EMZETT.
Login

Emzett Wiki

Let's Encrypt und ACME: Kostenlose HTTPS-Zertifikate automatisch

Properties1
tagsglossar, tls, web

2 Min. Lesezeit

Let’s Encrypt und ACME: Kostenlose HTTPS-Zertifikate automatisch

Kurz: Let’s Encrypt stellt kostenlose Zertifikate aus, die ein Programm über das ACME-Protokoll automatisch beantragt und alle 60 bis 90 Tage erneuert.

Genauer: Für HTTPS braucht ein Webserver ein Zertifikat, das bestätigt, dass er wirklich zur Domain gehört. Früher kostete das Geld und manuelle Arbeit. Let’s Encrypt (gemeinnützige Zertifizierungsstelle) macht es kostenlos und automatisch; heute ist HTTPS auf fast jeder Seite Standard.

Im Detail

Wie es funktioniert (ACME)

Das Protokoll ACME automatisiert den Ablauf:

  1. Ein Client (zum Beispiel Certbot, acme.sh, Caddy) beantragt ein Zertifikat für beispiel.de.
  2. Die CA verlangt einen Nachweis der Kontrolle über die Domain (Challenge).
  3. Nach Erfolg stellt sie das Zertifikat aus.
  4. Der Client erneuert es automatisch vor Ablauf (Zertifikate gelten kurz, etwa 90 Tage, damit Fehler und Missbrauch begrenzt bleiben).

Challenge-Arten

  • HTTP-01: Datei unter http://domain/.well-known/acme-challenge/… bereitstellen. Einfach, aber Port 80 muss erreichbar sein und Wildcards gehen nicht.
  • DNS-01: einen TXT-Eintrag im DNS setzen. Nötig für Wildcard-Zertifikate (*.beispiel.de) und für Server ohne öffentliche Erreichbarkeit.
  • TLS-ALPN-01: Nachweis im TLS-Handshake auf Port 443.

Einrichten

# Beispiel mit Certbot und Nginx
sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d beispiel.de -d www.beispiel.de
sudo certbot renew --dry-run   # Erneuerung testen

Caddy holt Zertifikate automatisch, ohne weitere Einstellung. Viele Hoster und Plattformen (Vercel, Netlify, Cloudflare) übernehmen alles für dich.

Hinweise

Behalte Ablaufdaten im Blick (Monitoring), lege den privaten Schlüssel geschützt ab, beachte Rate Limits der CA (viele Anfragen pro Woche sind begrenzt, zum Testen die Staging-Umgebung nutzen). Ein Zertifikat beweist nur, dass die Domain kontrolliert wird, nicht, dass der Betreiber seriös ist. Zusätzlich HSTS aktivieren.

Siehe auch: TLS, Zertifikat, Zertifizierungsstellen, HTTPS, Security-Header

Backlinks