SSL-Zertifikat mit Let's Encrypt in Plesk aktivieren

Ein SSL-Zertifikat verschlüsselt die Verbindung zwischen Ihren Besuchern und Ihrer Website. Browser kennzeichnen Seiten ohne Zertifikat als „nicht sicher“, und Suchmaschinen bevorzugen verschlüsselte Seiten. In Plesk erhalten Sie kostenlose Zertifikate von Let's Encrypt, die automatisch verlängert werden. Diese Anleitung zeigt Einrichtung, HTTPS-Weiterleitung und die Lösung typischer Fehler.

Voraussetzungen

• Die Domain ist in Plesk angelegt.
• Die Domain zeigt per DNS auf unseren Server, also der A-Eintrag und gegebenenfalls der AAAA-Eintrag. Ohne diesen Eintrag kann Let's Encrypt nicht prüfen, dass Ihnen die Domain gehört.
• Die Website ist über http:// erreichbar. Eine eventuell bestehende Weiterleitung auf eine andere Adresse kann die Prüfung stören.

Haben Sie die Domain gerade erst umgezogen oder die Nameserver geändert, warten Sie, bis die DNS-Änderung wirksam ist. Mehr dazu im Artikel DNS-Änderungen, TTL und Propagation verstehen.

Schritt 1: Zertifikat anfordern

1. Öffnen Sie in Plesk Websites & Domains und wählen Sie Ihre Domain.
2. Klicken Sie auf SSL/TLS-Zertifikate.
3. Wählen Sie bei Let's Encrypt die Option Installieren bzw. Kostenloses Basiszertifikat installieren.
4. Prüfen Sie die E-Mail-Adresse. An sie sendet Let's Encrypt wichtige Hinweise.
5. Wählen Sie, welche Namen abgedeckt werden sollen:
   • Domain und www-Subdomain: fast immer aktivieren
   • Webmail: aktivieren, wenn Sie Webmail unter webmail.ihre-domain.at nutzen
   • Mail: sichert den Mailserver-Namen Ihrer Domain ab, damit E-Mail-Programme keine Zertifikatswarnung zeigen
   • Wildcard: deckt alle Subdomains ab. Das funktioniert nur, wenn der DNS Ihrer Domain bei uns verwaltet wird.
6. Klicken Sie auf Kostenlos erhalten.

Nach wenigen Sekunden ist das Zertifikat installiert. Rufen Sie Ihre Website mit https:// auf. Im Browser erscheint ein Schloss-Symbol.

Schritt 2: HTTP dauerhaft auf HTTPS umleiten

Damit alle Besucher die verschlüsselte Version sehen, richten Sie eine Weiterleitung ein:

1. Öffnen Sie bei Ihrer Domain Hosting- und DNS-Einstellungen bzw. Hosting-Einstellungen.
2. Aktivieren Sie Permanente, für SEO geeignete 301-Weiterleitung von HTTP zu HTTPS.
3. Speichern Sie die Einstellungen.

Auf der Seite SSL/TLS-Zertifikate finden Sie außerdem die Option HSTS. Damit merkt sich der Browser, Ihre Seite ausschließlich verschlüsselt aufzurufen. Aktivieren Sie HSTS erst, wenn HTTPS zuverlässig funktioniert, denn ein späteres Zurück auf HTTP ist dann für einige Zeit nicht mehr möglich.

Schritt 3: Gemischte Inhalte beheben

Zeigt der Browser trotz Zertifikat eine Warnung an, lädt Ihre Seite einzelne Inhalte wie Bilder, Skripte oder Schriften noch über http://. Das nennt man Mixed Content.

• WordPress: Stellen Sie unter Einstellungen → Allgemein beide Adressen auf https:// um. Ersetzen Sie alte Links in der Datenbank mit einem Plugin wie Better Search Replace, zum Beispiel http://ihre-domain.at durch https://ihre-domain.at.
• Andere Seiten: Suchen Sie im Quelltext nach http:// und ersetzen Sie die Adressen.

In den Entwicklertools des Browsers (Taste F12, Reiter Konsole) sehen Sie, welche Inhalte betroffen sind.

Automatische Verlängerung

Let's-Encrypt-Zertifikate sind rund drei Monate gültig. Plesk verlängert sie automatisch rechtzeitig vor Ablauf. Sie müssen nichts weiter tun, solange die Domain auf unseren Server zeigt. Schlägt eine Verlängerung fehl, erhalten Sie eine E-Mail.

Fehlerbehebung

„Could not issue a Let's Encrypt SSL/TLS certificate“

Die häufigsten Ursachen:

• DNS zeigt nicht auf unseren Server: Prüfen Sie mit nslookup ihre-domain.at, ob die richtige IP-Adresse zurückkommt. Auch der AAAA-Eintrag muss stimmen oder fehlen.
• www fehlt im DNS: Wenn Sie die www-Subdomain mit absichern, benötigt auch www einen DNS-Eintrag.
• Weiterleitung oder .htaccess: Regeln, die Anfragen auf /.well-known/acme-challenge/ umleiten oder blockieren, verhindern die Prüfung.
• Zu viele Versuche: Let's Encrypt begrenzt fehlgeschlagene Anfragen. Warten Sie in diesem Fall eine Stunde.

Der Browser zeigt noch das alte Zertifikat

Leeren Sie den Browser-Cache oder testen Sie in einem privaten Fenster.

Ich nutze einen Proxy-Dienst wie Cloudflare

Stellen Sie den SSL-Modus dort auf Full (strict), damit auch die Verbindung zwischen Proxy und unserem Server verschlüsselt und geprüft wird.

Weitere Grundlagen zur Bedienung finden Sie im Artikel Plesk: Erste Anmeldung und Überblick.