Ein SSL-/TLS-Zertifikat ist eine digitale Bescheinigung, die den öffentlichen Schlüssel eines Servers einer Domain zuordnet. Eine Zertifizierungsstelle (CA) signiert es. Es ist die Grundlage für HTTPS, also für eine verschlüsselte Verbindung zwischen Browser und Server.
SSL oder TLS?
SSL (Secure Sockets Layer) ist der ältere Name des Protokolls, TLS (Transport Layer Security) sein Nachfolger. Im Einsatz ist heute TLS, aktuell ist TLS 1.3 (RFC 8446, August 2018). Der Begriff SSL-Zertifikat hat sich im Sprachgebrauch gehalten, gemeint ist technisch ein TLS-Zertifikat.
Was steht im Zertifikat?
Ein Zertifikat enthält ein Schlüsselpaar, Angaben zum Inhaber (Subject) und die digitale Signatur der CA. Der Browser prüft die Kette vom Zertifikat der Website über ein Zwischenzertifikat bis zum Root-Zertifikat der CA. Die Prüfung entscheidet, ob er der Verbindung vertraut.
Es gibt drei Validierungsstufen. Bei Domain Validation (DV) wird nur der Besitz der Domain bestätigt, bei Organization Validation (OV) zusätzlich die Identität der Organisation, bei Extended Validation (EV) gelten die strengsten Prüfungen.
Wie lange gilt ein Zertifikat?
Let’s Encrypt stellt kostenlose DV-Zertifikate aus, die 90 Tage gültig sind. Empfohlen wird eine automatische Erneuerung alle 60 Tage über das Protokoll ACME. Ein abgelaufenes Zertifikat löst Browserwarnungen aus (Einschätzung). Nach den Baseline Requirements des CA/Browser Forums sinkt die maximale Laufzeit öffentlich vertrauter Zertifikate schrittweise auf 200 Tage ab 15. März 2026, 100 Tage ab 15. März 2027 und 47 Tage ab 15. März 2029. Zertifikate müssen dann häufiger erneuert werden.
Was bedeutet das für SEO?
Google kündigte im August 2014 HTTPS als leichtes Rankingsignal an und empfahl Websitebetreibern den Wechsel von HTTP auf HTTPS. Die Dokumentation zu Page Experience nennt heute kein einzelnes Signal und verweist auf den HTTPS-Bericht der Search Console.
Beispiel
Zertifikat für: www.example.de
Aussteller: Beispiel-CA
Gültig bis: 2027-01-15
Stimmt der Hostname im Zertifikat nicht mit der aufgerufenen Domain überein, zeigt der Browser eine Warnung.
Häufige Fehler
Die Anleitung zu HTTPS auf web.dev (Stand 2015) nennt diese Stolperstellen.
- Wildcard-Zertifikat für mehrere Ebenen. Ein Wildcard-Zertifikat deckt nur eine DNS-Ebene ab.
*.example.comgilt fürfoo.example.com, aber nicht fürfoo.bar.example.com. - Abgelaufenes Zertifikat bei aktivem HSTS. Clients, die die Website als bekannten HSTS-Host gespeichert haben, scheitern bei einem TLS-Konfigurationsfehler wie einem abgelaufenen Zertifikat wahrscheinlich hart.
- HTTP-Ressourcen auf HTTPS-Seiten. Manche Browser laden oder führen solche Ressourcen nicht aus, wodurch die Seite nicht mehr richtig funktioniert.
- Fest eingetragene Protokolle in internen Links. Auch sie nennt die Anleitung als typischen Fehler.
Häufige Fragen
Sind SSL-Zertifikate kostenlos? Domain-validierte Zertifikate gibt es kostenlos, zum Beispiel von Let’s Encrypt. OV und EV kosten in der Regel Geld.
Was passiert ohne SSL-Zertifikat? Die Website lässt sich nur über HTTP aufrufen, Daten laufen unverschlüsselt.
Quellen
- TLS 1.3 – RFC 8446rfc-editor.org
- Let's Encrypt FAQletsencrypt.org
- HTTPS als Rankingsignal – Google Search Central Blog (2014)developers.google.com
- Page Experience – Google Search Centraldevelopers.google.com
- Baseline Requirements – CA/Browser Forumcabforum.org
- Was ist ein SSL-Zertifikat? – DigiCertdigicert.com
- HTTPS aktivieren – web.dev (Stand 2015)web.dev
Stand: