HTTPS einrichten und Zertifikatsfehler einordnen

Was HTTPS tatsächlich absichert

HTTPS verschlüsselt die Verbindung zwischen Browser und Server und ermöglicht die Prüfung der Serveridentität. Es ersetzt keine Anwendungssicherheit. Ein kompromittiertes Plugin oder ein zu weit berechtigtes Redaktionskonto wird durch ein gültiges Zertifikat nicht behoben. Ebenso bestätigt HTTPS nicht die Qualität eines Angebots oder die Vertrauenswürdigkeit aller Inhalte.

Für den technischen Start ist wichtig, dass das Zertifikat zum aufgerufenen Namen passt und die Kette vom Client akzeptiert wird. Wird ein Zertifikat für den Serverhostname ausgeliefert, obwohl der Browser hoster-online.de anfordert, ist das ein Namensfehler. Ein erfolgreiches Laden nach deaktivierter Zertifikatsprüfung wäre dafür kein korrekter Nachweis.

Domainvalidierung verstehen

Let’s Encrypt beschreibt unterschiedliche Challenge-Verfahren. Bei HTTP-01 muss ein festgelegter Nachweis über die Domain abrufbar sein. DNS-01 verwendet einen TXT-Nachweis und kann auch für Wildcardzertifikate eingesetzt werden. Welche Methode eine Hostingverwaltung nutzt, folgt aus ihrer Einrichtung. Prüfe den tatsächlichen Ablauf statt aus der Oberfläche eine Methode zu erraten.

Wenn Hauptdomain und www im Zertifikat enthalten sein sollen, müssen beide Namen in der gewählten Einrichtung berücksichtigt werden. Ein später ergänzter Alias ist nicht automatisch im bestehenden Zertifikat enthalten. Prüfe außerdem, ob ein veröffentlichtes IPv6-Ziel dieselbe Website und den korrekten Validierungsnachweis bereitstellt.

Häufige Fehler und nächste Schritte

Browserwarnungen werden nicht einfach übergangen. Behebe die Ursache oder lasse eine zuständige Person die Verbindung prüfen. Insbesondere bei Loginformularen muss die korrekte verschlüsselte Verbindung stehen, bevor Zugangsdaten eingegeben werden.

Weiterleitungen gezielt gestalten

Lege eine Hauptadresse fest, beispielsweise HTTPS ohne www. HTTP und die zweite Namensvariante sollten zur gewählten Adresse führen. Achte darauf, dass Pfad und Abfrageparameter erhalten bleiben. Eine Weiterleitung nur zur Startseite macht bestehende Artikeladressen und Kampagnenlinks unbrauchbar.

Teste dafür neben der Startseite einen echten Unterpfad mit Parameter. Prüfe die Antwortkette und das endgültige Ziel. Zusätzliche unnötige Sprünge können vermieden werden, wenn die Weiterleitung direkt zur Hauptadresse führt. Ein Canonical im HTML ergänzt die eindeutige Adressierung, ersetzt jedoch keine funktionierende HTTP-Weiterleitung.

Erneuerung gehört zum laufenden Betrieb

Ein einmal ausgestelltes Zertifikat ist kein dauerhafter Zustand. Die Domainvalidierung muss bei der Erneuerung weiter funktionieren. DNS-Änderungen, geänderte Weiterleitungen oder ein falsch eingerichteter Alias können diesen Ablauf stören. Weise deshalb den Zertifikatsstatus einer verantwortlichen Person zu und prüfe Meldungen der Hostingverwaltung.

Überlege vor zusätzlichen Sicherheitsheadern, welche Wirkung sie haben. HSTS weist Browser an, eine Domain für einen Zeitraum ausschließlich verschlüsselt anzusprechen. Das sollte erst bei zuverlässig funktionierendem HTTPS und mit Verständnis für die Reichweite aktiviert werden. Eine ungeprüfte lange Bindung kann spätere Fehler erschweren.

Die abschließende Prüfung

Rufe Hauptdomain und www über IPv4 und, falls eingerichtet, über IPv6 auf. Verwende echte Zertifikatsprüfung. Kontrolliere mindestens Startseite, Artikelpfad und Loginadresse. Ergänze einen Blick auf gemischte Inhalte: Externe oder interne HTTP-Ressourcen können trotz korrektem Seitenzertifikat Probleme erzeugen. Der Artikel zu IPv6 im Hosting zeigt, warum DNS und tatsächliche Verbindung getrennte Nachweise benötigen.