Dieser Artikel soll den Umgang mit den Webhosting
bzw. Root Server
Angeboten von Hosterplus.de erleichtern. Wenn Sie noch kein Angebot
von Hosterplus.de nutzen, können Sie dies hier
bestellen.
Zertifikatswarnung in Plesk: SSL-Zertifikat und sichere Verbindung
Der Browser meldet, die Verbindung sei nicht sicher, und das ausgerechnet beim Aufruf Ihrer Verwaltung. Eine Zertifikatswarnung in Plesk hat aber fast immer einen harmlosen Grund. Er liegt nicht am Server, sondern daran, wie die Adresse eingegeben wurde.
Die kurze Antwort: Die Verwaltung läuft über eine verschlüsselte Verbindung, und ihr Zertifikat stammt von einer anerkannten Zertifizierungsstelle. Rufen Sie sie über den Servernamen auf, dann erscheint keine Warnung. Wer stattdessen die IP-Adresse eingibt, bekommt sie zwangsläufig.
Ja, die Verbindung ist verschlüsselt. Die Adresse beginnt mit https://, und der Server weist sich mit einem SSL-Zertifikat aus. Dieses Zertifikat hat eine anerkannte Zertifizierungsstelle ausgestellt. Genau darauf prüft Ihr Browser bei jedem Aufruf.
Beim Aufruf über den Servernamen mit dem Port 8443 erscheint deshalb keine Warnung. Der Browser findet das Zertifikat gültig und zeigt das geschlossene Schloss. Browser und Server verschlüsseln dabei alles, was zwischen ihnen hin und her geht, also auch Benutzername und Passwort.
Warum kommt trotzdem eine Zertifikatswarnung in Plesk?
An der Konfiguration des Servers liegt es fast nie. Der mit Abstand häufigste Grund: Sie haben die IP-Adresse eingegeben statt des Servernamens. Drei Fälle decken fast alles ab:
Aufruf
Ergebnis
über den Servernamen mit :8443
kein Problem, das Schloss ist geschlossen
über die IP-Adresse
Warnung, obwohl alles in Ordnung ist
über einen alten oder falsch geschriebenen Namen
Warnung, der Name passt nicht
In allen drei Fällen ist die Lösung dieselbe: Rufen Sie die Verwaltung über den Servernamen auf. Wie diese Adresse aufgebaut ist, steht in der Anleitung zur Anmeldung in Plesk.
Ein SSL-Zertifikat gilt für Namen, nicht für Zahlen
Ein Zertifikat bestätigt, dass ein bestimmter Domainname zu diesem Server gehört. Im Fachjargon ist das sein Hostname. Es wird deshalb auf Namen ausgestellt, nicht auf Zahlen. Im Zertifikat der Verwaltung steht keine IP-Adresse, und das ist kein Versäumnis, sondern der Normalfall.
Wer stattdessen die IP-Adresse mit dem Port 8443 eingibt, bekommt also ein Zertifikat zu sehen, das auf einen Namen lautet. Der Browser vergleicht beides, stellt fest, dass es nicht zusammenpasst, und warnt. Er tut damit genau das, wofür er da ist.
Ebenfalls gut zu wissen: Manche Server weisen sich mit einem Zertifikat aus, das sie sich selbst ausgestellt haben. Ein solches Zertifikat ist selbstsigniert, niemand Drittes hat es bestätigt, und Browser warnen davor immer. Bei dieser Verwaltung ist das nicht der Fall, hier steht eine Zertifizierungsstelle dahinter.
Wann Sie die Warnung ernst nehmen müssen
Klicken Sie eine Zertifikatswarnung niemals blind weg. Lesen Sie, was der Browser meldet, denn die Fehlermeldung nennt den Grund.
#Harmlos, wenn der Name nicht passt und Sie die IP eingegeben haben
Dann sagt die Warnung also nur, was Sie ohnehin wissen. Rufen Sie die Seite deshalb über den Servernamen auf, und sie verschwindet.
Sie haben den richtigen Servernamen eingegeben und werden trotzdem gewarnt.
Das Zertifikat ist abgelaufen.
Der Aussteller ist unbekannt.
Die Warnung tritt plötzlich neu auf, wo vorher keine war.
Eine untergeschobene Anmeldeseite ist genau der Weg, auf dem Zugangsdaten abgefangen werden. Melden Sie sich dann nicht an. Fragen Sie lieber beim Support nach.
Ihre eigene Domain hat ein eigenes Zertifikat
Zu Ihrem Hosting gehören beide: die Verwaltung und Ihre Websites. Sie sind aber zwei verschiedene Dinge und haben getrennte SSL-Zertifikate. Hat Ihre Domain noch keines, warnt der Browser beim Aufruf von https://ihre-domain.de, während die Verwaltung selbst einwandfrei läuft.
Das ist also kein Widerspruch, sondern der Normalfall bei einer frisch angelegten Domain. SSL-Zertifikate für Ihre eigenen Domains verwalten Sie getrennt von der Verwaltung, und dafür gibt es eine eigene Anleitung.
Was Sie tun können
Rufen Sie die Verwaltung immer über den Servernamen auf, nie über die IP-Adresse.
Setzen Sie ein Lesezeichen. Dann können Sie sich gar nicht mehr vertippen.
Prüfen Sie im Zweifel das Schloss im Browser. Ein Klick darauf zeigt, auf welchen Namen das Zertifikat lautet. Dort steht auch, wer das Zertifikat ausgestellt hat und wie lange die Laufzeit des SSL-Zertifikats reicht.
Melden Sie sich nicht an, solange etwas nicht stimmt.
Dann liegt es meist an dessen Uhrzeit, nämlich am Datum. Ein falsch gestelltes Datum lässt jedes Zertifikat ungültig erscheinen, weil der Browser die Laufzeit gegen die Systemuhr prüft.
Im Firmennetz prüfen manchmal Sicherheitsgeräte den Verkehr. Dabei ersetzen sie das Zertifikat durch ein eigenes. Fragen Sie in diesem Fall Ihre Administration.
Bei manchen Warnungen ist das so gewollt. Nehmen Sie es als Hinweis und nicht als Hindernis, das man umgeht. Anleitungen, die das Abschalten solcher Warnungen in Browsern beschreiben, lösen das Problem nicht, sie verstecken es.
#Sie haben die Warnung einmal dauerhaft angenommen
Dann sehen Sie sie nicht mehr, auch wenn sich am Zertifikat etwas ändert. Solche Ausnahmen lassen sich allerdings in den Einstellungen Ihres Browsers zurücknehmen.
Verschlüsselung ist nicht dasselbe wie Vertrauen
Verschlüsselung heißt: Niemand liest mit. Wer am anderen Ende sitzt, sagt Ihnen dagegen erst das Zertifikat. Beides gehört zusammen, und deshalb ist eine weggeklickte Warnung mehr als eine Formalie.
Der unverschlüsselte Zugang ist übrigens keine Alternative. Ältere Anleitungen nennen dafür eine zweite Portnummer, bei der Benutzername und Passwort offen durchs Netz gehen. Nutzen Sie ihn nicht.
