Let´s Encrypt – SSL Verschlüsselung für Jedermann
Keine Webseite sollte heute noch unverschlüsselt bleiben. Vor allem dann, wenn Sie einen Onlineshop anbieten oder eine Kennworteingabe, dann werden Ihre Kunden und Besucher auf rotmarkierte Warntexte stoßen, bevor Sie irgendwelche Daten übertragen.
Browser, wie Firefox oder Google Chrome haben ihre Richtlinien, die festlegen, wann eine solche Warnung angezeigt wird, in den vergangenen Jahren kontinuierlich verschärft. Und es ist nicht auszuschließen, dass entsprechende Warnungen in Zukunft auch bei Websites angezeigt werden könnten, die keine Formulare zur Übertragung von Daten anbieten. Verschiedene Ankündigungen der Browserentwickler lassen auch dies vermuten.
SSL Verschlüsselung hat keine Nachteile
Wo eine SSL-Verschlüsselung technisch möglich ist, sollte eine SSL-Verschlüsselung auch genutzt werden. Doch gibt es auch Nachteile, wenn Sie Ihre Webseite verschlüsselt übertragen? Sicherlich, die Datenübertragungsraten steigen. Doch Ihre Website muss dadurch nicht notwendigerweise langsamer werden. Wenn Sie das neue http/2 Verbindungsprotokoll auf Ihrem Server aktivieren können, dann wird Ihr Internetprojekt nach der Verschlüsselung sogar noch schneller. Denn dieses neue Verbindungsprotokoll steht nur für verschlüsselte Seiten zur Option.
Und die Kosten für die Verschlüsselung? Für jede Domain, die Sie unterhalten, benötigen Sie im Regelfall ein eigenes SSL-Zertifikat. In der Vergangenheit konnte dies ein Kostenfaktor sein, der nicht zu unterschätzen ist. Heute steht für einfachere Konzepte der Service von Let´s Encrypt zur Option. Komplexe Onlineshops und Webseiten mit einem bekannten Markennamen sollten weiterhin über ein kostenpflichtiges Extended Validation Verfahren authentifiziert werden. Betrachten Sie Let´s Encrypt als zusätzliche Option: Für wichtige Domains nutzen Sie ein Extendet Validation Zertifikat, für einfachere Websites können Sie den kostenlosen Service von Let´s Encrypt verwenden.
Authentifizierung über die Webseite
Let´s Encrypt verfolgt nicht nur die Idee, SSL-Zertifikate kostenlos zugänglich zu machen. Let´s Encrypt wollte auch die Einrichtung eines solchen Zertifikates vereinfachen. Ohne dabei die Sicherheit oder den Nachweis der Urheberschaft von Inhalten zu gefährden. Die Authentifizierung erfolgt dabei über eine Datei die serverseitig in das Verzeichnis Ihrer Domain geschrieben wird. Dann wird diese Datei von der Zertifizierungsstelle aufgerufen und anschließend wieder gelöscht. Die Zertifikate haben bei Let´s Encrypt meist eine sehr kurze Laufzeit von 2 – 3 Monaten. Entsprechende serverseitige Tools sind jedoch in der Lage, immer dann ein neues Zertifikat zu erstellen, wenn das vorige seine Gültigkeit verloren hat. Es schadet allerdings nicht, diesen Vorgang auch manuell gelegentlich zu überprüfen. Denn schon eine kurze Downtime Ihres Servers zum falschen Zeitpunkt kann dazu führen, dass ein Zertifikat nicht erneuert wurde. Ihre Kunden erhalten dann eine Sicherheitswarnung, sobald Ihre Webseite aufgerufen wird.
SSL-Zertifikate als Rankingfaktor
Die Suchmaschine Google hat in verschiedenen Verlautbarungen klargestellt, dass verschlüsselte Seiten im Ranking der Suchmaschine positiv bewertet werden. Offenbar stellt sich hier die Frage nicht, ob eine statische Informationsseite übertragen wird oder ob es sich um ein Projekt mit interaktiven Inhalten handelt. Let´s Encrypt ist ein praktikabler Weg, auch die einfacheren Internetprojekte mit einer SSL-Verschlüsselung auszustatten und von diesem Rankingvorteil Gebrauch zu machen. Das Konzept der Authentifizierung von Websites von Let´s Encrypt wird übrigens ausdrücklich von Google unterstützt und zwischen Let´s Encrypt und Google besteht ein reger Dialog, um dies auch in Zukunft zu sichern.
Let´s Encrypt – Ein Konzept mit Zukunft?
Bei der Ausstellung kostenloser Zertifikate stellt sich natürlich immer die Frage, ob das Konzept von Let´s Encrypt auch in der Zukunft noch als vertrauenswürdig eingestuft wird und weiter genutzt werden kann. Wenn Sie erst einmal alle Ihre Domains auf die SSL-Verschlüsselung umgestellt haben, dann wird es schwierig bis fast schon unmöglich, eine entsprechende Rückabwicklung auf das http-Protokoll ohne Verschlüsselung vorzunehmen. Und eine Umstellung auf kostenpflichtige Zertifikate kann teuer werden, wenn Sie über eine Vielzahl von Domains verfügen.
Im Juni 2017 wurde gemeldet, dass mittlerweile mehr als 100 Millionen Zertifikate von Let´s Encrypt aktiv genutzt werden. Stellen Sie sich vor, eine solche Anzahl von Domains würden von einem Tag zum anderen nicht mehr als vertrauenswürdig eingestuft werden und von den Browsern nicht mehr oder nur noch mit einer Warnmeldung angezeigt. Das World Wide Web wäre dann auf einen Sprung ein Flickenteppich. Je mehr Domains Let´s Encrypt nutzen, desto größer die Systemrelevanz des Service. Ja, es hat schon SSL-Zertifizierungsstellen geben, die all zu leichtfertig ihre Zertifizierungen ausgestellt haben. Dies führte zu einer Warnmeldung in den Browsern trotz SSL-Verschlüsselung. Die enge Zusammenarbeit von Let´s Encrypt mit den Entwicklern gängiger Browser, die große Reichweite des Konzeptes über die Anzahl der registrierten Domains und das vergleichsweise sichere Konzept der Authentifizierung über den Zugriff auf die Webseite selbst lässt erwarten, dass von Let´s Encrypt ausgestellte Zertifikate auch in der Zukunft als sicher eingestuft werden.