bilder, Skripte oder Stylesheets. Der Browser kann solche Ressourcen blockieren. Ihre Adressen müssen dann im Inhalt, in der Vorlage oder in den Einstellungen der Anwendung korrigiert werden.
Prüfen Sie nach der Aktivierung von HTTPS nicht nur die Startseite, sondern auch das Kontaktformular, den Anmeldebereich und den Bestellablauf. Richten Sie abschließend eine Überwachung des Zertifikatsablaufs ein, damit ein Fehler bei der Erneuerung nicht unbemerkt bleibt.
Siehe auch: Was sind Domains mit polnischen Sonderzeichen?
Lesen Sie auch
