SSL-Zertifikate erklärt: Let's Encrypt, Origin CA, Full Strict

Jede Website braucht HTTPS. Browser warnen Besucher vor Seiten ohne HTTPS, Formulare und Logins hängen davon ab, und Suchmaschinen bevorzugen es. Ein Zertifikat zu bekommen ist heute kostenlos und überwiegend automatisch, doch die Entscheidungen drumherum können verwirrend bleiben, vor allem sobald Cloudflare im Spiel ist. Dieser Ratgeber erklärt, was ein SSL-Zertifikat leistet, welche zwei kostenlosen Zertifikatsarten Ihnen am ehesten begegnen und wie die SSL-Modi von Cloudflare zusammenpassen.

Was ein SSL-Zertifikat leistet

Ein SSL-Zertifikat (streng genommen ein TLS-Zertifikat) erfüllt zwei Aufgaben:

1. Verschlüsselung. Es ermöglicht Browser und Server, sich auf Schlüssel zu einigen, um alles zwischen ihnen Gesendete zu verschlüsseln, sodass niemand im Netzwerk Passwörter, Formulardaten oder Zahlungsdetails lesen kann.
2. Identität. Es belegt, dass der Server Ihre Domain ausliefern darf. Eine vertrauenswürdige Zertifizierungsstelle (CA) hat es ausgestellt, nachdem sie geprüft hat, dass der Antragsteller die Domain kontrolliert.

Funktionieren beide, zeigt der Browser die Website als sicher an. Fehlt das Zertifikat, ist es abgelaufen oder für einen anderen Namen ausgestellt, zeigt der Browser eine Warnung, die die meisten Besucher vertreibt.

Arten von Zertifikaten

• Domain Validated (DV): belegt die Kontrolle über die Domain. Kostenlose Zertifikate sind von dieser Art, und sie genügt den meisten Websites.
• Organization Validated (OV) und Extended Validation (EV): prüfen zusätzlich die Organisation hinter der Domain. Browser zeigen das nicht mehr auffällig an, der praktische Nutzen für die meisten Websites ist daher gering.
• Wildcard: deckt alle Subdomains einer Domain ab, etwa *.example.com.

Let's Encrypt: kostenlos, vertrauenswürdig, automatisch

Let's Encrypt ist eine gemeinnützige Zertifizierungsstelle, die kostenlose DV-Zertifikate ausstellt, denen alle gängigen Browser vertrauen. Zertifikate sind höchstens einige Monate gültig und dafür gedacht, von der Serversoftware automatisch erneuert zu werden.

Zur Ausstellung prüft Let's Encrypt, ob Sie die Domain kontrollieren, in der Regel indem es über HTTP eine spezielle Datei von der Domain abruft. Die Domain muss also bereits auf den Server zeigen, der das Zertifikat ausstellt.

Verwenden Sie Let's Encrypt, wenn:

• Besucher sich direkt mit Ihrem Server verbinden, ohne Cloudflare.
• Sie Ihr eigenes Cloudflare-Konto nutzen und ein Zertifikat auf dem Server möchten, dem jeder Client vertraut.

Cloudflare Origin CA: für die Verbindung hinter Cloudflare

Läuft Ihre Website über den Proxy von Cloudflare, gibt es zwei Verbindungen: Besucher zu Cloudflare und Cloudflare zu Ihrem Server (dem Origin). Die erste übernimmt Cloudflare mit einem eigenen Zertifikat. Für die zweite bietet Cloudflare Origin-CA-Zertifikate an.

Ein Origin-CA-Zertifikat ist kostenlos und kann viele Jahre gültig sein, Verlängerungen sind also selten ein Thema. Der Haken: Ihm wird nur von Cloudflare vertraut, nicht von Browsern. Wenn jemand Cloudflare umgeht und sich direkt mit dem Server verbindet oder Sie den Proxy von Cloudflare für die Domain abschalten, zeigen Browser eine Warnung. Es ist nur dann die richtige Wahl, wenn die Domain dauerhaft hinter Cloudflare liegt.

SSL-Modi von Cloudflare

Cloudflare lässt Sie wählen, wie es sich mit Ihrem Server verbindet:

Off

Überhaupt kein HTTPS. Für eine öffentliche Website nicht akzeptabel.

Flexible

Besucher verbinden sich per HTTPS mit Cloudflare, doch Cloudflare verbindet sich per unverschlüsseltem HTTP mit Ihrem Server. Der Browser zeigt ein Schloss, obwohl die halbe Strecke unverschlüsselt ist. Außerdem verursacht er Weiterleitungsschleifen, wenn der Server selbst von HTTP auf HTTPS umleitet. Vermeiden Sie ihn.

Full

Cloudflare verbindet sich per HTTPS mit dem Server, akzeptiert aber jedes Zertifikat, auch ein abgelaufenes oder selbst signiertes. Der Datenverkehr ist verschlüsselt, doch Cloudflare prüft nicht, mit wem es spricht. Als vorübergehende Einstellung ist er nützlich, solange Sie ein ordentliches Zertifikat ausstellen.

Full (strict)

Cloudflare verbindet sich per HTTPS und prüft, ob das Zertifikat des Servers gültig ist und zu Ihrer Domain passt. Sowohl ein Let's-Encrypt-Zertifikat als auch ein Origin-CA-Zertifikat erfüllt das. Das ist der Modus, den Sie wollen.

Welche Kombination sollten Sie verwenden?

• Kein Cloudflare: Let's Encrypt auf dem Server.
• Ihr Hoster verwaltet Cloudflare für Sie: Origin CA auf dem Server mit Full (strict) ist eine saubere, langlebige Lösung.
• Ihr eigenes Cloudflare-Konto: Let's Encrypt auf dem Server mit Full (strict). Verwenden Sie Full nur, bis das Zertifikat ausgestellt ist.

So prüfen Sie ein Zertifikat selbst

Sie brauchen keine Spezialwerkzeuge, um zu sehen, welches Zertifikat eine Website nutzt. Klicken Sie in den meisten Browsern neben der Adresse auf das Schloss oder das Symbol für Website-Informationen und öffnen Sie dann die Zertifikatsdetails. Achten Sie auf drei Dinge:

• Ausgestellt für: die Domainnamen, die das Zertifikat abdeckt. Sowohl die Hauptdomain als auch www sollten aufgeführt oder durch eine Wildcard abgedeckt sein.
• Ausgestellt von: die Zertifizierungsstelle. Hinter dem Proxy von Cloudflare sehen Sie das Zertifikat, das Cloudflare den Besuchern zeigt, nicht das auf Ihrem Server.
• Gültig bis: das Ablaufdatum. Bei automatischer Erneuerung sollte es immer einige Wochen in der Zukunft liegen.

Ist ein Zertifikat kurz vor dem Ablauf und wurde nicht erneuert, liegt die Ursache meist darin, dass die Domain nicht mehr auf den Server zeigt, der es ausgestellt hat.

Häufige SSL-Probleme und ihre Lösung

• „Zu viele Weiterleitungen“: fast immer steht Cloudflare auf Flexible, während die Website HTTPS erzwingt. Wechseln Sie auf Full (strict), sobald der Server ein Zertifikat hat.
• Warnungen wegen gemischter Inhalte: Die Seite lädt Bilder oder Skripte über http://. Aktualisieren Sie diese Links auf https:// oder nutzen Sie die Suchen-und-Ersetzen-Funktion Ihres CMS.
• Zertifikat kann nicht ausgestellt werden: Prüfen Sie, ob die Domain und www auf den richtigen Server zeigen und ob sich DNS-Änderungen verbreitet haben.
• Warnung nach dem Verlassen von Cloudflare: Auf dem Server liegt noch ein Origin-CA-Zertifikat. Stellen Sie stattdessen ein Let's-Encrypt-Zertifikat aus.

Eine Schritt-für-Schritt-Hilfe finden Sie in unserem Artikel zu SSL-Zertifikaten in Plesk.

Kostenloses SSL in jedem Zebra-Tarif

Jeder Zebra-Hosting-Tarif enthält kostenloses SSL, das für Sie eingerichtet wird:

• Mit Zebras Cloudflare installieren wir ein Origin-CA-Zertifikat auf dem Server und betreiben die Domain im Modus Full (strict).
• Mit Ihrem eigenen DNS oder Cloudflare stellen Sie im Kundenbereich ein kostenloses Let's-Encrypt-Zertifikat aus, sobald Ihre Einträge auf uns zeigen.

Sehen Sie sich Shared Hosting ab €2.99 im Monat oder WordPress Hosting ab €3.99 im Monat an, beide jährlich abgerechnet, mit Plesk und Cloudflare inklusive und Einrichtung in etwa zwei Minuten.