https: Kostenloses SSL Zertifikat mit einem Klick installiert

Sichere Webseiten mit https müssen nicht mehr teuer sein. Auch die Verwaltung von Zertifikaten wird immer mehr zum Kinderspiel. Dieser Artikel zeigt dir, wie du mit Let’s Encrypt und Plesk ganz einfach auf https wechselst.

Über Let’s Encrypt hatte ich ja schon berichtet. Dieser Dienst bietet kostenlose SSL Zertifikate an. Dazu noch eine technische Umgebung, womit die Zertifikate auch ganz einfach und automatisiert aktualisiert werden. Kostenlose Zertifikate waren bis jetzt nicht erhältlich, Let’s Encrypt setzt damit einen Meilenstein.

Google treibt immer mehr in Richtung Verschlüsselung. Zunächst wurde https als Rankingfaktor eingeführt. In Kürze soll Chrome http Seiten sogar als unsicher anzeigen.

Let’s Encrypt befindet sich noch in der Public Beta. Deshalb habe ich bloggerpilot.com als meine Testdomain erkoren. Zwei weitere Domains werde ich die nächsten Tage in den Test einfließen lassen.

Wie installiere ich das Zertifikat?

Wie immer führen mehrere Wege nach Rom. Let’s Encrypt bietet einen Client und eine ausführliche Anleitung an. Dazu benötigst du aber Rootzugriff und solltest wissen was SSH und eine Konsole sind.

Ich nutze das Plesk Panel auf meinem Server. Dafür gibt es seit zwei Monaten eine Let’s Encrypt Extension, die du mit einem Klick installieren kannst.

Dazu gehst du links im Menü auf Erweiterungen und klickst auf „Katalog der Erweiterungen“. In der Liste findest du die Erweiterung Let’s Encrypt, wo du nun auf „Installieren“ klickst.

Das war es schon mit der Installation. Plesk und die neue Erweiterung erledigen ab jetzt das Zertifikat Handling für dich.

Bis jetzt wurde aber noch kein Zertifikat angefordert und installiert. Das kannst du entweder direkt aus der Erweiterung heraus machen, oder über den Menüpunkt „Websites & Domains“. Ab jetzt wird für jede Domain die neue Erweiterung verlinkt. Da klickst du drauf, um mit der Installation des Zertifikats weiter zu machen.

Im nächsten Dialog wird das eigentliche Zertifikat angefordert und installiert. Alles was du dazu tun musst, ist deine E-Mail Adresse eingeben und auf „Install“ drücken. Dabei hast du noch die Option, auch ein Zertifikat für die Subdomain www anzulegen. Die Zertifikate von Let’s Encrypt gelten nämlich immer nur für die eine Domain und nicht gleichzeitig für Subdomains.

Das war es auch schon. Das Zertifikat ist eingerichtet und installiert. Es kann nun bis zu 10 Minuten dauern, bis das Zertifikat aktiv ist, da dafür noch der Webserver von Plesk neugestartet werden muss.
Das Zertifikat wurde auch nur für diese eine Domain installiert. Hast du hundert weitere, musst du den letzten Schritt noch hundert mal ausführen. Es gibt auch schon erste Ansätze für eine Bulk-Funktion.

Abschließend kannst du noch überprüfen, ob Plesk den Cronjob erfolgreich angelegt hat. Den findest du hier: Tools & Einstellungen –> Geplante Aufgaben

Wie überprüfe ich mein neues Zertifikat?

Zunächst überprüfen wir das neue SSL Zertifikat von Let’s Encrypt auf unserer eigenen Seite. In meinem Fall rufe ich also https://bloggerpilot.com/ im Chrome Browser auf. Kommt nun keine Warnung wegen einer unsicheren Verbindung, kann man schon von einem Erfolg ausgehen.

Das lassen wir uns aber noch schriftlich geben – mit einem Klick auf das grüne Schloss-Icon, gleich neben der URL. In dem kleinen Fenster wechseln wir nun auf „Verbindung“.
Sieht das bei dir wie auf dem folgenden Screenshot aus, hast du alles richtig gemacht.

Einen ausgiebigeren Test kannst du noch mit diesem Tool machen.

Checklist für den Wechsel von http zu https

Die alleinige Installation eines Zertifikats ist zu wenig für den erfolgreichen Wechsel von http zu https. Es müssen noch weitere Schritte beachtet werden. Damit du nichts vergisst oder übersiehst, hab ich dir hier die optimale Checkliste für deinen Wechsel auf SSL erstellt.

1. Zuerst muss ein vertrauenswürdiges Zertifikat installiert werden.
2. Überprüfen, ob der Server richtig konfiguriert wurde.
3. Alle internen URLs von http auf https umstellen und ersetzen (WordPress Allgemeine Einstellungen, im Theme, Datenbank). In der Datenbank mach ich das mit dem Plugin Better Search Replace.
4. Bei Bedarf auch externe Links anpassen. Z.B. auf sozialen Diensten wie Facebook und Twitter. Sehr wertvolle Links auch updaten, falls möglich.
5. Überprüfen, ob extern geladene Scripte noch geladen werden können.
6. Überprüfen, ob der Meta rel=canonical auch auf https zeigt.
7. Mittels 301 Redirect alle URLs von http auf https umleiten. Entweder im Panel oder mittels .htaccess Anweisung. Ich habe mich für Anpassung der .htaccess entschlossen, da ich so Server und Panel unabhängig bin. Das geht so:

Dauerhafte Weiterleitungen

Sogenannte 301 Weiterleitungen signalisieren den Suchmaschinen, auf welcher Adresse die aufgerufene URL dauerhaft auffindbar ist.

Mit diesem Eintrag in die .htaccess, wird die komplette Domain von HTTP auf HTTPS weitergeleitet.

RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Falls du noch von www nach nicht-www weiterleiten möchtest, kannst du noch die zwei folgenden Zeilen einfügen:

RewriteCond %{HTTP_HOST} ^www\.(.*)$ [NC]
RewriteRule ^(.*)$ https://%1/$1 [R=301,L]

Oder umgekehrt von nicht-www nach www:

RewriteCond %{HTTP_HOST} !^www\.(.*)$ [NC]
RewriteRule ^(.*)$ https://www.%1/$1 [R=301,L]

Zusammen sieht das dann so aus:
www nach nicht-www:

# Redirect to https and non-www
RewriteEngine On
RewriteCond %{HTTP_HOST} ^www\.(.*)$ [NC]
RewriteRule ^(.*)$ https://%1/$1 [R=301,L]
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

nicht-www nach www:

# Redirect to https and www
RewriteEngine On
RewriteCond %{HTTP_HOST} !^www\.(.*)$ [NC]
RewriteRule ^(.*)$ https://www.%1/$1 [R=301,L]
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

• Sicherstellen, dass auch in der robots.txt und sitemap.xml https verwendet wird.
• Deinen Analytics Dienst auf das neue Protokoll updaten.
• In der Google Search Console eine neue Property für die https Version anlegen. Eine Adressänderung bei der alten Property ist bei einem Wechsel auf https nicht notwendig und kann auch nicht gemacht werden.
  

  

• Sicherstellen, dass Google auch alle Inhalte crawlen und lesen kann.
• In den nächsten Wochen regelmäßig auf Auffälligkeiten und Fehler prüfen. In der Search Console, Google Analytics und in den Logs.
• Auch überprüfen, ob Google langsam alle http Links in den Suchergebnissen mit https Links ersetzt werden. Mit site:https://domain.com.

Damit hast du alle wichtigen Schritte abgedeckt und kannst dich ohne Sorgen an der neu verschlüsselten https Verbindung freuen.

Mein persönlicher Test auf bloggerpilot.com

Ich habe diesen Blog für meinen Test genutzt. Bis jetzt lief alles problemlos.

Nach drei Tagen sind in den Google Suchergebnissen, die ersten Seiten mit der https-Version verlinkt.

In der Search Console gibt es noch keine verwertbaren Daten. Das dauert immer einige Tage mehr.

Auch den viel gefürchteten Trafficeinbruch kann ich nicht bestätigen. Im Gegenteil, seit dem Wechsel ist der Besucherstrom um etwa 20 Prozent gestiegen. Das hat aber nicht viel zu bedeuten, da der Traffic auf dieser Domain sehr stark fluktuiert und noch nicht besonders hoch ist.

Fazit

Noch nie war es so einfach ein TLS Zertifikat für die eigene Domain zu installieren. Vor allem noch dazu komplett kostenlos. Das ist auch gut so, denn dem Internetgiganten Google ist https scheinbar sehr wichtig.