Zertifikat ausstellen

Übersicht

Die Ausstellung eines neuen SSL-Zertifikats in AutoSSL umfasst zwei Phasen:

1. Den Zertifikatsantrag konfigurieren (Domains, Verlängerungsstrategie und kryptografische Einstellungen).
2. Die Inhaberschaft Ihrer Domain über DNS (CNAME-Einträge) nachweisen, damit die Zertifizierungsstelle (CA) das Zertifikat ausstellen darf.

Zertifikatsantrag

Schritt 1: Neues Zertifikat beantragen

Öffnen Sie die Seite Zertifikate und klicken Sie auf Zertifikat erstellen. Anschließend sehen Sie ein Konfigurationsformular.

1. Zertifizierungsstelle (CA) auswählen

Wählen Sie die Zertifizierungsstelle, die Ihr SSL-Zertifikat ausstellt. Derzeit unterstützt AutoSSL:

• Let's Encrypt: Eine kostenlose, automatisierte und offene Zertifizierungsstelle.

2. Domain-Konfiguration

Geben Sie die Domainnamen ein, die das Zertifikat schützen soll.

• Weitere Domains fügen Sie über Domain hinzufügen hinzu.
• Wildcard-Domains werden vollständig unterstützt, zum Beispiel *.example.com.
• Hinweis: Domainnamen dürfen sich nicht überschneiden oder wiederholen. Sie können zum Beispiel nicht gleichzeitig www.autossl.dev und *.autossl.dev in denselben Antrag aufnehmen, weil die Wildcard die konkrete Subdomain bereits abdeckt.

3. Grundeinstellungen

Legen Sie fest, wie AutoSSL dieses Zertifikat im zeitlichen Verlauf verwaltet:

• Name des Zertifikats: (Optional) Vergeben Sie einen eigenen Namen, damit Sie das Zertifikat leicht wiederfinden. Wenn Sie das Feld leer lassen, erzeugt AutoSSL den Namen aus Ihrer primären Domain.
• Automatische Verlängerung: Aktivieren Sie diese Option, damit AutoSSL das Zertifikat vor dem Ablauf automatisch verlängert und keine Ausfallzeit entsteht.
• Tage vor Ablauf für die Verlängerung: Wenn die automatische Verlängerung aktiv ist, legen Sie fest, wie viele Tage vor dem Ablauf die Verlängerung starten soll (zwischen 15 und 45 Tagen). 21 Tage sind empfehlenswert, damit genug Zeit bleibt, mögliche Probleme zu beheben.

4. Erweiterte Einstellungen (Kryptografie)

Sie können die technischen Parameter der Zertifikatsignierungsanforderung (CSR) anpassen:

• Signaturalgorithmus:
  • RSA: Bietet die bessere Kompatibilität mit älteren Systemen. Sie können eine Schlüssellänge von 2048-bit (empfohlen), 3072-bit oder 4096-bit wählen.
  • ECDSA: Bietet die bessere Leistung und kleinere Schlüssel. Sie können die Kurve P-256 (beste Kompatibilität), P-384 (höhere Sicherheit) oder P-521 wählen.
• Hash-Algorithmus: Wählen Sie SHA-256, SHA-384 oder SHA-512 für die Signatur des Zertifikats.

Klicken Sie anschließend auf Weiter: DNS-Verifizierung konfigurieren, um die Zertifikatsgruppe anzulegen und mit der Verifizierung fortzufahren.

Schritt 2: Inhaberschaft der Domain prüfen

Bevor die Zertifizierungsstelle Ihr Zertifikat ausstellen kann, müssen Sie nachweisen, dass Sie die beantragten Domains kontrollieren. AutoSSL verwendet dafür eine DNS-Challenge.

1. CNAME-Einträge konfigurieren

AutoSSL erzeugt für jede Domain in Ihrem Antrag eigene CNAME-Einträge.

• Melden Sie sich bei Ihrem Domain-Registrar oder DNS-Anbieter an, zum Beispiel Cloudflare, Route53 oder GoDaddy.
• Fügen Sie die angezeigten CNAME-Einträge zu Ihren DNS-Einstellungen hinzu. Eine ausführliche Anleitung für verschiedene Anbieter finden Sie unter DNS-Einträge hinzufügen.

2. Status prüfen

Kehren Sie nach dem Anlegen der DNS-Einträge zu AutoSSL zurück.

• Die DNS-Verbreitung kann einige Minuten dauern.
• AutoSSL prüft den Status Ihrer CNAME-Einträge. Sie können die Prüfung manuell anstoßen, um den Status zu aktualisieren.

3. Ausstellung des Zertifikats starten

Sobald alle Domains als Verifiziert markiert sind, wird die Schaltfläche Ausstellung des Zertifikats starten aktiv.

• Klicken Sie auf die Schaltfläche, damit die Zertifizierungsstelle die Prüfung abschließt und das Zertifikat ausstellt.
• Nach einer kurzen Verarbeitung ist Ihr neues SSL-Zertifikat bereit. Anschließend können Sie Bereitstellungen einrichten, um es in Ihre Infrastruktur zu übertragen.

Automatische Verlängerung und Bereitstellung

Wenn Sie beim Konfigurieren des Zertifikats (Schritt 1) Automatische Verlängerung aktivieren, versucht AutoSSL, das Zertifikat vor dem Ablauf automatisch zu verlängern. Der Zeitpunkt richtet sich nach Tage vor Ablauf für die Verlängerung.

AutoSSL entfaltet seine Wirkung, wenn die automatische Verlängerung mit Bereitstellungen kombiniert wird:

1. Automatische Zertifikatsverlängerung: Sobald der Schwellenwert erreicht ist, zum Beispiel 21 Tage vor Ablauf, stellt AutoSSL ohne manuellen Eingriff ein neues Zertifikat bei der CA aus, sofern Ihre DNS-Prüfeinträge (CNAME) gültig bleiben.
2. Automatische Bereitstellungen auslösen: Nach der erfolgreichen Ausstellung stößt AutoSSL automatisch alle konfigurierten Bereitstellungen für dieses Zertifikat an, bei denen Automatische Bereitstellung aktiviert ist.
3. Keine Ausfallzeit: Das neu ausgestellte Zertifikat wird automatisch in Ihre Infrastruktur übertragen und angewendet, zum Beispiel CDN, Load Balancer oder serverlose Funktionen. Ihre Anwendungen behalten sichere HTTPS-Verbindungen, ohne Ausfallzeit und ohne manuellen Aufwand.

Wartezeit und Pause der automatischen Verlängerung

Damit Sie bei einem anhaltenden Problem nicht wiederholt benachrichtigt werden und unnötige Versuche ausbleiben, verwendet AutoSSL für fehlgeschlagene automatische Verlängerungen eine ansteigende Wartezeit.

• Nach jedem weiteren fehlgeschlagenen Versuch plant AutoSSL den nächsten Versuch mit zunehmender Verzögerung: 1, 2, 4, 8, 16 Tage.
• In dieser Zeit werden Zertifikatsgruppen übersprungen, deren nächster Versuch noch nicht fällig ist.
• Dauern die Fehler über diesen Plan hinaus an (nach 5 aufeinanderfolgenden Fehlern), pausiert AutoSSL die automatische Verlängerung für diese Zertifikatsgruppe.

Wenn die automatische Verlängerung pausiert ist:

• AutoSSL sendet eine Benachrichtigung „Automatische Verlängerung angehalten“ (anstelle der üblichen Fehler-E-Mail für dieses Ereignis). So können Sie handeln, ohne täglich dieselbe Fehlermeldung zu erhalten.
• Die Zertifikatsgruppe nimmt an späteren automatischen Verlängerungen nicht teil, bis Sie sie ausdrücklich fortsetzen.

Automatische Verlängerung fortsetzen

1. Beheben Sie die Ursache, am häufigsten eine fehlerhafte DNS-/CNAME-Konfiguration.
2. Öffnen Sie die Seite Einstellungen des Zertifikats.
3. Schalten Sie Automatische Verlängerung ein und klicken Sie auf Speichern.

Dadurch werden Pause und Wartezeit aufgehoben. Die Zertifikatsgruppe nimmt bei den nächsten geplanten Läufen wieder an der automatischen Verlängerung teil.