SSL-Zertifikate automatisch verlängern: typische Fehler erkennen
Die Website lädt heute ohne Zertifikatswarnung. Ob die nächste automatische Verlängerung funktioniert, ist damit noch nicht geklärt. Ein Serverumzug, geänderte DNS-Einträge oder ein neuer Zugriffsschutz können den Ablauf unterbrechen. Prüfen Sie deshalb die Ausstellung und das Zertifikat, das Besucher tatsächlich erhalten. Die folgenden Beispiele beziehen sich auf Let's Encrypt, Plesk und Certbot.
Klären, welches System verlängert
Notieren Sie für jeden Dienst die genutzten Hostnamen, das zuständige System und eine verantwortliche Person. Website, Webmail und Mailserver können unterschiedliche Zertifikate verwenden. In Plesk mit SSL It! finden Sie unter Websites & Domains beim jeweiligen Domainnamen den Bereich SSL/TLS-Zertifikate. Prüfen Sie dort die abgesicherten Namen und Dienste. Die automatische Verlängerung eines Let's-Encrypt-Zertifikats bedeutet nicht, dass ein manuell hochgeladenes Zertifikat denselben Ablauf nutzt.
Bei NUXOA-Webhosting lässt sich die Ausstellung und Verlängerung von Let's-Encrypt-Zertifikaten über die Verwaltungsoberfläche automatisieren. Bei selbst administrierten Servern muss der Ablauf zur eigenen Installation passen. Legen Sie bei betreuten Systemen im Angebot fest, wer Zertifikate, DNS-Zugänge und Störungsmeldungen bearbeitet.
Den Nachweis der Domainkontrolle erhalten
Let's Encrypt prüft Domainkontrolle unter anderem mit HTTP-01 oder DNS-01. HTTP-01 ruft einen Nachweis unter /.well-known/acme-challenge/ über Port 80 ab. DNS-01 verwendet einen TXT-Eintrag unter _acme-challenge und unterstützt auch Wildcard-Zertifikate. Für einen automatischen DNS-Ablauf benötigen Sie eine passende DNS-Schnittstelle und gültige, möglichst eng begrenzte Zugriffsrechte.
Prüfen Sie nach Änderungen an Firewall, Weiterleitungen oder Zugriffsschutz erneut, ob die verwendete Prüfung funktioniert. Bei DNS-01 muss der aktuelle TXT-Wert auf den autoritativen DNS-Servern verfügbar sein, bevor die Validierung startet. Ein erfolgreicher Abruf der normalen Startseite ersetzt diesen Test nicht.
IPv6 und CAA bei Fehlern mitprüfen
Zeigen A- und AAAA-Einträge auf unterschiedliche Systeme, kann der Browser über IPv4 funktionieren, während die Zertifikatsprüfung scheitert. Let's Encrypt bevorzugt bei vorhandenen IPv4- und IPv6-Adressen zunächst IPv6. Liefert dieser Server eine falsche HTTP-Antwort, erfolgt nicht einfach ein neuer Versuch über IPv4. Prüfen Sie deshalb beide Adressfamilien und korrigieren Sie veraltete DNS-Ziele.
CAA-Einträge legen fest, welche Zertifizierungsstellen Zertifikate für einen Namen ausstellen dürfen. Prüfen Sie bei entsprechenden Fehlermeldungen die wirksamen Vorgaben, einschließlich übergeordneter Domains und möglicher CNAME-Ziele. Für Wildcards können zusätzliche Regeln gelten. Löschen Sie CAA-Vorgaben nicht pauschal, sondern stimmen Sie die erlaubte Zertifizierungsstelle mit der tatsächlich genutzten ab.
Nach der Ausstellung die Auslieferung prüfen
Ein neues Zertifikat auf der Festplatte reicht nicht aus, wenn der Webserver oder ein vorgeschalteter Proxy weiterhin das alte verwendet. Bei Certbot kann ein Deploy-Hook die nötigen Schritte nach erfolgreicher Erneuerung auslösen. Ein erfolgreicher Aufruf von certbot renew allein bestätigt keine Erneuerung: Der Befehl kann auch erfolgreich enden, wenn noch kein Zertifikat fällig war.
Prüfen Sie den Dienst anschließend von außen mit seinem tatsächlichen Hostnamen: Stimmen Name und Gültigkeitszeitraum des ausgelieferten Zertifikats? Werden bei mehreren vorgeschalteten Systemen alle erreicht und aktualisiert? Ein Certbot-Probelauf mit --dry-run prüft den Erneuerungsablauf gegen eine Testumgebung; Deploy-Hooks laufen dabei standardmäßig nicht. Prüfen Sie Installation und Übernahme durch den Dienst deshalb gesondert.
Ausfälle früh bemerken und gezielt beheben
Let's Encrypt hat seine E-Mail-Warnungen vor ablaufenden Zertifikaten am 4. Juni 2025 eingestellt. Richten Sie eine eigene Ablaufüberwachung mit einer zuständigen Person und Vertretung ein. Orientieren Sie Warnschwellen an der tatsächlichen Zertifikatslaufzeit und der benötigten Reaktionszeit. Überwachen Sie den extern erreichbaren Dienst zusätzlich zu den Erneuerungsprotokollen.
Suchen Sie bei einem Fehler zuerst den betroffenen Hostnamen, den Zeitpunkt und die konkrete Meldung heraus. Beheben Sie die Ursache, bevor Sie wiederholt neue Ausstellungen anstoßen. Let's Encrypt empfiehlt kontrollierte Wiederholungen mit wachsendem Abstand. Für geplante Tests stehen Testumgebungen zur Verfügung; deren Zertifikate gehören nicht auf den öffentlichen Dienst.
- Nach einem DNS- oder Serverumzug Validierung und Zertifikatszuordnung erneut prüfen.
- Nach einer Erneuerung das tatsächlich ausgelieferte Zertifikat kontrollieren.
- Zuständigkeit, Alarmweg und Wiederherstellungsschritte für den nächsten Fehler dokumentieren.