Let’s Encrypt und ACME-Protokoll
Bis 2016 war ein öffentlich vertrauenswürdiges TLS-Zertifikat für eine Website je nach Anbieter 50–300 Euro pro Jahr wert. Außerdem war der Prozess mühsam: CSR erstellen, einreichen, warten, Zertifikat manuell installieren, Ablauf im Kalender markieren, rechtzeitig erneuern. Let's Encrypt hat das revolutioniert: kostenlose, automatisierte, 90 Tage gültige Zertifikate. Heute laufen mehr als die Hälfte aller HTTPS-Websites weltweit mit Let's-Encrypt-Zertifikaten.
Der Schlüssel ist das ACME-Protokoll (Automatic Certificate Management Environment, RFC 8555). Es beschreibt wie ein Server vollautomatisch beweisen kann, dass er eine Domain kontrolliert – und dann automatisch ein Zertifikat erhält, installiert und bei Bedarf erneuert. Ein Mensch muss dabei nicht eingreifen.
1) Die drei ACME-Challenges – wie der Domainbesitz bewiesen wird
Die entscheidende Frage bei der Zertifikatsausstellung ist immer: „Kontrollierst du wirklich die Domain für die du ein Zertifikat willst?" Let's Encrypt löst das über automatisierte Challenges – Beweise, die ein Client erbringen muss. Es gibt drei verschiedene Challenge-Typen, die unterschiedliche Voraussetzungen haben. Klicke auf einen Typ für Details:
http://domain/.well-known/acme-challenge/TOKEN. Der certbot-Client legt sie automatisch an. Let's Encrypt ruft sie ab und prüft den Inhalt. Einfachste Methode wenn Port 80 erreichbar ist. Kein Wildcard._acme-challenge.domain mit einem bestimmten Wert. Kein Webserver nötig. Unterstützt Wildcard-Zertifikate (*.domain). Erfordert DNS-API-Zugang für Automatisierung.2) ACME-Ablauf mit certbot – animiert
certbot ist der offizielle ACME-Client für Let's Encrypt und ist auf allen gängigen Linux-Distributionen verfügbar. Er übernimmt den gesamten Prozess: Schlüssel generieren, CSR erstellen, Challenge lösen, Zertifikat installieren und automatisch erneuern. Der folgende Ablauf zeigt was im Hintergrund passiert wenn du certbot --nginx -d www.firma.de ausführst:
certbot renew --dry-run zum Testen.3) Wichtige certbot-Befehle
| Befehl | Was er tut |
|---|---|
certbot --nginx -d domain.de -d www.domain.de | Zertifikat ausstellen und nginx automatisch konfigurieren |
certbot certonly --webroot -w /var/www/html -d domain.de | Zertifikat ausstellen ohne Server-Konfiguration zu verändern |
certbot renew | Alle ablaufenden Zertifikate erneuern |
certbot renew --dry-run | Erneuerung testen ohne wirklich auszustellen |
certbot certificates | Alle verwalteten Zertifikate und Ablaufdaten anzeigen |
certbot delete --cert-name domain.de | Zertifikat löschen |
Zusammenfassung
Let's Encrypt: kostenlos, automatisiert, 90 Tage gültig. ACME-Protokoll beweist Domain-Kontrolle per Challenge (HTTP-01, DNS-01, TLS-ALPN-01). certbot übernimmt den gesamten Prozess inklusive automatischer Erneuerung. Wildcard-Zertifikate nur per DNS-01. 90 Tage erzwingen Automatisierung – certbot renew läuft per Cron-Job.