SSL-Zertifikat einrichten: Let's Encrypt
Wir zeigen Schritt für Schritt, wie Sie mit Certbot ein kostenloses SSL-Zertifikat von Let's Encrypt beziehen, auf Nginx oder Apache einrichten und automatische Erneuerung sowie HTTPS-Weiterleitung konfigurieren.
Aurora YazılımRedaktionsteam
6 Min. Lesezeit
Für die Einrichtung eines SSL-Zertifikats muss Ihre Domain auf den Server zeigen und Port 80 offen sein. Sie installieren Certbot auf dem Server und führen sudo certbot --nginx oder --apache aus; Certbot bezieht das Zertifikat, konfiguriert den Webserver und richtet die automatische Erneuerung ein. Zum Schluss testen Sie die Erneuerung mit certbot renew --dry-run.
Was sind Let's Encrypt und Certbot?
Let's Encrypt ist eine Zertifizierungsstelle der gemeinnützigen ISRG, die domainvalidierte (DV) Zertifikate kostenlos ausstellt. Wenn Sie wissen möchten, wofür ein Zertifikat gut ist und welche Arten es gibt, lesen Sie zuerst unseren Beitrag Was ist ein SSL-Zertifikat?.
Certbot ist der von der EFF entwickelte offizielle Client, der über das ACME-Protokoll mit Let's Encrypt kommuniziert. Er fordert das Zertifikat an, bestätigt, dass die Domain Ihnen gehört, konfiguriert Nginx oder Apache und plant die Erneuerung ein.
Zertifikate von Let's Encrypt sind kurzlebig; die Standardgültigkeit beträgt 90 Tage, und der Anbieter hat angekündigt, diese Frist schrittweise zu verkürzen. Verlassen Sie sich deshalb immer auf die automatische Erneuerung statt auf manuelles Verlängern.
Checkliste vor der Einrichtung
Am häufigsten scheitert Certbot an der Domainvalidierung. Sind die folgenden Punkte erledigt, dauert die Einrichtung meist nur wenige Minuten.
- Die A- und AAAA-Records der Domain zeigen auf die richtige Server-IP (gibt es einen AAAA-Record, muss die Website auch über IPv6 antworten)
- Die Ports 80 und 443 sind in der Firewall des Servers geöffnet
- Nginx oder Apache läuft, und für die Domain ist ein Server-Block bzw. Virtual Host definiert
- Sie können sich per SSH mit einem Benutzer mit sudo-Rechten am Server anmelden
- Falls Sie einen Proxy wie Cloudflare nutzen, kennen Sie die Proxy-Einstellung für die Ersteinrichtung
dig +short ornek.com A
dig +short www.ornek.com A
sudo ufw status
# Wenn Sie Nginx verwenden
sudo ufw allow 'Nginx Full'Certbot installieren: Schritt für Schritt
Die offizielle Website von Certbot, certbot.eff.org, empfiehlt für Ubuntu und Debian das Snap-Paket; so bleibt Certbot unabhängig von der Distribution aktuell. Wenn Sie Snap nicht verwenden möchten, funktionieren auch die apt-Pakete Ihrer Distribution.
Mit Snap (empfohlen)
Ist auf dem System bereits ein per apt installiertes Certbot-Paket vorhanden, entfernen Sie es zuerst, um Konflikte zu vermeiden.
sudo apt remove certbot
sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot
certbot --versionMit dem apt-Paket
Bei dieser Methode müssen Sie zusätzlich das passende Plugin-Paket für Ihren Webserver installieren.
sudo apt update
# Für Nginx
sudo apt install certbot python3-certbot-nginx
# Für Apache
sudo apt install certbot python3-certbot-apacheZertifikat abrufen und auf dem Server einrichten
Dank seines Plugins liest Certbot Ihre bestehende Konfiguration, fragt anhand der Werte server_name bzw. ServerName ab, für welche Domains ein Zertifikat ausgestellt werden soll. Am sinnvollsten ist es, sowohl die Domain ohne Präfix als auch die www-Variante in dasselbe Zertifikat aufzunehmen.
Während des Befehls werden Sie nach einer E-Mail-Adresse gefragt und müssen die Nutzungsbedingungen akzeptieren. Certbot legt zur Validierung eine temporäre Datei unter dem Pfad .well-known/acme-challenge ab; Let's Encrypt liest diese Datei über Port 80 und bestätigt so, dass die Domain Ihnen gehört.
- Die Zertifikatsdateien liegen unter /etc/letsencrypt/live/ornek.com/.
- fullchain.pem enthält das Server-Zertifikat zusammen mit dem Zwischenzertifikat; verwenden Sie diese Datei im Webserver.
- privkey.pem ist der private Schlüssel; kopieren Sie ihn nirgendwohin und geben Sie ihn nicht weiter.
sudo certbot --nginx -d ornek.com -d www.ornek.comsudo certbot --apache -d ornek.com -d www.ornek.comsudo certbot certonly --webroot -w /var/www/ornek.com/html \
-d ornek.com -d www.ornek.comAutomatische Erneuerung einrichten
Die Snap- und apt-Pakete legen bei der Installation einen systemd-Timer oder einen Cron-Job an. Dieser Job läuft mehrmals täglich und erneuert Zertifikate, deren Ablauf näher rückt. Das Einzige, was Sie tun müssen: testen, ob die Erneuerung tatsächlich funktioniert.
Da Let's Encrypt keine Erinnerungs-E-Mails zum Ablauf mehr verschickt, empfiehlt es sich, das Ablaufdatum des Zertifikats mit einem eigenen Monitoring-Tool zu überwachen. Außerdem können Sie einen Deploy-Hook definieren, damit der Webserver nach der Erneuerung das neue Zertifikat einliest.
sudo certbot renew --dry-run
sudo certbot certificates
systemctl list-timers | grep -i certbot
# Hook, der Nginx nach jeder erfolgreichen Erneuerung neu lädt
echo '#!/bin/sh
systemctl reload nginx' | sudo tee /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh
sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.shHTTPS-Weiterleitung und Mixed Content
Die Nginx- und Apache-Plugins von Certbot fügen die Regel, die HTTP-Anfragen auf HTTPS umleitet, meist automatisch hinzu. Wenn Sie es manuell tun möchten, verwenden Sie eine dauerhafte 301-Weiterleitung; so übertragen Suchmaschinen den Wert der alten Adressen auf die neue.
Auf Apache-Shared-Hosting erledigen Sie dasselbe über die .htaccess-Datei; die genauen Regeln finden Sie in unserer Anleitung zur htaccess-Weiterleitung. Werden nach der Weiterleitung auf der Seite noch Bilder, Skripte oder Schriften per http:// geladen, zeigt der Browser eine Warnung zu Mixed Content; ersetzen Sie diese Adressen durch https oder relative Pfade.
server {
listen 80;
listen [::]:80;
server_name ornek.com www.ornek.com;
return 301 https://ornek.com$request_uri;
}HSTS und sichere TLS-Einstellungen
Funktioniert die Weiterleitung, können Sie dem Browser über den HSTS-Header mitteilen, Ihre Website künftig ausschließlich über HTTPS zu öffnen. Dieser Header verhindert, dass die Verbindung nach dem ersten Besuch durch einen Angreifer auf HTTP herabgestuft wird.
Aktivieren Sie HSTS nicht vorschnell für lange Zeiträume. Unterstützt eine Ihrer Subdomains noch kein HTTPS, ist sie anschließend nicht mehr erreichbar. Testen Sie zunächst mit einem kurzen max-age-Wert und verlängern Sie die Dauer, wenn alles reibungslos läuft; fügen Sie includeSubDomains und preload erst hinzu, wenn Sie sicher sind, dass alle Subdomains bereit sind.
Die Nginx- und Apache-Plugins von Certbot fügen eine Konfigurationsdatei mit aktuellen, sicheren TLS-Protokolleinstellungen hinzu. Lassen Sie die alten Versionen TLS 1.0 und 1.1 deaktiviert; wenn Sie die Konfiguration Ihres Servers regelmäßig mit öffentlichen Testtools wie SSL Labs prüfen, fällt eine übersehene schwache Einstellung früh auf.
# In den 443-Server-Block
add_header Strict-Transport-Security "max-age=300" always;Überprüfung und häufige Fehler
Verlassen Sie sich nicht allein auf das Schloss-Symbol im Browser, sondern überprüfen Sie die Einrichtung auch über die Kommandozeile. Die folgenden Befehle zeigen, von wem das Zertifikat ausgestellt wurde, wann es abläuft und wie die Weiterleitungskette aussieht.
| Fehler | Lösung |
|---|---|
| Timeout during connect | Port 80 ist geschlossen oder DNS zeigt auf den falschen Server; prüfen Sie Firewall und A-Record. |
| Unauthorized / 404 challenge | Die Validierungsdatei kann nicht gelesen werden; prüfen Sie Webroot-Pfad und Weiterleitungsregeln. |
| Too many certificates | Es wurden in kurzer Zeit zu viele Versuche unternommen; testen Sie mit --dry-run oder --staging. |
| Could not find a server block | Die Domain fehlt in der Zeile server_name; tragen Sie sie im Server-Block ein und testen Sie mit nginx -t. |
| Altes Zertifikat im Browser | Der Webserver wurde nicht neu geladen; verwenden Sie den reload-Befehl oder den Deploy-Hook. |
curl -I http://ornek.com
curl -I https://www.ornek.com
openssl s_client -connect ornek.com:443 -servername ornek.com </dev/null 2>/dev/null \
| openssl x509 -noout -issuer -datesWildcard-Zertifikat, Windows und Hosting-Panels
Ein Wildcard-Zertifikat der Form *.ornek.com erhalten Sie ausschließlich über die DNS-Validierung. Gibt es für Ihren DNS-Anbieter ein spezielles Certbot-Plugin, läuft die Erneuerung automatisch; bei Zertifikaten, die per --manual bezogen wurden, müssen Sie jedes Mal von Hand einen TXT-Record anlegen.
Setzen Sie Windows Server und IIS ein, erreichen Sie dasselbe Ergebnis mit Windows-Clients, die das ACME-Protokoll unterstützen. Hosting-Panels bieten die Let's-Encrypt-Unterstützung meist als Ein-Klick-Option an; dann müssen Sie auf dem Server keine Befehle eingeben.
HTTPS ist nur ein Teil der Arbeit an Speed und Sicherheit. Zusammen mit HTTP/2, Cache-Headern und Komprimierung profitieren Sie gleichermaßen von mehr Vertrauen und besserer Performance; bei unseren Projekten für SEO-optimiertes Webdesign planen wir diese Schichten von Anfang an mit ein.
sudo certbot certonly --manual --preferred-challenges dns \
-d ornek.com -d "*.ornek.com"Häufig gestellte Fragen
01Gibt es einen Sicherheitsunterschied zwischen kostenlosem und kostenpflichtigem SSL?
Bei der Verschlüsselungsstärke gibt es keinen Unterschied; beide nutzen dieselben Standards. Kostenpflichtige Zertifikate bieten zusätzliche Leistungen wie Organisationsvalidierung (OV, EV), Garantiesumme oder Support. Ohne vertragliche Vorgabe im Unternehmensumfeld genügt für die meisten Websites Let's Encrypt.
02Was passiert, wenn das Zertifikat nicht erneuert wird?
Bei einem abgelaufenen Zertifikat zeigen Browser Besuchern eine ganzseitige Sicherheitswarnung, und die meisten verlassen die Website. Auch Zahlungsseiten und API-Verbindungen funktionieren dann nicht mehr. Deshalb sollten Sie die Erneuerung am Einrichtungstag testen und das Ablaufdatum überwachen.
03Funktioniert Certbot auch mit Cloudflare?
Ja, doch bei aktiviertem Proxy kann die HTTP-Validierung manchmal hängen. Sie können das eigene Origin-Zertifikat von Cloudflare verwenden oder Certbot mit DNS-Validierung betreiben; der sicherste Weg ist der SSL-Modus »Full (strict)«.
Eine mit Certbot eingerichtete Website mit getesteter Erneuerung und HTTPS-Weiterleitung schafft Vertrauen – bei Besuchern wie bei Suchmaschinen. Möchten Sie Zertifikat, Weiterleitung und Servereinstellungen zügig gemeinsam angehen, schauen Sie sich unsere Speed- & Performance-Optimierung oder unsere Webdesign-Lösungen an, die den gesamten Prozess abdecken. Wenn Sie einen Shop betreiben, können Sie auch ein E-Commerce-System prüfen, das Zertifikat und Serverseite für Sie verwaltet – und bei Fragen schreiben Sie uns über die Kontaktseite.
