Vor Let’s Encrypt kostete ein Zertifikat Geld und wurde von Hand installiert, weshalb viele Websites bei HTTP blieben. Die Zertifizierungsstelle, seit 2015 öffentlich zugänglich, hat das TLS-Zertifikat kostenlos und vor allem automatisch gemacht: Die meisten Hoster aktivieren es mit einem Klick, und die Verlängerung läuft ohne dein Zutun.
Wie Let’s Encrypt funktioniert
Let’s Encrypt stellt ausschließlich domainvalidierte Zertifikate aus: Geprüft wird, ob du den Namen kontrollierst, nicht die Identität deines Unternehmens. Die Kommunikation läuft über das von der IETF standardisierte Protokoll ACME, das Certbot und viele andere Clients sowie die Hosting-Panels umsetzen. Der Client erzeugt einen Schlüssel, beantragt ein Zertifikat, besteht eine Challenge, die die Kontrolle über die Domain belegt, und installiert das Zertifikat anschließend im Webserver.
Die drei Challenges
- HTTP-01: Der Client legt eine Datei unter
/.well-known/acme-challenge/ab, die Let’s Encrypt ausschließlich über Port 80 abruft. Weiterleitungen werden verfolgt, bis zu zehn. Das ist die gängigste Challenge, sie erlaubt aber keine Wildcard-Zertifikate. - DNS-01: Der Client legt einen TXT-Eintrag
_acme-challengein der DNS-Zone an. Er ist für ein Wildcard-Zertifikat (*.example.de) Pflicht und funktioniert auch, wenn der Server nicht erreichbar ist, dafür müssen Zugangsdaten für die DNS-API auf dem Server liegen. - TLS-ALPN-01: eine Prüfung über Port 443, gedacht für Proxys und große Hoster, die Let’s Encrypt für die meisten Nutzer als ungeeignet einstuft.
Eine Laufzeit, die kürzer wird
Standardzertifikate sind 90 Tage gültig, und ein optionales Profil stellt Zertifikate mit sechs Tagen Laufzeit aus. Let’s Encrypt hat eine schrittweise Verkürzung angekündigt, im Einklang mit den Anforderungen des CA/Browser Forums: Seit dem 13. Mai 2026 stellt das optionale Profil tlsserver Zertifikate mit 45 Tagen aus; am 10. Februar 2027 sinkt das Standardprofil auf 64 Tage, am 16. Februar 2028 auf 45 Tage. Eine fest eingestellte Verlängerung alle 60 Tage reicht also nicht mehr: Die Zertifizierungsstelle empfiehlt ACME Renewal Information (ARI) oder ersatzweise eine Verlängerung nach zwei Dritteln der Laufzeit.
Für WordPress
- Überlass die Verlängerung dem Hoster oder dem ACME-Client: Mit kürzeren Laufzeiten ist eine manuelle Verlängerung nicht mehr machbar. Auf einem Server, den du selbst verwaltest, läuft der Client über eine geplante Aufgabe oder einen Cronjob; überwache den Ablauf, damit du bei einem Fehlschlag gewarnt wirst.
- Blockiere /.well-known/ nicht: Eine zu weit gefasste Sicherheitsregel, eine Weiterleitung auf eine Login-Seite oder eine Zugriffssperre auf dieses Verzeichnis lässt HTTP-01 scheitern.
- Nach der Installation stellst du die Adressen der Website auf https um, behebst gemischte Inhalte und ziehst HSTS in Betracht: Unser Leitfaden zu HTTPS unter WordPress erklärt jeden Schritt, und der Beitrag darüber, was Google berücksichtigt, ordnet die Wirkung auf das Ranking ein.
Das Zertifikat verschlüsselt die Verbindung, es schützt aber nicht WordPress selbst: Eine Website mit HTTPS kann genauso gehackt werden wie jede andere.