Kein Zertifikat? SSL-Zertifikat in Plesk einrichten

Zwei Stellen in Plesk warnen mit verschiedenen Worten vor demselben Zustand. Ihre Website hat kein SSL-Zertifikat. Ein SSL-Zertifikat in Plesk einrichten dauert dann nur wenige Minuten, sobald eine Voraussetzung stimmt. Welche das ist, steht weiter unten.

Das Zertifikat sorgt für das Schloss in der Adresszeile. Zudem läuft die Verbindung damit verschlüsselt. Fehlt es, warnen Browser beim Aufruf über https://. Auch Suchmaschinen bewerten die Seite dann schlechter.

Inhaltsverzeichnis

• Zwei Warnungen, ein Zustand
• Die Seite mit den SSL/TLS-Zertifikaten öffnen
• SSL-Zertifikat in Plesk einrichten: die drei Wege
• Die Voraussetzung, an der es meistens hängt
• Wenn Sie ein Zertifikat gekauft haben
• Gilt das Zertifikat auch für die Subdomain?
• Wenn es mit dem Zertifikat nicht klappt
• Was Sie sonst noch wissen sollten

Zwei Warnungen, ein Zustand

Je nachdem, wo Sie gerade sind, liest sich die Meldung verschieden. Im WP Toolkit steht im Block Sicherheit Kein Zertifikat. Auf dem Dashboard der Domain steht dagegen Domain nicht geschützt.

Beides meint dasselbe. Der Weg dorthin ist ebenfalls derselbe. Eine dritte Warnung erscheint beim Aufruf der Verwaltung selbst. Sie hat allerdings einen anderen Grund und ist in der Zertifikatswarnung in Plesk beschrieben.

Die Seite mit den SSL/TLS-Zertifikaten öffnen

Klicken Sie auf eine der beiden Warnungen. Sie können auch über Websites & Domains zu Ihrer Domain gehen. Deren Dashboard führt neben Hosting und DNS die Gruppe Sicherheit, und dort steht der Punkt SSL/TLS-Zertifikate.

Der Erklärtext dort nennt den Grund gleich mit: „Ihre Domain ist nicht mit einem gültigen SSL/TLS-Zertifikat geschützt." Danach folgt der Rat, eines zu erwerben oder ein vorhandenes zu installieren.

SSL-Zertifikat in Plesk einrichten: die drei Wege

Weiter unten steht Kein Zertifikat installiert, darunter finden Sie unter Mehr Optionen drei Möglichkeiten.

Um im Normalfall ein SSL-Zertifikat installieren zu lassen, klicken Sie bei Let's Encrypt auf Installieren. Diese Zertifizierungsstelle stellt kostenlos aus. Danach erneuert Plesk das Zertifikat von selbst.

Die Voraussetzung, an der es meistens hängt

Ein Zertifikat lässt sich erst ausstellen, wenn Ihre Domain auf diesen Server zeigt. Let's Encrypt prüft das nämlich vorher. Es ruft Ihren Domainnamen auf und erwartet dort eine Datei, die Plesk hinterlegt hat. Zeigt der Domainname noch woanders hin, schlägt die Prüfung fehl. Die Ausstellung des SSL-Zertifikats scheitert dann.

Das ist der häufigste Grund, warum die Warnung nach einem Umzug bestehen bleibt. Prüfen Sie deshalb zuerst, ob die Domain hier schon ankommt. Wie Sie Ihre Seite schon vor der Umstellung des DNS-Servers ansehen, ist gesondert beschrieben.

Die Reihenfolge ist also: erst die Domain umstellen, dann das Zertifikat holen. Andersherum funktioniert es nicht.

Wenn Sie ein Zertifikat gekauft haben

Ein erworbenes Zertifikat wird manuell hochgeladen. Ihre Zertifizierungsstelle liefert dafür mehrere Zertifikatsdateien. Geliefert werden das eigentliche Zertifikat und meist ein CA-Zertifikat, auch Intermediate-Zertifikat genannt. Dazu brauchen Sie den privaten Schlüssel, der bei der Anfrage (CSR) entstanden ist.

Diese Dateien geben Sie in Plesk an, entweder als Datei oder das Zertifikat als Text. Danach folgt ein Schritt, den viele übersehen. Ein hochgeladenes Zertifikat wirkt nämlich erst, wenn es in den Hosting-Einstellungen der Website unter Sicherheit ausgewählt ist. Plesk sagt das auf der Verwaltungsseite ausdrücklich dazu.

Gilt das Zertifikat auch für die Subdomain?

Nein, nicht von selbst. Jede Domain und jede Subdomain hat in Plesk einen eigenen Eintrag bei SSL/TLS-Zertifikate.

Im Bild steht die Subdomain ebenfalls auf Domain nicht geschützt, unabhängig von der Hauptdomain. Sie holen also für jede Adresse ein eigenes Zertifikat. Alternativ lassen Sie eines ausstellen, das mehrere Namen der Domain zugleich abdeckt.

Das erklärt auch, warum eine Subdomain manchmal warnt, obwohl die Hauptdomain längst ein Schloss zeigt.

Wenn es mit dem Zertifikat nicht klappt

Vier Fälle kommen dabei immer wieder vor.

#Die Ausstellung schlägt fehl

Fast immer zeigt die Domain noch nicht auf diesen Server, siehe oben. Der zweite Grund ist eine Weiterleitung. Auch eine Regel in der .htaccess kann verhindern, dass die Prüfdatei erreichbar ist.

#Das Schloss erscheint nicht, obwohl ein Zertifikat installiert ist

Dann liefert Ihre Seite einzelne Inhalte weiter über http:// aus, etwa Bilder oder Skripte mit fester Adresse. Bei WordPress hilft es, in den Einstellungen beide Adressen auf https:// zu ändern.

#Die Warnung steht nur im WP Toolkit

Das Toolkit prüft die Installation, das Dashboard die Domain. Beide sollten dasselbe zeigen. Weichen sie ab, laden Sie die Seite neu. Das Toolkit arbeitet nämlich mit gespeicherten Werten.

#Die Liste unter Verwalten ist leer

Am Anfang ist das normal. Dort landen Zertifikate erst, nachdem eines ausgestellt oder hochgeladen wurde.

Was Sie sonst noch wissen sollten

Sobald das Zertifikat ausgestellt wurde, verschwindet die Warnung an beiden Stellen. Rufen Sie Ihre Website mit https:// auf, dann zeigt der Browser das Schloss. Sehen Sie anschließend unter Konto in den Hosting-Optionen nach. Dort steht der Eintrag „Dauerhafte, für SEO geeignete 301-Weiterleitung von HTTP zu HTTPS". Er sorgt dafür, dass Besucher wirklich dort landen.

Ein kostenloses Zertifikat ist kein schlechteres Zertifikat. Für die Verschlüsselung macht es keinen Unterschied. Gekaufte bieten zwar Zusatzleistungen, etwa eine Versicherung oder die Prüfung der Firma. Technisch verschlüsseln beide gleich.

Let's Encrypt erneuert sich selbst. SSL-Zertifikate laufen nämlich nach einiger Zeit ab. Um die Laufzeit müssen Sie sich trotzdem nicht kümmern, solange die Domain auf den Server zeigt.

SSL/TLS muss im Paket enthalten sein. Unter Konto steht dafür in der Registerkarte Hosting-Optionen der Eintrag SSL/TLS-Unterstützung. Steht er auf Aus, hilft kein Zertifikat.