Zertifikatsanforderung erstellen (CSR)¶
Wenn du ein Zertifikat kaufst, will die Zertifizierungsstelle wissen, für welche Domain sie es ausstellen soll und an wen. Dafür erzeugst du eine Anforderung, kurz CSR genannt. Das ist ein Textblock, den du beim Kauf einfach einfügst.
Für kostenlose Zertifikate brauchst du das nicht
Die automatische Ausstellung läuft ganz ohne Anforderung. Diese Seite betrifft nur den Fall, dass du ein Zertifikat kaufst oder über uns bestellst. → Wann sich das lohnt
Was dabei entsteht¶
Beim Erzeugen kommen immer zwei Dinge heraus, und beide gehören zusammen:
| Teil | Wofür |
|---|---|
| Anforderung (CSR) | schickst du an die Zertifizierungsstelle, daraus entsteht dein Zertifikat |
| Privater Schlüssel | bleibt bei dir. Er beweist, dass das Zertifikat wirklich dir gehört |
Ohne den passenden privaten Schlüssel ist ein Zertifikat wertlos. Es lässt sich damit nicht einspielen, und die Zertifizierungsstelle kann dir dabei auch nicht helfen.
Den privaten Schlüssel sofort sichern
Er wird nur einmal angezeigt und lässt sich nicht wiederherstellen. Speichere ihn an einem Ort, an dem du ihn in einem Jahr noch findest, also nicht im Download-Ordner und nicht auf dem Rechner, der demnächst ersetzt wird.
Geht er verloren, musst du eine neue Anforderung erzeugen und das Zertifikat neu ausstellen lassen. Bei den meisten Anbietern ist das kostenlos, kostet dich aber Zeit.
Der Weg über das cPanel¶
Im cPanel: Sicherheit → SSL/TLS — cPanel öffnen
- SSL/TLS öffnen
- Zertifikatsregistrierungsanforderungen (CSR) anklicken
- Das Formular ausfüllen, siehe unten
- Auf Generieren klicken
- Beide Textblöcke sichern, also Anforderung und privaten Schlüssel
Der Weg über das Kundenportal¶
Bestellst du das Zertifikat über uns, kannst du die Anforderung auch dort erzeugen: CSR-Generator im Kundenportal
Was in die Felder gehört¶
| Feld | Was hineingehört |
|---|---|
| Domain | genau der Name, für den das Zertifikat gelten soll, etwa deine-domain.de |
| Stadt und Bundesland | ausgeschrieben, also München und Bayern, nicht abgekürzt |
| Land | DE für Deutschland |
| Unternehmen | dein Firmenname. Bei Privatpersonen genügt der eigene Name |
| eine Adresse, die du auch wirklich abrufst |
Beim Domainnamen ganz genau sein
deine-domain.de und www.deine-domain.de sind für ein Zertifikat zwei verschiedene
Namen. Eine Anforderung für den einen deckt den anderen nicht ab.
Die meisten Anbieter nehmen heute automatisch beide Schreibweisen auf. Verlass dich aber nicht darauf, sondern prüf es beim Kauf ausdrücklich. Sonst bekommt später ein Teil deiner Besucher eine Warnung.
Sollen mehrere verschiedene Domains in ein Zertifikat, frag beim Anbieter nach einem Zertifikat mit mehreren Namen. Sollen alle Subdomains einer Domain abgedeckt sein, brauchst du ein Wildcard-Zertifikat.
Wenn du über uns bestellst¶
Dann brauchen wir zusätzlich zur Anforderung noch drei Angaben.
1. Die Bestätigungsadresse. Dorthin schickt die Zertifizierungsstelle die Freigabemail. Zulässig sind nur feste Adressen deiner eigenen Domain:
admin@ administrator@ hostmaster@
postmaster@ webmaster@
Diese Adresse muss vorher existieren und abrufbar sein. Das ist der häufigste Grund, warum eine Bestellung liegen bleibt: Die Freigabemail geht an eine Adresse, die es gar nicht gibt, und niemand merkt es. Leg sie also vorher an. → Postfach anlegen
2. Technischer Ansprechpartner: Vorname, Nachname, E-Mail und Telefonnummer.
3. Administrativer Ansprechpartner: dieselben Angaben. Das darf dieselbe Person sein.
Für Experten: die Anforderung auf der Kommandozeile erzeugen
Wer lieber selbst erzeugt, etwa weil der Schlüssel auf einem anderen System liegen soll,
nimmt openssl. Zwei Befehle, der erste erzeugt den privaten Schlüssel, der zweite die
Anforderung dazu:
openssl genrsa -out deine-domain.de.key 2048
openssl req -new -key deine-domain.de.key -out deine-domain.de.csr
Beim zweiten Befehl werden dieselben Angaben abgefragt wie im Formular oben. Beim Feld
Common Name gehört exakt der Domainname hinein, für den das Zertifikat gelten soll,
also etwa www.deine-domain.de.
Ergebnis sind zwei Dateien: Die .csr schickst du an die Zertifizierungsstelle, die .key
bleibt bei dir und wird später beim Einspielen gebraucht.
Der wichtige Unterschied zum cPanel-Weg: Hier liegt der private Schlüssel bei dir und nicht im cPanel. Du musst ihn selbst sichern, und beim Einspielen fügst du ihn von Hand ein. Geht er verloren, ist das Zertifikat wertlos.
Mit 2048 Bit liegst du auf der sicheren Seite. Kleinere Schlüssel werden von
Zertifizierungsstellen abgelehnt.
Häufige Stolpersteine¶
Die Anforderung wurde zweimal erzeugt. Dann liegen im cPanel zwei private Schlüssel, und das Zertifikat passt nur zu einem davon. Beim Einspielen kommt dann die Meldung, dass der Schlüssel nicht zum Zertifikat passt. Erzeug in dem Fall lieber einmal sauber neu, statt zu raten.
Umlaute in den Feldern. Manche Zertifizierungsstellen kommen damit nicht zurecht. Wenn die Bestellung ohne erkennbaren Grund abgelehnt wird, versuch es ohne Umlaute.
Das Zertifikat kommt, aber niemand spielt es ein. Ein gekauftes Zertifikat wird nicht von selbst aktiv. Nach dem Kauf folgt immer noch der Einbau. → Zertifikat einspielen
Das könnte auch weiterhelfen¶
- Ein gekauftes Zertifikat einspielen: der Schritt danach
- Zertifikat prüfen und anstoßen: der kostenlose Weg
- Besucher automatisch auf https schicken
- SSL und Verschlüsselung im Überblick