07Domains, DNS & SSL
SSL-Zertifikate und HTTPS bei Nexthosting
Wie Nexthosting für deine Website automatisch ein Let's-Encrypt-Zertifikat ausstellt, warum es manchmal noch nicht da ist und wie du ein eigenes Zertifikat nutzt.
Kurz gesagt
Bei Webspace und WordPress Hosting stellt Nexthosting für deine Domain automatisch ein kostenloses Let’s-Encrypt-Zertifikat aus. Das funktioniert aber erst, wenn die Domain schon auf den Server zeigt. Fehlt das Zertifikat noch, liegt es fast immer am DNS. Eigene Zertifikate kannst du ebenfalls verwenden.
Was ist ein SSL-Zertifikat?
Abschnitt betitelt „Was ist ein SSL-Zertifikat?“Ein Zertifikat sorgt dafür, dass der Browser mit deiner Website verschlüsselt spricht (HTTPS, erkennbar am Schloss in der Adresszeile) und dass die Seite wirklich zu deiner Domain gehört. Technisch heißt das heute TLS, im Alltag sagt man trotzdem SSL. Ohne Zertifikat warnen Browser vor der Seite, und viele Funktionen (zum Beispiel Zahlungsformulare) funktionieren nicht.
Automatisch bei Nexthosting
Abschnitt betitelt „Automatisch bei Nexthosting“In jedem Webhosting-Tarif ist Let’s Encrypt automatisch enthalten. Du musst nichts bestellen, nichts bezahlen und nichts installieren. Das Zertifikat wird beantragt, sobald deine Domain bei der Website eingetragen ist und auf den Server zeigt, und es wird vor dem Ablauf selbstständig erneuert.
- Domain bei der Website eintragenim Webpanel
- Domain zeigt auf den Server?DNS prüfen
- Let's Encrypt prüft per httpDatei unter deiner Domain abrufbar?
- Zertifikat wird ausgestelltund auf dem Server aktiviert
- Website läuft unter httpsErneuerung automatisch
Der Schlüsselpunkt ist der zweite Schritt. Let’s Encrypt fragt von außen bei deiner Domain nach: „Gehört dir dieser Name?“ Dafür ruft es eine Prüfdatei per http ab. Zeigt die Domain noch auf einen anderen Server, antwortet dieser, und die Ausstellung scheitert. Das ist kein Fehler, sondern Absicht, damit niemand Zertifikate für fremde Domains bekommt.
Warum ist mein Zertifikat noch nicht da?
Abschnitt betitelt „Warum ist mein Zertifikat noch nicht da?“Die häufigsten Ursachen:
| Ursache | Erklärung | Was tun |
|---|---|---|
| Domain noch nicht umgestellt | A/AAAA oder Nameserver zeigen woanders hin | Domain mit Website verbinden |
| Gerade erst geändert | DNS-Cache, TTL läuft noch | Einige Stunden warten |
| Alter AAAA-Eintrag | IPv6 zeigt auf den alten Server; Let’s Encrypt versucht IPv6 zuerst | AAAA löschen oder korrigieren |
www zeigt nirgends hin |
Zertifikat für www scheitert |
CNAME für www setzen |
| Cloudflare-Proxy davor | Prüfung erreicht den Server nicht wie erwartet | Proxy kurz ausschalten oder Cloudflare-Zertifikat nutzen |
| Weiterleitung blockiert alles auf https | Prüfdatei liegt unter /.well-known/acme-challenge/ |
Diesen Pfad von Regeln ausnehmen |
| Eine Seite auf mehreren Domains | Nur Domains, die zeigen, bekommen ein Zertifikat | Alle Domains prüfen |
| Ausstellungslimit | Let’s Encrypt begrenzt häufige Anfragen | Einen Tag warten |
Wenn nach 24 Stunden mit korrektem DNS noch kein Zertifikat da ist, öffne ein Ticket und nenne Domain und Uhrzeit (Fehler gut beschreiben).
Zertifikat prüfen
Abschnitt betitelt „Zertifikat prüfen“- Im Browser: Klick auf das Schloss, „Verbindung ist sicher“, Zertifikat anzeigen. Du siehst Aussteller, Domain und Ablaufdatum.
- Auf der Kommandozeile:
curl -vI https://meinprojekt.de 2>&1 | grep -E "subject|issuer|expire"openssl s_client -connect meinprojekt.de:443 -servername meinprojekt.de </dev/null 2>/dev/null | openssl x509 -noout -dates -subjectEigenes Zertifikat verwenden
Abschnitt betitelt „Eigenes Zertifikat verwenden“Neben Let’s Encrypt kannst du ein gekauftes oder anderweitig ausgestelltes Zertifikat einsetzen. Du brauchst:
- das Zertifikat (Endung
.crtoder.pem), - den privaten Schlüssel (
.key), - gegebenenfalls die Zwischenzertifikate („Chain“ oder „CA-Bundle“).
Im Webpanel hinterlegst du die Dateien bei der Domain der Website im SSL-Bereich. Bewahre den privaten Schlüssel sicher auf und gib ihn niemals weiter. Ein eigenes Zertifikat musst du vor dem Ablauf selbst erneuern; Let’s Encrypt erneuert sich selbst.
Nach der Einrichtung: Alles auf https umstellen
Abschnitt betitelt „Nach der Einrichtung: Alles auf https umstellen“Ein Zertifikat allein erzwingt https nicht. Zwei Schritte fehlen noch:
- Weiterleitung von
http://aufhttps://einrichten, Beispiel in .htaccess-Grundlagen. - Mixed Content beseitigen: Bilder, Skripte und Stile dürfen nicht mehr über http geladen werden. Siehe SSL und Mixed Content.
HSTS ist eine Anweisung an den Browser: „Rufe diese Domain künftig nur noch über https auf.“ Schalte sie erst ein, wenn alles stabil über https läuft, denn sie lässt sich nur schwer zurücknehmen.
Header always set Strict-Transport-Security "max-age=31536000"Häufige Fragen
Abschnitt betitelt „Häufige Fragen“Kostet das Zertifikat etwas?
Abschnitt betitelt „Kostet das Zertifikat etwas?“Das automatische Let’s-Encrypt-Zertifikat ist in jedem Webhosting-Tarif enthalten.
Wie lange gilt es?
Abschnitt betitelt „Wie lange gilt es?“Let’s-Encrypt-Zertifikate gelten 90 Tage und werden vor dem Ablauf automatisch erneuert.
Gibt es Zertifikate für Gameserver?
Abschnitt betitelt „Gibt es Zertifikate für Gameserver?“Gameserver brauchen kein Zertifikat für die Spielverbindung. Für eine Weboberfläche auf einem VPS, etwa einen eigenen Webserver, kannst du Let’s Encrypt selbst einrichten.
Warum zeigt der Browser trotz Zertifikat „Nicht sicher“?
Abschnitt betitelt „Warum zeigt der Browser trotz Zertifikat „Nicht sicher“?“Meist wegen Mixed Content. Prüfe die Seite wie in SSL und Mixed Content beschrieben.