Let's Encrypt ist eine Zertifizierungsstelle, die SSL-Zertifikate kostenlos und ohne Handarbeit ausstellt. Betrieben wird sie von der gemeinnützigen Internet Security Research Group; gestartet 2015 mit dem Ziel, verschlüsselte Verbindungen zum Normalfall im Netz zu machen.
- Let's Encrypt
Eine Zertifizierungsstelle, die SSL-Zertifikate kostenlos und automatisiert ausstellt.
Beispiel: „Das Zertifikat kommt von Let's Encrypt und erneuert sich alle 60 Tage selbst.“Auch: Letsencrypt. Die Ausstellung läuft über das Protokoll ACME, das ein Programm auf dem Server selbständig abwickelt.
Abgrenzung zum Zertifikatshändler: Geprüft wird nur die Kontrolle über die Domain. Zertifikate mit Prüfung des Unternehmens gibt es hier nicht.
Wie ein Zertifikat von Let's Encrypt entsteht
Ein Programm auf dem Server fragt das Zertifikat an und beweist, dass es die Domain kontrolliert, meist über eine Datei, die unter einer bestimmten Adresse abrufbar sein muss, oder über einen Eintrag im Namensdienst. Danach wird das Zertifikat ausgestellt und eingebunden, alles in Sekunden.
Bei Hosting-Paketen ist dieser Ablauf meist schon eingebaut und mit einem Schalter in der Oberfläche erledigt. Auf einem eigenen Server übernimmt ihn ein Dienst, der im Hintergrund läuft und die Erneuerung über einen Cron Job anstößt.
Was die kurze Laufzeit bei Let's Encrypt bedeutet
Zertifikate gelten 90 Tage, und erneuert wird deutlich vorher. Das klingt unbequem, ist aber der Kern des Ansatzes: Was alle zwei Monate automatisch passiert, bleibt eingerichtet, während eine Verlängerung im Jahresrhythmus vergessen wird.
Die Kehrseite ist die Abhängigkeit von der Automatik. Fällt sie aus, etwa weil eine Weiterleitung den Prüfpfad verdeckt, läuft das Zertifikat still ab. Ein Alarm auf die Restlaufzeit im Server Monitoring gehört deshalb dazu.
Wo Let's Encrypt an Grenzen stößt
Bei Zertifikaten mit Prüfung des Unternehmens, bei sehr vielen Zertifikaten in kurzer Zeit und dort, wo ein Vertragspartner eine bestimmte Zertifizierungsstelle verlangt. Für Wildcard-Zertifikate ist der Nachweis über den Namensdienst nötig, was beim Anbieter eine Schnittstelle voraussetzt.