TLS
Zertifikate, um die sich niemand kümmern muss
Abgelaufene Zertifikate sind eine der häufigsten Ursachen für vermeidbare Ausfälle. Ausstellung und Erneuerung laufen deshalb automatisch, mit einem Vorlauf, der auch einen Fehlversuch verkraftet.
Ausstellung
Zwei Wege zum Nachweis
Für den Domainnachweis stehen zwei Verfahren zur Verfügung.
- HTTP-01
- Der Nachweis wird über die Domain selbst geführt. Setzt voraus, dass die Domain bereits auf den Dienst zeigt.
- DNS-01 über PowerDNS
- Der Nachweis läuft über einen DNS-Eintrag. Damit lässt sich ein Zertifikat schon ausstellen, bevor die Domain umgezogen ist — und Platzhalter-Zertifikate sind möglich.
Erneuerung
30 Tage Vorlauf
Die Erneuerung startet 30 Tage vor Ablauf. Der Abstand ist bewusst großzügig: Scheitert ein Versuch — weil ein DNS-Eintrag nicht rechtzeitig verteilt ist oder die Ausstellungsstelle gerade nicht erreichbar —, bleibt Zeit für weitere Versuche, ohne dass jemand nachts geweckt wird.
Der Wert ist eine Vorgabe und kann angepasst werden.
Eigene Zertifikate
Hochladen, aber geprüft
Wer ein Zertifikat aus anderer Quelle einsetzt — etwa mit erweiterter Prüfung oder aus einer internen Stelle —, kann es hinterlegen.
Beim Hochladen wird geprüft
- 01 Das Zertifikat ist ein gültiges X.509-Zertifikat
- 02 Der private Schlüssel passt zum Zertifikat
- 03 Der Gültigkeitszeitraum liegt nicht in der Vergangenheit
- 04 Die enthaltenen Domainnamen passen zur Site
Diese Prüfungen laufen beim Hochladen, nicht beim nächsten Neustart. Ein Zertifikat, dessen privater Schlüssel nicht dazu passt, wird abgewiesen, solange noch jemand davorsitzt und es korrigieren kann.
Das ist der Unterschied zu einer Datei, die man in ein Verzeichnis legt und deren Fehler man beim nächsten Neuladen des Dienstes bemerkt — im Zweifel um drei Uhr nachts.
Zertifikate übernehmen?
Bestehende Zertifikate lassen sich übernehmen oder neu ausstellen. Welcher Weg sinnvoll ist, hängt davon ab, wo Ihre DNS-Zone liegt.
Schreiben Sie an support@itworxx.de. Diese Seite hat kein Kontaktformular und setzt keine Cookies.