[Kaufberatung] SSL Zertifikat kaufen? Wo und was?

[besterino]

Hallo zusammen,

wahrscheinlich gehört diese Frage nicht so richtig hierher, aber hier tummelt sich m.E. die dafür beste Community...

Mein root-Server kommuniziert standardmäßig bereits verschlüsselt, allerdings derzeit mit selbst signierten Zertifikaten. Das ist ja für SSH und Eigenbedarf-https ganz ok, aber da ich mittelfristig vielleicht doch einmal eine Website für ein größeres Publikum (als nur mich) hosten will, braucht's da wohl ein signiertes Zertifikat von einer brauchbaren CA. Und weil ich noch keine Ahnung habe, wie ich meinen Server dann unterteilen will, hätte ich gerne die Möglichkeit, in Zukunft dann weitere subdomains (z.B. www/mail/intern/keineahnung.abc.de) zu nutzen und ebenfalls sauber/zertifiziert verschlüsselt kommunizieren zu lassen.

Nun steige ich nicht so richtig durch. Wenn ich mir das mal bei 1und1 anschaue, kostet so'n 08/15 256-bit-SSL-Zertifikat von Geotrust €1,99/Monat und in der Wildcard-Variante (RapidSSL) dann €4,99/Monat (in Jahr 1, danach dann €9,99). Schaue ich bei GlobalSign kostet die billigste Wildcard-Variante ab €629/Jahr - eher nicht so meine Vorstellung für "mal eben kaufen". Bei RapidSSL direkt kostet das Ganze immerhin noch $199/Jahr - auch noch teurer als die 1und1-Variante.

Woher kommen denn die doch zum Teil krassen Preisunterschiede?

Was würdet Ihr empfehlen? Erstmal mit einem billo-non-wildcard starten und dann - wenn möglich - bei Bedarf aufrüsten? Gibt's das irgendwo auch günstiger? Muss ich bei dem Dienstleister bzw. der CA auf irgend etwas besonderes achten?

Bin ja bereit, dafür Geld in die Hand zu nehmen - bin nur etwas unsicher, was denn sinnvoll/gut ist und was hier "must have" oder "nice-to-have" ist.

 

[c137]

https://letsencrypt.org/ kennst du?

 

[besterino]

Äh ne.

Sieht interessant aus - mal einlesen! Dankeschön!

 

[_ice]

Kann aber kein Wildcard. Alternativ zum Einstieg wäre auch noch startssl.com

 

[Sir Diablo]

letsencrypt Zertifikate kannst du beliebig (oder zumindest sehr) viele Subdomains auch mit zertifizieren lassen. Und der angebotene client ist auch sehr bequem. Installiert die Zertifikate gleich an den richtigen Ort in der richtigen Form.

Gesendet von meinem A0001 mit der Hardwareluxx App

 

[sinio]

StartSSL kann ich ebenfalls empfehlen. Du bezahlst einmal deine 60$ für die Identitätsprüfung und kannst dir dann für beliebig viele Domains ein Wildcard Class 2-Zertifikat ausstellen lassen. Vorteil ggü. LetsEncrypt: Zertifikat hält 2 Jahre, brauchst dich also nicht auf die Cronjobs zu verlassen, dass sie dir deine Zertifikate rechtzeitig neu einrichten. Und du kannst bspw. deinen Namen oder den deiner Firma in das Zertifikat eintragen lassen.

Aber wie gesagt, kostet halt was -- LetsEncrypt ist definitiv eine sinnvolle Alternative, auch wenn man hier regelmäßig ein Auge darauf werfen muss, dass die automatische Zertifikatserneuerung korrekt funktioniert.

 

[besterino]

Spitze, vielen Dank an alle. Bin noch unentschlossen, aber werde wohl einfach mal testhalber mein Glück mit LetsEncrypt versuchen. Wenn's klappt, umso besser (und mehr als den Apache brauch ich ja vielleicht doch nicht).

 

[Handle]

Aber wie gesagt, kostet halt was -- LetsEncrypt ist definitiv eine sinnvolle Alternative, auch wenn man hier regelmäßig ein Auge darauf werfen muss, dass die automatische Zertifikatserneuerung korrekt funktioniert.

Nö - Cronjob, der im Fehlerfall 'ne E-Mail losschickt und fertig ist's. Da muss man nicht regelmäßig ein Auge drauf werfen, einmal eingerichtet läuft's. Das ist ja auch das Prinzip von Let'sEncrypt und der Grund für die kurzen Zertifikatslaufzeiten.

@besterino wirf mal einen Blick auf die verschiedenen Client-Implementationen, die es neben dem offiziellen Let'sEncrypt-Client gibt. Da sind auch ein paar dabei, die nicht so aufgebläht sind, wie z. B. dieser mit weniger als 200 Zeilen Code.
Je nach dem, wie groß deine Seite später werden sollen, würde ich vielleicht auch mal über einen Umstieg auf nginx nachdenken. Der ist meiner Erfahrung nach ressourcenschonender und performanter.

 

[DecaTec]

Je nach dem, wie groß deine Seite später werden sollen, würde ich vielleicht auch mal über einen Umstieg auf nginx nachdenken. Der ist meiner Erfahrung nach ressourcenschonender und performanter.

Lohnt sich mMn aber nur, wenn die Website entsprechend gut besucht ist, oder der Webserver auf minimaler Hardware läuft (RasPi, o.ä.). Ansonsten ist nginx mit zu viel Einarbeitungszeit verbunden. Hier wird man mit Apache schneller Ergebnisse vorweisen können.

Habe die Tage auch mal Let's Encrypt auf nginx ausprobiert und muss sagen, dass das recht einfach klappt. Allerdings bevorzuge ich momentan (in der Beta-Phase) noch dem manuellen Modus auf einer komplett getrennten VM, um die Zertifikate zu erzeugen. Eine Anleitung dazu habe ich hier verfasst.