HTTPS für alle – wie Let's Encrypt das Web verschlüsselt hat
Kostenlose Zertifikate, automatische Verlängerung, keine Formulare. Wie eine Non-Profit-Organisation die Verschlüsselung zum Standard machte.
Noch 2014 waren weniger als ein Drittel aller Seitenaufrufe verschlüsselt. Heute sind es über 95 Prozent. Der wichtigste Grund dafür heißt Let’s Encrypt.
Das Problem vor 2015
Ein TLS-Zertifikat bestätigt, dass eine Website wirklich zu der Domain gehört, die im Browser steht. Vor Let’s Encrypt musste man es bei einer kommerziellen Zertifizierungsstelle kaufen, per Formular beantragen, per E-Mail bestätigen und nach einem Jahr das Ganze wiederholen. Viele Betreiber kleiner Seiten sparten sich den Aufwand.
Die Idee: Automatisierung statt Formulare
Let’s Encrypt, betrieben von der gemeinnützigen Internet Security Research Group, stellt Zertifikate kostenlos aus. Das Entscheidende ist aber nicht der Preis, sondern das Protokoll dahinter: ACME (Automatic Certificate Management Environment).
Ein Programm auf dem Server, etwa certbot, beweist gegenüber Let’s Encrypt, dass es die Domain kontrolliert. Dazu legt es eine zufällige Datei unter einer bestimmten Adresse ab oder setzt einen DNS-Eintrag. Let’s Encrypt prüft das, stellt das Zertifikat aus, und das Programm richtet es im Webserver ein. Kein Mensch muss eingreifen.
Kurze Laufzeit als Sicherheitsmerkmal
Zertifikate von Let’s Encrypt gelten nur 90 Tage. Das klingt nach mehr Arbeit, ist aber Absicht: Weil die Verlängerung automatisch läuft, fällt sie nicht auf, und ein gestohlener Schlüssel ist schnell wertlos. Auf einem typischen Server prüft ein Zeitplan zweimal täglich, ob eine Verlängerung fällig ist.
Was das für Leser bedeutet
Das Schloss-Symbol im Browser heißt: Niemand zwischen Ihnen und dem Server kann mitlesen oder Inhalte verändern. Es heißt nicht, dass die Seite selbst vertrauenswürdig ist. Auch Betrüger bekommen Zertifikate, denn geprüft wird nur der Besitz der Domain.
Praxis: drei Befehle
Auf einem Server mit nginx genügt heute:
apt install certbot python3-certbot-nginx
certbot --nginx -d beispiel.de
systemctl status certbot.timer
Der erste Befehl installiert das Werkzeug, der zweite holt das Zertifikat und passt die nginx-Konfiguration an, der dritte zeigt, dass die automatische Verlängerung aktiv ist.