HTTP-01 oder DNS-01?
ACME ist das Protokoll, mit dem Let’s Encrypt und andere CAs automatisch prüfen, ob dir eine Domain gehört. Dafür gibt es zwei gängige Wege.
- HTTP-01: Der Client legt eine Datei unter
/.well-known/acme-challenge/ab, die CA ruft sie über Port 80 ab. Am einfachsten, wenn der Server aus dem Internet erreichbar ist. Keine Wildcards. - DNS-01: Der Client legt einen TXT-Eintrag
_acme-challenge.<domain>an. Funktioniert auch für interne Server ohne öffentlichen Zugang und ist für Wildcards (*.example.com) Pflicht. Für die automatische Erneuerung braucht der Client Zugriff auf die API deines DNS-Anbieters.
Tipp für DNS-Anbieter ohne API: Lege einmalig _acme-challenge.example.com als CNAME auf einen Namen in einer Zone mit API (z. B. bei Cloudflare). Der Client schreibt dann dort, und deine Haupt-Zone bleibt unangetastet.
Welcher Client?
- certbot: Der Klassiker von der EFF, in jeder Linux-Distribution. Richtet die Erneuerung per systemd-Timer selbst ein.
- acme.sh: Reines Shell-Skript ohne Abhängigkeiten, über 150 DNS-Anbieter. Ideal für Router, NAS und Container.
- lego: Eine einzelne Go-Datei, gut für Skripte und CI.
- win-acme: Für Windows und IIS. Bindet das Zertifikat direkt in IIS ein und legt eine geplante Aufgabe an.
Laufzeiten und Limits
Let’s-Encrypt-Zertifikate gelten 90 Tage, die Clients erneuern nach etwa 60 Tagen. Let’s Encrypt verkürzt die Laufzeit schrittweise auf 45 Tage bis Februar 2028, ab März 2029 gilt branchenweit höchstens 47 Tage. Wer automatisiert, merkt davon nichts. Probiere neue Einrichtungen zuerst in der Testumgebung: Let’s Encrypt erlaubt pro Domain-Satz nur fünf identische Zertifikate pro Woche, und fehlgeschlagene Prüfungen sind ebenfalls begrenzt.
Blockiert ein CAA-Eintrag die gewählte CA, scheitert die Ausstellung. Die Vorabprüfung oben zeigt das. Danach erzeugst du die passende Server-Konfiguration im TLS-Konfigurationsgenerator und kontrollierst das Ergebnis im SSL-Check.
FAQ
Ist Let’s Encrypt wirklich kostenlos und für Firmen geeignet?
Ja. Die Zertifikate sind domainvalidiert (DV), wie die meisten kommerziellen Standardzertifikate, und werden von allen Browsern akzeptiert. Was fehlt, sind OV/EV-Angaben zur Firma und ein Support-Vertrag.
Warum ZeroSSL oder Google statt Let’s Encrypt?
Als zweite CA für den Notfall, wegen anderer Limits oder weil eine Richtlinie mehrere Anbieter verlangt. Beide sind kostenlos, brauchen aber External Account Binding (EAB) mit einem Konto.
Brauche ich Port 80, obwohl ich nur HTTPS anbiete?
Für HTTP-01 ja, die CA prüft immer über http:// auf Port 80. Danach kann der Server dort einfach auf HTTPS umleiten. Wer Port 80 nicht öffnen kann oder will, nimmt DNS-01.
ECDSA oder RSA?
ECDSA P-256 ist kleiner und schneller und wird von allen aktuellen Clients unterstützt. RSA 2048 nur, wenn sehr alte Geräte zugreifen müssen.
Wo gebe ich meinen API-Token ein?
Nicht hier. Die Befehle enthalten Platzhalter wie