{"id":21869,"date":"2026-10-31T17:30:00","date_gmt":"2026-10-31T16:30:00","guid":{"rendered":"https:\/\/webhosting.de\/?p=21869"},"modified":"2026-10-30T12:49:29","modified_gmt":"2026-10-30T11:49:29","slug":"lets-encrypt-acme-zertifikate-automatisieren","status":"publish","type":"post","link":"https:\/\/webhosting.de\/es\/lets-encrypt-acme-zertifikate-automatisieren\/","title":{"rendered":"Let\u2019s Encrypt ACME: Zertifikate automatisieren und Erneuerungen sicher steuern"},"content":{"rendered":"<div class=\"wh-article\" data-wh-layout=\"2.1.2\" style=\"width:100%;max-width:820px;margin:0 auto;color:#263b4b;font-family:inherit;font-size:18px;line-height:1.8;text-align:start;overflow-wrap:break-word;box-sizing:border-box\"><p class=\"wh-lead\" style=\"font-size:20px;line-height:1.7;color:#233746;margin:0 0 1.1em\">Con <strong style=\"font-weight:700;color:inherit\">Let\u2019s Encrypt ACME<\/strong> lassen sich TLS-Zertifikate nicht nur beantragen, sondern als kontrollierte Lieferkette verwalten: von der Domainvalidierung \u00fcber die Erneuerung bis zur \u00fcberpr\u00fcften Auslieferung am TLS-Endpunkt. Entscheidend sind die passende Challenge, getrennte Schl\u00fcssel und minimale DNS-Rechte. ARI ersetzt starre Verl\u00e4ngerungstermine durch empfohlene Zeitfenster; kurzlebige Profile setzen dagegen eine l\u00fcckenlos \u00fcberwachte Automatisierung voraus.   <\/p>\n<nav class=\"wh-toc\" aria-label=\"Contenido de este art\u00edculo\" style=\"display:block;margin:28px 0 38px;padding:22px;border:1px solid #d9e4e8;border-radius:14px;background:#f4f8f8\"><p class=\"wh-toc-title\" style=\"font-size:13px;font-weight:700;letter-spacing:.08em;color:#49656b;margin:0 0 14px\">Ir directamente a la secci\u00f3n<\/p><div class=\"wh-toc-grid\" style=\"display:grid;grid-template-columns:repeat(auto-fit,minmax(min(100%,280px),1fr));gap:10px\"><div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#acme-ablauf-und-schluesselrollen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">ACME-Ablauf und getrennte Schl\u00fcsselrollen<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#challenges-nach-infrastruktur-auswaehlen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Die passende Challenge f\u00fcr die Infrastruktur<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#ari-profile-und-kurzlebige-zertifikate\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">ARI, Profile und k\u00fcrzere Laufzeiten<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#challenge-matrix-und-dns-delegation\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Challenge-Matrix und sichere DNS-Delegation<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#erneuerung-und-verteilung-automatisieren\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Erneuerung und Verteilung zuverl\u00e4ssig automatisieren<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#caa-profile-und-ip-zertifikate\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">CAA, Profile und Zertifikate f\u00fcr IP-Adressen<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#monitoring-und-fehlersuche-im-staging\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Monitoring und Fehlersuche zuerst im Staging<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#rate-limits-und-bestandsplanung\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Rate Limits und Erneuerungen im Bestand<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#betriebsmodell-nach-risiko-waehlen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Das passende Betriebsmodell nach Risiko w\u00e4hlen<\/a><\/div>\n<\/div><\/nav><section class=\"wh-section\" aria-labelledby=\"acme-ablauf-und-schluesselrollen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"acme-ablauf-und-schluesselrollen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">ACME-Ablauf und getrennte Schl\u00fcsselrollen<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">ACME standardisiert die Kommunikation zwischen einem Client und der Zertifizierungsstelle, nicht die gesamte Betriebsumgebung. Der Client verwendet zun\u00e4chst ein ACME-Konto und legt anschlie\u00dfend eine Order f\u00fcr einen oder mehrere Domainnamen an. F\u00fcr jeden Identifier verlangt der Server eine Autorisierung. Erst wenn diese erfolgreich ist, kann der Client die Order mit einer Certificate Signing Request, kurz CSR, finalisieren und das ausgestellte Zertifikat abrufen. <\/p>\n<ol class=\"wh-list\" role=\"list\"><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Kontoschl\u00fcssel erzeugen oder vorhandenes ACME-Konto verwenden und die Order anlegen.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">F\u00fcr jeden angeforderten Identifier die vorgegebene Challenge bereitstellen und die Autorisierung abwarten.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Ein separates Schl\u00fcsselpaar f\u00fcr das Zertifikat erzeugen, daraus die CSR bilden und die Order finalisieren. Der \u00f6ffentliche Schl\u00fcssel in der CSR darf nicht mit dem Kontoschl\u00fcssel \u00fcbereinstimmen, der den Finalisierungsauftrag authentisiert.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Zertifikat und Zertifikatskette abrufen, gesch\u00fctzt ablegen und an die vorgesehenen TLS-Endpunkte verteilen.<\/li><\/ol><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">El <strong style=\"font-weight:700;color:inherit\">ACME-Kontoschl\u00fcssel<\/strong> authentisiert den Client f\u00fcr das Konto gegen\u00fcber dem ACME-Server und signiert die Protokollnachrichten. Der in der CSR verwendete private Schl\u00fcssel geh\u00f6rt dagegen zur sp\u00e4teren TLS-Identit\u00e4t. RFC 8555 verlangt zwei unterschiedliche Schl\u00fcsselklassen: Der \u00f6ffentliche Schl\u00fcssel der CSR darf nicht einem bekannten Kontoschl\u00fcssel entsprechen und insbesondere nicht mit dem Kontoschl\u00fcssel identisch sein, der den Finalisierungsauftrag authentisiert. Client und Server m\u00fcssen diese Trennung pr\u00fcfen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Bei DNS-01 kommt eine dritte sensible Komponente hinzu: die Berechtigung f\u00fcr die DNS-API. Let\u2019s Encrypt weist darauf hin, dass vollst\u00e4ndige DNS-API-Zugangsdaten auf einem Webserver die Folgen eines Angriffs deutlich vergr\u00f6\u00dfern. Als betriebliche Sicherheitsma\u00dfnahme sollte das Token deshalb m\u00f6glichst nur die ben\u00f6tigten Challenge-Records \u00e4ndern d\u00fcrfen; alternativ kann die DNS-Validierung auf einem getrennten System erfolgen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Kontoschl\u00fcssel, Zertifikatsschl\u00fcssel und DNS-Zugang bilden unterschiedliche Vertrauensbereiche. F\u00fcr Konto und Zertifikat verschiedene Schl\u00fcsselpaare zu verwenden, ist eine Protokollanforderung; ihre getrennte Ablage, eng begrenzte Zugriffsrechte und unabh\u00e4ngige Rotationsprozesse sind dar\u00fcber hinaus wichtige betriebliche Ma\u00dfnahmen. So muss ein kompromittiertes DNS-Token weder Zugriff auf den privaten Zertifikatsschl\u00fcssel noch auf das ACME-Konto bedeuten.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Automatisierung beseitigt keine fehlerhaften Voraussetzungen. Ein nicht erreichbarer Port, falsches Routing, eine unpassende DNS-Delegation oder zu weit reichende Zugriffsrechte bleiben Betriebsprobleme, auch wenn die Order-Erstellung automatisiert ist. ACME beschleunigt den wiederholbaren Ablauf; ein Rechtekonzept, die vorgeschriebene Trennung von Konto- und Zertifikatsschl\u00fcssel, sichere Ablage sowie die Kontrolle der tats\u00e4chlich ausgelieferten Zertifikate m\u00fcssen Betreiber in ihrer Umgebung zuverl\u00e4ssig umsetzen. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"challenges-nach-infrastruktur-auswaehlen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"challenges-nach-infrastruktur-auswaehlen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Die passende Challenge f\u00fcr die Infrastruktur<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Die Challenge bestimmt, wie eine Zertifizierungsstelle die Kontrolle \u00fcber einen Identifier pr\u00fcft. Sie sollte daher aus Netzweg, DNS-Verwaltung und TLS-Terminierung abgeleitet werden, nicht aus einer pauschalen Pr\u00e4ferenz f\u00fcr ein Client-Werkzeug. HTTP-01, DNS-01 und TLS-ALPN-01 belegen unterschiedliche Arten der Kontrolle und stellen entsprechend andere Anforderungen an Infrastruktur und Berechtigungen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">F\u00fcr eine einzelne, \u00f6ffentlich erreichbare Website ist <strong style=\"font-weight:700;color:inherit\">HTTP-01<\/strong> meist der direkteste Weg. Der Client stellt eine Ressource unter <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">\/.well-known\/acme-challenge\/<\/code> bereit, die Let\u2019s Encrypt \u00fcber Port 80 abruft. Zeigt eine Domain auf mehrere A- oder AAAA-Ziele, muss diese Ressource auf allen Systemen erreichbar sein, die der Validierungsabruf treffen kann. Andernfalls entsteht ein nur gelegentlich auftretender Validierungsfehler. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Wildcard-Zertifikate f\u00fcr <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">*.example.org<\/code> erfordern dagegen zwingend <strong style=\"font-weight:700;color:inherit\">DNS-01<\/strong>. Der Client ver\u00f6ffentlicht daf\u00fcr einen TXT-Record unter <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">_acme-challenge.example.org<\/code>. Das passt zu vielen dynamischen Subdomains, verteilten Webservern oder einem Load Balancer, weil keine einzelne HTTP-Instanz die Validierungsdatei ausliefern muss. Voraussetzung ist jedoch eine verl\u00e4ssliche, automatisierbare DNS-\u00c4nderung. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Ein Reverse Proxy ohne nutzbaren Port 80 kann <strong style=\"font-weight:700;color:inherit\">TLS-ALPN-01<\/strong> einsetzen, sofern er die TLS-Terminierung auf Port 443 kontrolliert und der verwendete Client diese Challenge unterst\u00fctzt. Die Validierung erfolgt \u00fcber eine spezielle TLS-Verbindung, nicht \u00fcber eine normale Webdatei. Das Verfahren eignet sich damit besonders f\u00fcr spezialisierte Proxy- oder Hosting-Infrastruktur, aber nicht als allgemeiner Ersatz f\u00fcr HTTP-01. Wildcards werden auch hier nicht unterst\u00fctzt. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Keine Methode ist generell \u00fcberlegen: HTTP-01 reduziert bei einer einfachen Website den DNS-Zugriff, DNS-01 erm\u00f6glicht Wildcards und entkoppelt die Validierung vom Webpfad, TLS-ALPN-01 nutzt gezielt vorhandene TLS-Kontrolle. Entscheidend ist, dass die gew\u00e4hlte Challenge unter realen Failover-, IPv4- und IPv6-Pfaden funktioniert und ihre Berechtigungen zum jeweiligen Betriebsmodell passen. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"ari-profile-und-kurzlebige-zertifikate\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"ari-profile-und-kurzlebige-zertifikate\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">ARI, Profile und k\u00fcrzere Laufzeiten<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Con <strong style=\"font-weight:700;color:inherit\">ACME Renewal Information<\/strong> (ARI) verschiebt sich die Erneuerungslogik von einem lokal festgelegten Stichtag zu einem vom ACME-Server empfohlenen Zeitfenster. Der Client fragt diese Information f\u00fcr ein vorhandenes Zertifikat ab und w\u00e4hlt innerhalb des Fensters einen zuf\u00e4lligen Zeitpunkt. Dadurch k\u00f6nnen Erneuerungen zeitlich verteilt und bei besonderen Ereignissen gezielt vorgezogen werden. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">ARI ist eine standardisierte Erweiterung, aber keine automatische Eigenschaft jedes installierten Clients oder Hosting-Panels. Let\u2019s Encrypt kann neue r\u00fcckw\u00e4rtskompatible ACME-Funktionen am bestehenden Endpunkt anbieten; ob eine konkrete Installation sie nutzt, h\u00e4ngt von deren Version und Implementierung ab. F\u00fcr gr\u00f6\u00dfere Best\u00e4nde ist daher zu pr\u00fcfen, ob der Client ARI abfragt, das Zeitfenster respektiert und Erneuerungen nicht wieder synchronisiert. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Let\u2019s Encrypt ordnet Orders au\u00dferdem Zertifikatsprofilen zu. Ohne ausdr\u00fcckliche Profilwahl ist das klassische Profil der Standard und hat derzeit 90 Tage Laufzeit. Das Profil <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">tlsserver<\/code> hat 45 Tage Laufzeit, k\u00fcrzere Fristen f\u00fcr offene Autorisierungen und Orders sowie h\u00f6chstens 25 DNS-Namen. <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">shortlived<\/code> verwendet ebenfalls kurze Objektfristen, ist rund 160 Stunden g\u00fcltig und unterst\u00fctzt DNS- sowie IP-Identifier. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Die Profilauswahl setzt ebenfalls Client-Unterst\u00fctzung voraus; sie sollte nicht allein aus der Serverdokumentation abgeleitet werden. Profile unterscheiden sich neben Laufzeit und Identifiern auch in weiteren Eigenschaften. Anwendungen und Inventarisierungswerkzeuge d\u00fcrfen daher weder einen einheitlichen Ablauf noch das Vorhandensein eines Common Name in jedem Zertifikat stillschweigend voraussetzen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Rechnerisch liegen zwischen 90 Tagen und rund 160 Stunden etwa Faktor 13,5 in der Laufzeit. Daraus folgt keine gemessene Last, aber eine klare Planungsfolge: Jede St\u00f6rung bei Bestellung, Verteilung oder Reload wird bei <strong style=\"font-weight:700;color:inherit\">kurzlebigen Zertifikaten<\/strong> viel fr\u00fcher kritisch. Sie sind nur f\u00fcr Systeme sinnvoll, deren vollst\u00e4ndige Lieferkette \u00fcberwacht ist und deren Erneuerung nicht von manuellen Eingriffen abh\u00e4ngt. F\u00fcr ARI-koordinierte Erneuerungen gelten bei Let\u2019s Encrypt unter dokumentierten Voraussetzungen besondere Regeln zu Rate Limits. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"challenge-matrix-und-dns-delegation\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"challenge-matrix-und-dns-delegation\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Challenge-Matrix und sichere DNS-Delegation<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Die Wahl der Challenge folgt der erreichbaren Infrastruktur, nicht einer allgemeinen Rangfolge. HTTP-01 verlangt eine \u00f6ffentlich erreichbare Antwort \u00fcber Port 80, DNS-01 einen kontrollierbaren TXT-Eintrag und TLS-ALPN-01 die Kontrolle \u00fcber die TLS-Terminierung auf Port 443. Wildcard-Namen sind ausschlie\u00dflich mit DNS-01 validierbar.  <\/p>\n<div class=\"wh-table-scroll\" tabindex=\"0\" role=\"region\" aria-label=\"ACME-Challenges nach Infrastruktur und Betriebsrisiko\" style=\"width:100%;max-width:100%;overflow-x:auto;margin:28px 0;border:1px solid #dce5e9;border-radius:14px;background:#fff;box-shadow:0 10px 28px -16px rgba(24,47,60,.32);box-sizing:border-box\"><table style=\"width:100%;min-width:580px;border-collapse:separate;border-spacing:0;border:0;margin:0;font-size:15px;line-height:1.6;background:#fff\"><caption style=\"padding:20px;text-align:start;font-size:17px;line-height:1.5;font-weight:700;color:#173246;background:#fff\">ACME-Challenges nach Infrastruktur und Betriebsrisiko<\/caption><thead><tr><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Challenge<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Requisito previo<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Wildcard \/ IP<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Uso t\u00edpico<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Wesentliches Risiko<\/th><\/tr><\/thead><tbody><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">HTTP-01<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Port 80 und Bereitstellung der Challenge-Datei<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Wildcard: nein; IP: m\u00f6glich<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Einzelne \u00f6ffentlich erreichbare Website<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Bei mehreren A- oder AAAA-Zielen fehlt die Datei auf einem erreichten Ziel<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">DNS-01<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">\u00c4nderung des TXT-Records unter _acme-challenge<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Wildcard: ja; IP: nein<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Wildcards, viele Subdomains, verteilte TLS-Endpunkte<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">DNS-Zugang ist weiter berechtigt als n\u00f6tig oder der TXT-Record ist nicht \u00f6ffentlich sichtbar<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">TLS-ALPN-01<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Kontrolle \u00fcber TLS auf Port 443<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Wildcard: nein; IP: m\u00f6glich<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Reverse Proxy oder spezialisierte TLS-Infrastruktur<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Die TLS-Terminierung liefert das Challenge-Zertifikat nicht aus<\/td><\/tr><\/tbody><\/table><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Eine Website mit einem einzigen Webserver ist daher h\u00e4ufig mit HTTP-01 gut bedient. Zeigen DNS-A- oder AAAA-Records jedoch auf mehrere Systeme, muss jedes tats\u00e4chlich erreichte Ziel die erwartete Ressource ausliefern. Andernfalls h\u00e4ngt das Ergebnis davon ab, welchen Endpunkt die Validierung erreicht. Ein Load Balancer oder eine zentral synchronisierte Challenge-Ablage beseitigt dieses Problem nur, wenn sie alle Wege abdeckt. <\/p>\n<figure class=\"wp-block-image size-large wh-figure\" aria-describedby=\"wh-caption-detail1\" style=\"display:block;float:none;clear:both;width:100%;max-width:760px;margin:34px auto 40px;border:1px solid #dae5e9;border-radius:14px;overflow:hidden;background:#f5f8fa;box-shadow:0 10px 28px -17px rgba(24,47,60,.28);box-sizing:border-box\"><div class=\"wh-figure-media\" style=\"display:block;background:#eef3f5;line-height:0\"><img loading=\"lazy\" width=\"800\" height=\"534\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/dns-01-acme-challenge-automation-bacfe971-detail1-b1a4fea81e-1024x683.webp\" class=\"wp-image-21876\" alt=\"Person pr\u00fcft an einem Laptop die DNS-Automatisierung f\u00fcr eine ACME-Challenge\" decoding=\"async\" srcset=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/dns-01-acme-challenge-automation-bacfe971-detail1-b1a4fea81e-1024x683.webp 1024w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/dns-01-acme-challenge-automation-bacfe971-detail1-b1a4fea81e-300x200.webp 300w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/dns-01-acme-challenge-automation-bacfe971-detail1-b1a4fea81e-768x512.webp 768w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/dns-01-acme-challenge-automation-bacfe971-detail1-b1a4fea81e-18x12.webp 18w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/dns-01-acme-challenge-automation-bacfe971-detail1-b1a4fea81e.webp 1536w\" sizes=\"auto, (max-width: 800px) 100vw, 800px\" ><\/div><figcaption class=\"wh-caption\" id=\"wh-caption-detail1\" style=\"display:block;margin:0;padding:12px 18px 15px;border-top:1px solid #dce5e9;color:#506575;background:#f5f8fa;font-size:14px;line-height:1.55;text-align:start\">KI-generiertes Symbolbild zur kontrollierten DNS-01-Automatisierung mit begrenzten Zugriffsrechten.<\/figcaption><\/figure><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">F\u00fcr DNS-01 ist als <strong style=\"font-weight:700;color:inherit\">Minimalberechtigung<\/strong> anzustreben, dass der ACME-Client nur die ben\u00f6tigten Challenge-Eintr\u00e4ge ver\u00e4ndern kann. Welche Einschr\u00e4nkung tats\u00e4chlich m\u00f6glich ist, h\u00e4ngt von der API und dem Berechtigungsmodell des DNS-Anbieters ab; nicht jeder Dienst erlaubt Rechte f\u00fcr einen einzelnen TXT-Namen. Bleibt nur ein weitreichender Zugang, sollten die Validierung auf ein getrenntes System verlagert oder eine gesonderte Challenge-Zone delegiert werden. Zugangsdaten geh\u00f6ren getrennt von Zertifikats- und ACME-Kontoschl\u00fcsseln in eine gesch\u00fctzte Ablage. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Bei umfangreichen Zonen kann eine separate Challenge-Zone die Rechte weiter eingrenzen. Die Delegation von <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">_acme-challenge<\/code> per CNAME oder NS verlagert die Validierungsdaten in einen eigenen Verwaltungsbereich. Der Client erh\u00e4lt dann nur dort \u00c4nderungsrechte. Vor der Produktivnutzung m\u00fcssen TXT-Inhalt und DNS-Aufl\u00f6sung gepr\u00fcft werden: Eine korrekte API-Antwort gen\u00fcgt nicht, wenn Resolver die Delegation oder den Record noch nicht sehen. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"erneuerung-und-verteilung-automatisieren\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"erneuerung-und-verteilung-automatisieren\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Erneuerung und Verteilung zuverl\u00e4ssig automatisieren<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Belastbares <strong style=\"font-weight:700;color:inherit\">Certificate Management<\/strong> endet nicht mit dem Abruf eines Zertifikats. In einer verteilten Umgebung l\u00f6st ein zentraler ACME-Worker die Validierung aus und legt Zertifikat sowie privaten Schl\u00fcssel gesch\u00fctzt ab. Erst danach werden die Artefakte an die TLS-Endpunkte verteilt, dort gepr\u00fcft und kontrolliert aktiviert. Der in der CSR verwendete Zertifikatsschl\u00fcssel muss sich vom authentisierenden ACME-Kontoschl\u00fcssel unterscheiden; wie beide Schl\u00fcssel anschlie\u00dfend getrennt gespeichert, berechtigt und rotiert werden, ist im Betriebskonzept festzulegen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Die folgende Tabelle beschreibt ein empfohlenes Betriebskonzept f\u00fcr die Lieferkette. RFC 8555 verlangt, dass der \u00f6ffentliche Schl\u00fcssel der CSR keinem bekannten Kontoschl\u00fcssel entspricht und insbesondere nicht mit dem zur Authentisierung des Finalisierungsauftrags verwendeten Kontoschl\u00fcssel \u00fcbereinstimmt. Die konkrete organisatorische Trennung von Ablage, Zugriffsrechten und Rotation baut auf dieser Protokollanforderung auf. Der Deploy Hook von Certbot ist f\u00fcr Aktionen nach erfolgreicher Ausstellung vorgesehen. \u00dcbertragungsabsicherung, Zielpr\u00fcfung und externe TLS-Pr\u00fcfung m\u00fcssen zur jeweiligen Infrastruktur passen.  <\/p>\n<div class=\"wh-table-scroll\" tabindex=\"0\" role=\"region\" aria-label=\"Empfohlenes Betriebskonzept f\u00fcr die automatisierte Zertifikatslieferkette\" style=\"width:100%;max-width:100%;overflow-x:auto;margin:28px 0;border:1px solid #dce5e9;border-radius:14px;background:#fff;box-shadow:0 10px 28px -16px rgba(24,47,60,.32);box-sizing:border-box\"><table style=\"width:100%;min-width:580px;border-collapse:separate;border-spacing:0;border:0;margin:0;font-size:15px;line-height:1.6;background:#fff\"><caption style=\"padding:20px;text-align:start;font-size:17px;line-height:1.5;font-weight:700;color:#173246;background:#fff\">Empfohlenes Betriebskonzept f\u00fcr die automatisierte Zertifikatslieferkette<\/caption><thead><tr><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Paso<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Verantwortlichkeit<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Empfohlene Kontrolle<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Observaci\u00f3n<\/th><\/tr><\/thead><tbody><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Order und Challenge<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">ACME-Worker<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Protokollgem\u00e4\u00df unterschiedliche Konto- und Zertifikatsschl\u00fcssel verwenden; Challenge-Rechte auf das erforderliche Ma\u00df begrenzen<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Autorisierungsfehler erfassen<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Zertifikat abrufen und ablegen<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">ACME-Worker<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Privaten Schl\u00fcssel nur berechtigten Prozessen zug\u00e4nglich machen<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Ablaufdatum und Abruffehler erfassen<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">An Endpunkte verteilen<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Deployment-Prozess<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">\u00dcbertragungsweg und Zielbestand f\u00fcr die eigene Infrastruktur pr\u00fcfen<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Abweichungen zwischen bereitgestelltem und erwartetem Zertifikat melden<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Dienst aktualisieren<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Lokaler Dienst oder Orchestrierung<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Reload erst nach erfolgreicher Aktualisierung der verwendeten Dateien ausl\u00f6sen<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Reload-Fehler und Prozessstatus erfassen<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Extern ausliefern<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Unabh\u00e4ngige TLS-Pr\u00fcfung<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Den tats\u00e4chlich erreichbaren Endpunkt gegen Hostname und Ablaufdatum pr\u00fcfen<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Altes oder unerwartetes Zertifikat alarmieren<\/td><\/tr><\/tbody><\/table><\/div><figure class=\"wp-block-image size-large wh-figure\" aria-describedby=\"wh-caption-detail2\" style=\"display:block;float:none;clear:both;width:100%;max-width:760px;margin:34px auto 40px;border:1px solid #dae5e9;border-radius:14px;overflow:hidden;background:#f5f8fa;box-shadow:0 10px 28px -17px rgba(24,47,60,.28);box-sizing:border-box\"><div class=\"wh-figure-media\" style=\"display:block;background:#eef3f5;line-height:0\"><img loading=\"lazy\" width=\"800\" height=\"534\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/tls-zertifikat-verteilung-reverse-proxy-bacfe971-detail2-5a091b6c48-1024x683.webp\" class=\"wp-image-21877\" alt=\"Reverse-Proxy-Hardware im Rack als Ziel einer automatisierten Zertifikatsverteilung\" decoding=\"async\" srcset=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/tls-zertifikat-verteilung-reverse-proxy-bacfe971-detail2-5a091b6c48-1024x683.webp 1024w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/tls-zertifikat-verteilung-reverse-proxy-bacfe971-detail2-5a091b6c48-300x200.webp 300w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/tls-zertifikat-verteilung-reverse-proxy-bacfe971-detail2-5a091b6c48-768x512.webp 768w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/tls-zertifikat-verteilung-reverse-proxy-bacfe971-detail2-5a091b6c48-18x12.webp 18w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/tls-zertifikat-verteilung-reverse-proxy-bacfe971-detail2-5a091b6c48.webp 1536w\" sizes=\"auto, (max-width: 800px) 100vw, 800px\" ><\/div><figcaption class=\"wh-caption\" id=\"wh-caption-detail2\" style=\"display:block;margin:0;padding:12px 18px 15px;border-top:1px solid #dce5e9;color:#506575;background:#f5f8fa;font-size:14px;line-height:1.55;text-align:start\">KI-generiertes Symbolbild f\u00fcr Verteilung, Reload und externe Pr\u00fcfung erneuerter TLS-Zertifikate.<\/figcaption><\/figure><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">F\u00fcr \u00c4nderungen an Panel- oder DNS-Integrationen sollte die produktive Kette nicht als Einzelsystem betrachtet werden. Insbesondere bei einer Verwaltung \u00fcber <a href=\"https:\/\/webhosting.de\/es\/actualizacion-de-plesk-obsidian-nuevas-funciones-para-proveedores-de-alojamiento-web\/\">Plesk-Updates f\u00fcr Hosting-Anbieter<\/a> h\u00e4ngen verf\u00fcgbare Funktionen von Panelstand, Erweiterung und angebundenen Diensten ab. Die konkrete ACME-Client-F\u00e4higkeit, etwa f\u00fcr zus\u00e4tzliche Protokollerweiterungen, ist ebenfalls versionsabh\u00e4ngig und muss in der eingesetzten Kombination gepr\u00fcft werden.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Bei Certbot kann ein Deploy Hook den letzten Schritt ausl\u00f6sen, weil er nur nach einer erfolgreichen Erneuerung l\u00e4uft. Das folgende Muster setzt voraus, dass der lokale Pfad ein gepr\u00fcftes, ausf\u00fchrbares Skript ohne Zugangsdaten ist. Das Skript sollte <strong style=\"font-weight:700;color:inherit\">idempotente<\/strong> arbeiten, Fehler protokollieren und ausschlie\u00dflich Dienste neu laden, die das erneuerte Zertifikat verwenden. <\/p>\n<div class=\"wh-code-window\" data-wh-code style=\"margin:28px 0 34px;border:1px solid #2c4656;border-radius:12px;overflow:hidden;background:#132a3b;box-shadow:0 9px 25px -13px rgba(15,35,55,.2)\"><div class=\"wh-code-toolbar\" style=\"display:flex;flex-wrap:wrap;align-items:center;justify-content:space-between;gap:10px;padding:11px 16px;background:#223e50;color:#edf5fa;font-size:13px;line-height:1.5;font-weight:600\"><span>Terminal<\/span><button type=\"button\" class=\"wh-code-copy\" data-wh-copy hidden style=\"padding:6px 11px;border:1px solid #7893a1;border-radius:6px;background:transparent;color:#fff;font-size:12px;line-height:1.5;font-weight:600;cursor:pointer\">Copiar c\u00f3digo<\/button><span class=\"wh-copy-status\" aria-live=\"polite\"><\/span><span data-wh-copy-success hidden>Copiado<\/span><span data-wh-copy-fallback hidden>C\u00f3digo resaltado: por favor, c\u00f3pialo<\/span><\/div><pre class=\"wh-code\" data-no-translation translate=\"no\" style=\"display:block;margin:0;padding:20px;max-width:100%;overflow-x:auto;color:#edf5fa;background:#132a3b;font:14px\/1.75 ui-monospace,SFMono-Regular,Menlo,Consolas,monospace;white-space:pre;direction:ltr;text-align:left\"><code class=\"language-bash\" style=\"font:inherit;color:inherit;background:transparent;padding:0;border:0;white-space:inherit\">certbot renew --deploy-hook \/usr\/local\/sbin\/reload-tls-services<\/code><\/pre><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Der Exit-Status von <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">certbot renew<\/code> ist kein Nachweis f\u00fcr ein neues Zertifikat: Auch wenn nichts zu erneuern war, kann der Befehl mit Status 0 enden. Die \u00dcberwachung muss daher unabh\u00e4ngig feststellen, welches Zertifikat der \u00f6ffentliche Endpunkt tats\u00e4chlich ausliefert, wann es abl\u00e4uft und ob der Reload erfolgreich war. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"caa-profile-und-ip-zertifikate\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"caa-profile-und-ip-zertifikate\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">CAA, Profile und Zertifikate f\u00fcr IP-Adressen<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Ein CAA-Record ist ein <strong style=\"font-weight:700;color:inherit\">Ausstellungs-Gel\u00e4nder<\/strong>: Er legt fest, welche Zertifizierungsstellen Zertifikate f\u00fcr eine Domain ausstellen d\u00fcrfen. Zus\u00e4tzlich kann die Richtlinie die erlaubte Validierungsmethode und \u00fcber den Parameter <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">accounturi<\/code> das vorgesehene ACME-Konto festlegen. Der aktuelle Kontoschl\u00fcssel authentisiert den Zugriff auf dieses Konto, kann jedoch \u00fcber den ACME-Key-Change-Prozess gewechselt werden. Die Kontobindung ersetzt daher weder den Schutz des aktuellen Kontoschl\u00fcssels noch ein umfassendes Berechtigungskonzept.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Die folgende Record-Zeile erlaubt Let\u2019s Encrypt f\u00fcr die Domain nur bei DNS-01-Validierung. Sie passt nur, wenn DNS-01 automatisiert eingerichtet ist und die Challenge-Zone zuverl\u00e4ssig verwaltet wird. Wer sp\u00e4ter HTTP-01 f\u00fcr eine einzelne Website oder TLS-ALPN-01 f\u00fcr einen Reverse Proxy nutzen will, blockiert diese Ausstellung mit der gezeigten Einschr\u00e4nkung bewusst. <\/p>\n<div class=\"wh-code-window\" data-wh-code style=\"margin:28px 0 34px;border:1px solid #2c4656;border-radius:12px;overflow:hidden;background:#132a3b;box-shadow:0 9px 25px -13px rgba(15,35,55,.2)\"><div class=\"wh-code-toolbar\" style=\"display:flex;flex-wrap:wrap;align-items:center;justify-content:space-between;gap:10px;padding:11px 16px;background:#223e50;color:#edf5fa;font-size:13px;line-height:1.5;font-weight:600\"><span>C\u00f3digo<\/span><button type=\"button\" class=\"wh-code-copy\" data-wh-copy hidden style=\"padding:6px 11px;border:1px solid #7893a1;border-radius:6px;background:transparent;color:#fff;font-size:12px;line-height:1.5;font-weight:600;cursor:pointer\">Copiar c\u00f3digo<\/button><span class=\"wh-copy-status\" aria-live=\"polite\"><\/span><span data-wh-copy-success hidden>Copiado<\/span><span data-wh-copy-fallback hidden>C\u00f3digo resaltado: por favor, c\u00f3pialo<\/span><\/div><pre class=\"wh-code\" data-no-translation translate=\"no\" style=\"display:block;margin:0;padding:20px;max-width:100%;overflow-x:auto;color:#edf5fa;background:#132a3b;font:14px\/1.75 ui-monospace,SFMono-Regular,Menlo,Consolas,monospace;white-space:pre;direction:ltr;text-align:left\"><code class=\"language-dns\" style=\"font:inherit;color:inherit;background:transparent;padding:0;border:0;white-space:inherit\">example.org. CAA 0 issue &quot;letsencrypt.org;validationmethods=dns-01&quot;<\/code><\/pre><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Die einzelne Zeile beschreibt nicht zwangsl\u00e4ufig die vollst\u00e4ndige <strong style=\"font-weight:700;color:inherit\">CAA-Policy<\/strong> der Zone. Mehrere Records desselben Typs wirken additiv: Erlaubt einer davon die Ausstellung, kann diese Erlaubnis trotz engerer weiterer Records bestehen. F\u00fcr Wildcard-Zertifikate ist au\u00dferdem zu pr\u00fcfen, ob <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">issuewild<\/code>-Records vorhanden sind. Ohne solche Records gilt <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">issue<\/code> auch f\u00fcr Wildcards; vorhandene <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">issuewild<\/code>-Eintr\u00e4ge steuern die Wildcard-Ausstellung dagegen gesondert. Ma\u00dfgeblich ist deshalb immer der vollst\u00e4ndige wirksame Record-Satz am gepr\u00fcften Namen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Zertifikate f\u00fcr \u00f6ffentliche IP-Adressen sind ein anderer Fall als Domain-Zertifikate. Let\u2019s Encrypt unterst\u00fctzt IP-Identifier im Profil <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">shortlived<\/code>; als Validierung kommen HTTP-01 und TLS-ALPN-01 infrage. DNS-01 kann keine IP-Adresse validieren. Die kurze G\u00fcltigkeit von ungef\u00e4hr 160 Stunden setzt deshalb eine durchg\u00e4ngige automatisierte Erneuerung, Verteilung und Auslieferungskontrolle voraus.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Das shortlived-Profil eignet sich damit etwa f\u00fcr direkt per IP erreichbare Schnittstellen nur dann, wenn jeder Schritt ohne manuelle Eingriffe funktioniert. Es ist keine verk\u00fcrzte Variante f\u00fcr gelegentlich gepflegte Systeme. Au\u00dferdem m\u00fcssen eingesetzter ACME-Client und Zielumgebung die Profilwahl sowie die gew\u00e4hlte Challenge unterst\u00fctzen; die Verf\u00fcgbarkeit am ACME-Dienst belegt keine Unterst\u00fctzung durch jede Client-Version.  <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"monitoring-und-fehlersuche-im-staging\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"monitoring-und-fehlersuche-im-staging\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Monitoring und Fehlersuche zuerst im Staging<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Fehlersuche bei ACME beginnt mit dem tats\u00e4chlich verwendeten Validierungsverfahren, nicht mit einem erneuten Zertifikatsauftrag. F\u00fcr \u00c4nderungen an Client, Routing, Firewall oder DNS eignet sich der getrennte Staging-Endpunkt von Let\u2019s Encrypt. Die Staging-Umgebung hat eigene, deutlich h\u00f6here Limits, ist aber nicht unbegrenzt; die dort ausgestellten Testzertifikate sind nicht \u00f6ffentlich vertrauensw\u00fcrdig. Neue Protokollfunktionen k\u00f6nnen zwar am ACME-Endpunkt verf\u00fcgbar sein, die Unterst\u00fctzung des installierten Clients muss dennoch gesondert gepr\u00fcft werden.   <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Bei HTTP-01 ist zuerst zu pr\u00fcfen, ob die betroffene Domain \u00f6ffentlich \u00fcber Port 80 erreichbar ist und die angeforderte Datei unter <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">\/.well-known\/acme-challenge\/<\/code> am Zielsystem ausliefert. Mehrere A- oder AAAA-Records machen den Test anspruchsvoller: Jeder tats\u00e4chlich erreichbare Endpunkt muss die passende Challenge-Datei bereitstellen. Typische Ursachen sind ein abweichendes Virtual-Host-Routing, ein vorgeschalteter Proxy, eine Firewall-Regel oder nicht synchronisierte Container. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">TLS-ALPN-01 verlangt dagegen Kontrolle \u00fcber die TLS-Terminierung auf Port 443. Bei einem Fehler sollte gepr\u00fcft werden, welcher Load Balancer oder Proxy die Verbindung annimmt, ob er das f\u00fcr die Challenge ben\u00f6tigte Zertifikat ausliefert und ob ein regul\u00e4rer TLS-Dienst den Vorgang \u00fcberschreibt. Eine erfolgreich erzeugte lokale Zertifikatsdatei belegt nicht, dass der \u00f6ffentlich angesprochene Endpunkt sie verwendet. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Bei DNS-01 sind Name und Inhalt des TXT-Records unter <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">_acme-challenge<\/code> getrennt zu kontrollieren. Der Record muss in der delegierten oder ma\u00dfgeblichen Zone publiziert sein; au\u00dferdem muss die Delegationskette stimmen, wenn eine separate Challenge-Zone verwendet wird. Wiederholte Fehlversuche wegen Tippfehlern, noch nicht sichtbarer \u00c4nderungen oder fehlerhafter Delegation sollten zun\u00e4chst im Staging analysiert werden.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Wirksames <strong style=\"font-weight:700;color:inherit\">Monitoreo<\/strong> beobachtet nicht nur das Ablaufdatum in der Ablage des ACME-Workers. Es pr\u00fcft unabh\u00e4ngig den ausgelieferten Hostnamen, die Restlaufzeit des dort pr\u00e4sentierten Zertifikats und den Erfolg des Reloads nach einer Aktualisierung. Alarmiert werden sollte auch, wenn eine Erneuerung fehlschl\u00e4gt oder ein Endpunkt trotz erfolgreicher Ausstellung noch das alte Zertifikat ausliefert. F\u00fcr geplante \u00c4nderungen an Hosting-Servern erg\u00e4nzt der Beitrag <a href=\"https:\/\/webhosting.de\/es\/cpanel-whm-lanzamiento-nuevas-funciones-estrategia-de-actualizaciones\/\">cPanel- und WHM-Updates sicher planen<\/a> die notwendige Betriebsplanung.<\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"rate-limits-und-bestandsplanung\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"rate-limits-und-bestandsplanung\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Rate Limits und Erneuerungen im Bestand<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">In einem Zertifikatsbestand sind Rate Limits eine Entwurfsbedingung der <strong style=\"font-weight:700;color:inherit\">SSL-Automatisierung<\/strong>. T\u00e4glich erzwungene Erneuerungen oder zeitgleich gestartete Jobs erzeugen unn\u00f6tige Orders und k\u00f6nnen Begrenzungen ausl\u00f6sen. Das gilt besonders, wenn ein Infrastrukturfehler viele Domains zugleich betrifft: Wiederholungen beheben weder fehlende Challenge-Dateien noch falsches DNS, erh\u00f6hen aber die Zahl fehlgeschlagener Validierungen. Fehler m\u00fcssen daher vor dem n\u00e4chsten produktiven Lauf eingegrenzt werden. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">ACME Renewal Information, kurz <strong style=\"font-weight:700;color:inherit\">ARI<\/strong>, ersetzt starre lokale Schwellenwerte durch ein vom ACME-Server empfohlenes Erneuerungsfenster f\u00fcr ein vorhandenes Zertifikat. Der ARI-f\u00e4hige Client fragt die Renewal Information ab und w\u00e4hlt einen zuf\u00e4lligen Zeitpunkt innerhalb dieses Fensters. Ein Scheduler kann den Client regelm\u00e4\u00dfig starten, wertet ARI aber nicht selbst aus. Der Client muss das empfohlene Fenster und <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">Retry-After<\/code> ber\u00fccksichtigen sowie bei Fehlern geeignete Backoff- und Wiederholungsintervalle einhalten. H\u00e4ufigere Scheduler-L\u00e4ufe d\u00fcrfen deshalb nicht zu ungebremsten Wiederholungen fehlgeschlagener Auftr\u00e4ge f\u00fchren. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">F\u00fcr Let\u2019s Encrypt k\u00f6nnen ARI-koordinierte Erneuerungen unter den dokumentierten Voraussetzungen von Rate Limits ausgenommen sein. Der neue Auftrag muss unter anderem mindestens einen Identifier des zu ersetzenden Zertifikats enthalten, und dieses darf nicht bereits \u00fcber ARI ersetzt worden sein. Das ist keine allgemeine Freigabe f\u00fcr beliebige Neuauftr\u00e4ge: \u00c4nderungen am Zertifikatsumfang sind fachlich und operativ getrennt zu behandeln. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Insbesondere eine verk\u00fcrzte oder ver\u00e4nderte SAN-Liste ist nicht automatisch eine Erneuerung des bisherigen Zertifikats. Ein Auftrag mit nur einem Teil der bisherigen Namen kann ein separates Zertifikat erzeugen, w\u00e4hrend das alte weiterhin g\u00fcltig bleibt. Das Inventar sollte deshalb Zertifikatskennung, vollst\u00e4ndige Identifier-Liste, zugeordnete Endpunkte und Erneuerungsweg erfassen. Vor einer geplanten SAN-\u00c4nderung ist zu entscheiden, welche Dienste umgestellt und wann nicht mehr ben\u00f6tigte Zertifikate entfernt werden. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Bei mehreren Workern verhindert eine eindeutige Zust\u00e4ndigkeit doppelte Orders f\u00fcr denselben Bestand. Sinnvoll sind ein zentraler Scheduler oder eine koordinierte Sperre, nachvollziehbare Protokolle und gestaffelte Wiederholungen nach einem Fehler. Die Zufallsauswahl innerhalb eines ARI-Fensters ist kein Ersatz f\u00fcr diese Steuerung, sondern reduziert vor allem die Gleichzeitigkeit regul\u00e4rer Erneuerungen. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"betriebsmodell-nach-risiko-waehlen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"betriebsmodell-nach-risiko-waehlen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Das passende Betriebsmodell nach Risiko w\u00e4hlen<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">F\u00fcr eine einzelne, \u00f6ffentlich erreichbare Website ist HTTP-01 meist das einfachste Betriebsmodell. Der Webserver muss Port 80 zuverl\u00e4ssig bedienen und die Challenge-Datei am erwarteten Pfad ausliefern. Dieses Modell passt nicht zu Wildcards und wird fragil, wenn mehrere unabh\u00e4ngige Ziele dieselbe Domain beantworten. Es ist deshalb vor allem dann sinnvoll, wenn Webrouting, Zertifikatsablage und TLS-Auslieferung an einer klar kontrollierten Stelle zusammenlaufen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">DNS-01 ist das passende Modell f\u00fcr Wildcards, dynamische Subdomains und verteilte TLS-Endpunkte. Die Voraussetzung ist keine blo\u00dfe DNS-Zugriffsm\u00f6glichkeit, sondern eine sicher automatisierbare \u00c4nderung des ben\u00f6tigten TXT-Records. Ein m\u00f6glichst eng begrenztes Token oder eine delegierte Challenge-Zone reduziert die Folgen eines kompromittierten Systems. Welche Granularit\u00e4t erreichbar ist, h\u00e4ngt von der DNS-API ab. Delegationen m\u00fcssen als produktive Abh\u00e4ngigkeit dokumentiert, \u00fcberwacht und mit einem Wiederherstellungsweg versehen werden. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">TLS-ALPN-01 eignet sich f\u00fcr Betreiber, die die TLS-Terminierung auf Port 443 gezielt steuern, etwa an einem Reverse Proxy oder Load Balancer. Die Methode ist weder ein pauschaler Ersatz f\u00fcr HTTP-01 noch wildcard-f\u00e4hig. Ihre praktische Verwendbarkeit h\u00e4ngt zus\u00e4tzlich von der jeweiligen Client- und Proxy-Implementierung ab. Vor dem Einsatz muss daher gepr\u00fcft werden, ob die Software die Challenge erzeugen, ausliefern und nach Abschluss wieder sauber entfernen kann. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">El <strong style=\"font-weight:700;color:inherit\">shortlived-Profil<\/strong> ist nur f\u00fcr Systeme mit l\u00fcckenloser End-to-End-Automatisierung geeignet. Let\u2019s Encrypt beschreibt daf\u00fcr eine Laufzeit von rund 160 Stunden sowie DNS- und IP-Identifier; gegen\u00fcber dem Standardprofil mit 90 Tagen erh\u00f6ht dies die notwendige Erneuerungsfrequenz rechnerisch deutlich. Jeder Ablauf von Bestellung bis Verteilung, Reload und Au\u00dfenpr\u00fcfung muss daher belastbar funktionieren. Die Wahl eines Profils setzt zudem voraus, dass der eingesetzte ACME-Client die Profilauswahl tats\u00e4chlich unterst\u00fctzt. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Unabh\u00e4ngig vom Modell braucht professionelles <strong style=\"font-weight:700;color:inherit\">Certificate Management<\/strong> ein vollst\u00e4ndiges Inventar, sicher verwaltete Schl\u00fcssel und minimal berechtigte DNS-Zug\u00e4nge. Der Kontoschl\u00fcssel authentisiert den Client f\u00fcr das ACME-Konto; der in der CSR verwendete private Schl\u00fcssel geh\u00f6rt zur TLS-Identit\u00e4t. RFC 8555 verbietet, den \u00f6ffentlichen Kontoschl\u00fcssel in einem Zertifikat zu verwenden: Der Schl\u00fcssel in der CSR darf insbesondere nicht mit dem Kontoschl\u00fcssel \u00fcbereinstimmen, der den Finalisierungsauftrag authentisiert. Die getrennte Ablage, Berechtigungsvergabe und Rotation dieser Schl\u00fcsselklassen sowie widerrufbare Zug\u00e4nge und ein getesteter R\u00fcckweg auf das vorherige Zertifikat geh\u00f6ren zum Rechte- und Notfallkonzept. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Ein erfolgreicher ACME-Lauf darf nicht das einzige Erfolgskriterium sein. Die Auslieferungskontrolle muss au\u00dferhalb des Workers feststellen, welches Zertifikat ein echter TLS-Endpunkt pr\u00e4sentiert. F\u00fcr Verteilungs- und Reload-Schritte eignen sich Aktionen, die nur nach einer erfolgreichen Erneuerung ausgel\u00f6st werden; bei Certbot ist daf\u00fcr ein Deploy Hook vorgesehen. Sein Skript sollte idempotent sein, Fehler protokollieren und nur Dienste neu laden, die das erneuerte Material tats\u00e4chlich nutzen. <\/p>\n<\/section><section class=\"wh-sources\" style=\"margin:40px 0 0;padding:24px 0 0;border-top:1px solid #dce5e9;color:#596b7b;font-size:14px;line-height:1.65\"><h2 style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Fuentes y estado actual de los conocimientos<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Estado de la investigaci\u00f3n: <time datetime=\"2026-10-19\">2026-10-19<\/time><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Recherche- und Dokumentationsstand: 19. Oktober 2026. Angaben zu ACME-Erweiterungen, Let\u2019s-Encrypt-Profilen und Client-Unterst\u00fctzung k\u00f6nnen sich \u00e4ndern; insbesondere die F\u00e4higkeit eines konkreten Clients oder Hosting-Panels ist getrennt von der Serververf\u00fcgbarkeit zu pr\u00fcfen.<\/p><div class=\"wh-source-urls\"><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/datatracker.ietf.org\/doc\/html\/rfc8555\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/datatracker.ietf.org\/doc\/html\/rfc9773<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/letsencrypt.org\/docs\/profiles\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/letsencrypt.org\/de\/docs\/challenge-types\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/letsencrypt.org\/docs\/acme-protocol-updates\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/letsencrypt.org\/docs\/rate-limits\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/eff-certbot.readthedocs.io\/en\/stable\/using.html?highlight=cron<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/letsencrypt.org\/docs\/caa\/<\/span><\/p><\/div><\/section><\/div>","protected":false},"excerpt":{"rendered":"<p>ACME automatisiert Ausstellung und Erneuerung von TLS-Zertifikaten, ersetzt aber kein belastbares Betriebsmodell. Dieser Beitrag zeigt, wie Challenges, ARI, Zertifikatsprofile, Rechte, Verteilung und Monitoring f\u00fcr zuverl\u00e4ssiges Certificate Management zusammenspielen.<\/p>","protected":false},"author":1,"featured_media":21875,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[674],"tags":[],"class_list":["post-21869","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-web_hosting"],"acf":[],"_wp_attached_file":null,"_wp_attachment_metadata":null,"surfer_file_name":null,"surfer_file_original_url":null,"_wp_attachment_image_alt":null,"litespeed-optimize-set":null,"litespeed-optimize-size":null,"_oembed_b5e1eb923ad3b086e579b1befcd4075c":null,"_elementor_source_image_hash":null,"stockpack_author_name":null,"stockpack_author_url":null,"stockpack_provider":null,"stockpack_image_url":null,"stockpack_license":null,"stockpack_license_url":null,"stockpack_modification":null,"color":null,"original_id":null,"original_url":null,"original_link":null,"unsplash_location":null,"unsplash_sponsor":null,"unsplash_exif":null,"unsplash_attachment_metadata":null,"_elementor_is_screenshot":null,"_source_url":null,"_elementor_migrations_state_8b2d":null,"envato_tk_source_kit":null,"envato_tk_source_index":null,"envato_tk_manifest":null,"envato_tk_folder_name":null,"envato_tk_builder":null,"envato_elements_download_event":null,"_menu_item_type":null,"_menu_item_menu_item_parent":null,"_menu_item_object_id":null,"_menu_item_object":null,"_menu_item_target":null,"_menu_item_classes":null,"_menu_item_xfn":null,"_menu_item_url":null,"_trp_menu_languages":null,"rank_math_primary_category":null,"_wh_make_key":"wh_bacfe9713e816dc41acfa5f059f621f5","rank_math_internal_links_processed":"1","_wh_make_topic":"Let's Encrypt ACME-Protokoll \u2013 Neue Funktionen und Automatisierungsm\u00f6glichkeiten","_wh_make_input_keywords":["lets encrypt acme","ssl automation","certificate management"],"_wh_make_config":{"research_model":"gpt-5.6-terra","writer_model":"gpt-5.6-terra","review_model":"gpt-5.6-sol","image_model":"gpt-image-2.5-flare","image_quality":"high","image_format":"webp","final_status":"draft","charts_enabled":true},"_wh_make_links":{"I1":{"id":"I1","post_id":21820,"url":"https:\/\/webhosting.de\/cpanel-whm-release-neue-funktionen-update-strategie\/","title":"Lanzamiento de cPanel y WHM: nuevas funciones y estrategias de actualizaci\u00f3n seguras","excerpt":"F\u00fcr produktive Hosting-Server ist ein cPanel-&amp;-WHM-Update ein geplanter Betriebswechsel, nicht nur eine neue Oberfl\u00e4che. Entscheidend sind das passende Release Tier, ein Abgleich von Betriebssystem, Plugins und API-Integrationen sowie ein getesteter Wiederherstellungsweg. LTS priorisiert einen planbaren Funktionsstand, w\u00e4hrend RELEASE f\u00fcr neue Installationen vorgesehen ist; EDGE bleibt Testumgebungen vorbehalten. Weil Downgrades auf fr\u00fchere Hauptversionen oder Tiers nicht unterst\u00fctzt werden, sollten Meridian, Berechtigungen und Kundenabl\u00e4ufe zuerst im Staging gepr\u00fcft werden. Direkt zum AbschnittcPanel und WHM klar voneinander abgrenzen Versionsstand, Builds und Release Tiers unterscheiden Warum ein cPanel Update Planung verlangt Release Tiers nach Betriebsziel ausw\u00e4hlen Neue Funktionen in Version 138 pr\u00fcfen Updates mit Inventur und Pilotierung vorbereiten Meridian und CSF kontrolliert betreiben Fehler nach dem Update systematisch eingrenzen Die passende Update-Strategie verbindlich festlegen cPanel und WHM klar voneinander abgrenzencPanel und WHM geh\u00f6ren zwar zum selben Produkt, bedienen aber unterschiedliche Ebenen eines Hosting-Servers. cPanel ist die Oberfl\u00e4che f\u00fcr ein einzelnes Hosting-Konto: Kundinnen und Kunden verwalten dort etwa Domains, E-Mail-Postf\u00e4cher, Dateien, Datenbanken und die f\u00fcr ihr Konto freigegebenen Sicherheitsfunktionen. Welche Bereiche sichtbar und nutzbar sind, bestimmen vor allem Feature Lists, Pakete, Theme, Kontorechte und die Konfiguration des Hosting-Anbieters. WHM ist dagegen die administrative Ebene des Hosting Panels. Serveradministratoren richten darin Konten, Pakete, Feature Lists und serverweite Dienste ein, w\u00e4hrend Managed-Hosting-Anbieter zus\u00e4tzlich Standards f\u00fcr Provisionierung, Updates und Support festlegen. Reseller arbeiten abh\u00e4ngig von den delegierten Rechten mit einem begrenzten WHM-Bereich; daraus folgt nicht automatisch ein Zugriff auf das Betriebssystem, globale Dienste oder s\u00e4mtliche Serverrichtlinien. Ein cPanel Update betrifft deshalb nicht nur eine neue Ansicht im Kundenkonto. \u00c4nderungen k\u00f6nnen die Zuordnung von Themes, verf\u00fcgbare Funktionen in Paketvorlagen und automatisierte Abl\u00e4ufe ver\u00e4ndern. Auf Systemebe"},"I2":{"id":"I2","post_id":21794,"url":"https:\/\/webhosting.de\/plesk-obsidian-update-neue-funktionen-hosting-anbieter\/","title":"Actualizaci\u00f3n de Plesk Obsidian: nuevas funciones para proveedores de alojamiento web","excerpt":"Para los proveedores de alojamiento, la \u00faltima versi\u00f3n principal documentada de Plesk Obsidian es la 18.0.81, Actualizaci\u00f3n 2, del 29 de septiembre de 2026. Las nuevas funciones de diagn\u00f3stico de DNS, validaci\u00f3n de DNS y alojamiento de aplicaciones proceden de Plesk Obsidian 18.0.81 o de extensiones con versiones independientes; la Actualizaci\u00f3n 1 y la Actualizaci\u00f3n 2 incluyen correcciones documentadas de errores y de seguridad. Por lo tanto, lo decisivo no es la afirmaci\u00f3n general de que est\u00e1 \u201eactualizado\u201c, sino la combinaci\u00f3n concreta de panel, extensi\u00f3n, sistema operativo y pila del cliente. Las nuevas funciones deben incorporarse a producci\u00f3n de forma escalonada, tras realizar un inventario y una fase piloto. Ir directamente a la secci\u00f3n \u201eSeparar claramente la versi\u00f3n y los componentes\u201c \u00abC\u00f3mo afectan las actualizaciones de Plesk a los proveedores\u00bb \u00abNuevas funciones seg\u00fan el escenario de alojamiento\u00bb: Comparaci\u00f3n de funciones para la planificaci\u00f3n de productos; diagn\u00f3stico de DNS y certificados en el servicio de asistencia; alojamiento de aplicaciones como opci\u00f3n tarifaria controlada; introducci\u00f3n escalonada de actualizaciones en producci\u00f3n; identificaci\u00f3n de fuentes de error y prioridades de seguridad; decisi\u00f3n sobre actualizaci\u00f3n o transferencia de servidor; separaci\u00f3n clara entre estado de la versi\u00f3n y componentes. El estado documentado a fecha de 2 de de octubre de 2026 para el producto principal Plesk Obsidian 18.0.81 Actualizaci\u00f3n 2. Esta actualizaci\u00f3n se public\u00f3 el 29 de septiembre de 2026 y corrige un problema de seguridad cr\u00edtico. Las nuevas funciones del panel descritas en este art\u00edculo forman parte de la versi\u00f3n Plesk Obsidian 18.0.81 del 15 de septiembre de 2026; por el contrario, la Actualizaci\u00f3n 1 y la Actualizaci\u00f3n 2 contienen correcciones documentadas de errores y de seguridad. No obstante, puede haber actualizaciones posteriores que no modifiquen la versi\u00f3n principal 18.0.81, Actualizaci\u00f3n 2: El registro de cambios recoge, por ejemplo, actualizaciones para extensiones como SSL It! y Let\u2019s Encrypt del 29 de septiembre, as\u00ed como actualizaciones de paquetes PHP del 30 de septiembre de 2026. Por lo tanto, quien se refiera simplemente a un \u00abPlesk actualizado\u00bb omite una informaci\u00f3n importante para la planificaci\u00f3n y la asistencia t\u00e9cnica. Plesk distingue entre varios niveles de actualizaci\u00f3n. Los paquetes de Plesk constituyen el propio panel y sus funciones directamente asociadas. Adem\u00e1s, existen paquetes de servicios y extensiones proporcionados por Plesk que ofrecen capacidades adicionales o pueden conectarse a servicios externos. Por lo tanto, un nuevo n\u00famero de versi\u00f3n de una extensi\u00f3n no es prueba de que, dado que"},"I3":{"id":"I3","post_id":12169,"url":"https:\/\/webhosting.de\/all-inkl-lets-encrypt-kostenlos-ssl-einrichten-anleitung-webhosterplus\/","title":"All-Inkl Let's Encrypt aktivieren \u2013 Kostenloses SSL schnell einsetzen","excerpt":"All-Inkl Let's Encrypt erm\u00f6glicht mir, ein kostenloses SSL in wenigen Minuten zu aktivieren und meine Domain samt Subdomains sicher per https auszuliefern. In diesem Leitfaden zeige ich die Aktivierung im KAS, typische Stolpersteine, WordPress-Tipps gegen Mixed Content und praxisnahe Checks f\u00fcr dauerhaft g\u00fcltige Zertifikate. Zentrale Punkte Damit du schnell ans Ziel kommst, fasse ich die wichtigsten Aspekte kompakt zusammen. Ich konzentriere mich auf die Aktivierung bei All-Inkl, die Vorteile von Let's Encrypt und sinnvolle Nacharbeiten wie Weiterleitungen und HSTS. Ich kl\u00e4re, wann DV-Zertifikate reichen und wann OV\/EV Sinn ergeben. Ich gebe klare Handgriffe f\u00fcr WordPress, ohne lange Theorie. So setzt du kostenloses SSL z\u00fcgig und sauber um. Kostenlos: SSL ohne Mehrpreis, automatische Erneuerung Schnell: Aktivierung im KAS in wenigen Minuten Sichtbar: HTTPS st\u00e4rkt Vertrauen und Rankings Einfach: DV-Zertifikate passen f\u00fcr die meisten Projekte Sicher: Mixed Content vermeiden, HSTS setzen Warum SSL bei All-Inkl f\u00fcr jede Website sinnvoll ist Mit einem aktiven Zertifikat sichere ich die Daten\u00fcbertragung zwischen Browser und Server ab und verhindere, dass Dritte Inhalte mitlesen. Besuchende erkennen das an https und dem Schloss, was Vertrauen und Conversions steigert. Suchmaschinen werten HTTPS positiv, was meiner Sichtbarkeit hilft. Besonders Login-Seiten, Kontaktformulare und Shops profitieren sofort. Ich minimiere Haftungsrisiken, erf\u00fclle rechtliche Erwartungen und schaffe eine solide Basis f\u00fcr Wachstum. Wie Let's Encrypt bei All-Inkl funktioniert Let's Encrypt stellt kostenlose, domainvalidierte Zertifikate bereit, die All-Inkl automatisiert beantragt, installiert und erneuert. Die Laufzeit betr\u00e4gt 90 Tage, die Erneuerung erfolgt im Hintergrund und spart mir Zeit. Die Verschl\u00fcsselung nutzt moderne TLS-Standards, die g\u00e4ngige Browser breit unterst\u00fctzen. F\u00fcr typische Blogs, Firmenwebsites und Portfolios gen\u00fcgt das vollkommen. Wer tiefer einsteigen will, findet Hintergr\u00fcnde zu kostenlose SSL-Zertifikate kompakt erkl\u00e4rt. Voraussetzungen und typische Vorbereitungen bei All-Inkl Damit die Ausstellung reibungslos klappt, achte ich auf ein paar Rahmenbedingungen: Domainziel"}},"_wh_make_stage":"entwurf","_wh_make_research_date":"2026-10-19","_wh_make_sitemap_info":{"index":"https:\/\/webhosting.de\/sitemap_index.xml","sitemaps":["https:\/\/webhosting.de\/post-sitemap1.xml","https:\/\/webhosting.de\/post-sitemap2.xml","https:\/\/webhosting.de\/post-sitemap3.xml","https:\/\/webhosting.de\/post-sitemap4.xml"],"url_count":3113,"fetched_at":"2026-10-19T06:00:25+00:00","selected_ids":[21820,21794,12169]},"_wh_make_draft_hash":"d06b58983ed9d22206dbd004e78f68317ecb355873f79b91e8229acd866259ee","_wh_make_work":{"version":"2.1","identity":{"sheet_ref":"1VMjxV8Q73i0Q1HO6s-u4jNHVRF0snliGCeg97intLPs","sheet_name":"Tabellenblatt1","external_id":"1408","topic":"Let's Encrypt ACME-Protokoll \u2013 Neue Funktionen und Automatisierungsm\u00f6glichkeiten","keywords":["lets encrypt acme","ssl automation","certificate management"],"category_input":"674"},"config":{"research_model":"gpt-5.6-terra","writer_model":"gpt-5.6-terra","review_model":"gpt-5.6-sol","image_model":"gpt-image-2.5-flare","image_quality":"high","image_format":"webp","final_status":"draft","charts_enabled":true},"phase":"done","pending":null,"receipts":{"8077e43617c9a23e9cb4855871752711":"56c8fab224cefb255daef9b3f2656e3e030e66acbc5491d52d6a49b9e1014c81","1456f57dd82efc9ec22b1e3b2cf4d9bd":"2576f3ac7fda829a65e7f5aa4d5cf9eedcc5557edf79590b518f1e6c90c4fe8b","f987880e9ea359695bea873fed8a2f2b":"00813bec17c3d478fc524d7db50a9cf26bfad1047211985b59f209bfd08b96e9","203485488c28f87b9b77bb73d11beec2":"40b30cb1712df65d14652c0a1fbd5dc814313a2384bec9f4f8679c0e6e734a30","78fa90352b0ea29699b2df44fa980419":"7f7cf9b6448f96084e5c0fe3be49c689163f1d4972486c7bed963337bd370970","95861d4a21d7d9bff4ef9e73571e623d":"053dd602a859b5d09dfe84ca974b3d310617d529274839d22f1466f87e5a2a95","dfd24724f1aa48387729078798fcb594":"c2f853dc3e052ae3d79f078eb93f90a4118af41d96d41b18107db77d34c27fbc","315900d0d6b404449b7a82c9d95fad3f":"300dda150c25f09a4b913e5651be7e6143f2c60c3ca0cf19af4f61f3526ec435","8028563b505da3382239ee7770155805":"8c31311e0cc362be20e882eb22e77106a1a2fa0398768cae2202d008404e1aaa","4c7cdfe2be381683102a3344d408a8cf":"2e956d87978e646a7bcab8f9a35dd9ce2f2974491e5a6fa3fc60264b9abe9e18","20368bd74aebdd320adb07ce52961cd0":"5230243d354600c851687ca1f6388c37f4cdc91169e78663754364ff5a9c5bb0","1208aaddc030dfd55dfd25019d850956":"cf9c20c5562c45dc2f89b0af0b9dc822b3fd3d9c1c6bd985f5d4b1f8c9b9aa0d","dd7c9485e9ac977fc48462c2a4d4f0ef":"752135f6f66d6ad83f8531720e4f09720225aab60050972cd503f9e224bbbe39","66b78b8694a913738c72e5c312198891":"5ac9bb64ed7783c3ac9650a1a0f93a734e0bc2c4dbc671a24c333970b631b01a","8b15d1c21af57f9ba00ebe6324f111f9":"c1784fbac9da7db273bc949c87c9253325fe072d9d312eeffe6bffcae2866a59","008ef05278d1f2fedd884acaa17622ef":"06ff2fc2780a66460b03b19f9aa241e4463f4f3b0f9bc78a7151d4e257416de4","b59d1dbca532c597de1a71e8929f3518":"7fa2343edbf3ca4a8958f6bb7dfaf6082683e7c98271e9af91afde95431f453c","8b06110dbcc8798043657f9827a295fb":"8125b9fc9b5c05562a2053af91e90d9ffabb153e33b2c1c68405af6452af54d3","0e39c9967d0271a0027bc2024fa42932":"3f28cfd54e3f229575dee01f5b2b8a875a7b9581d3a808e46d34372bf81f64c7"},"parts":{"1":[{"id":"acme-ablauf-und-schluesselrollen","heading":"ACME-Ablauf und getrennte Schl\u00fcsselrollen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"ACME standardisiert die Kommunikation zwischen einem Client und der Zertifizierungsstelle, nicht die gesamte Betriebsumgebung. Der Client verwendet zun\u00e4chst ein ACME-Konto und legt anschlie\u00dfend eine Order f\u00fcr einen oder mehrere Domainnamen an. F\u00fcr jeden Identifier verlangt der Server eine Autorisierung. Erst wenn diese erfolgreich ist, kann der Client die Order mit einer Certificate Signing Request, kurz CSR, finalisieren und das ausgestellte Zertifikat abrufen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"list","ordered":true,"items":["Kontoschl\u00fcssel erzeugen oder vorhandenes ACME-Konto verwenden und die Order anlegen.","F\u00fcr jeden angeforderten Identifier die vorgegebene Challenge bereitstellen und die Autorisierung abwarten.","Einen separaten Zertifikatsschl\u00fcssel erzeugen, daraus die CSR bilden und die Order finalisieren.","Zertifikat und Zertifikatskette abrufen, gesch\u00fctzt ablegen und an die vorgesehenen TLS-Endpunkte verteilen."],"source_ids":["S1"]},{"type":"paragraph","runs":[{"kind":"text","text":"Der ","ref":""},{"kind":"strong","text":"ACME-Kontoschl\u00fcssel","ref":""},{"kind":"text","text":" identifiziert das Konto gegen\u00fcber dem ACME-Server und signiert die Protokollnachrichten. Er ist deshalb nicht mit dem privaten Schl\u00fcssel des sp\u00e4teren Zertifikats gleichzusetzen. Der Zertifikatsschl\u00fcssel geh\u00f6rt zur jeweiligen TLS-Identit\u00e4t und wird in der CSR verwendet. Eine Trennung begrenzt Folgen eines einzelnen Schl\u00fcsselverlusts und erlaubt unabh\u00e4ngige Rotation.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei DNS-01 kommt eine dritte sensible Komponente hinzu: die Berechtigung f\u00fcr die DNS-API. Dieses Token soll weder den Kontoschl\u00fcssel noch den Zertifikatsschl\u00fcssel ersetzen und m\u00f6glichst nur die erforderlichen Challenge-Records ver\u00e4ndern d\u00fcrfen. Getrennte Ablage, restriktive Dateirechte und ein dokumentierter Austauschprozess machen aus drei unterschiedlichen Vertrauensbereichen kein gemeinsames Geheimnis.","ref":""},{"kind":"citation","text":"","ref":"S9"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Automatisierung beseitigt keine fehlerhaften Voraussetzungen. Ein nicht erreichbarer Port, falsches Routing, eine unpassende DNS-Delegation oder zu weit reichende Zugriffsrechte bleiben Betriebsprobleme, auch wenn die Order-Erstellung automatisiert ist. ACME beschleunigt den wiederholbaren Ablauf; ein Rechtekonzept, sichere Schl\u00fcsselablage und die Kontrolle der tats\u00e4chlich ausgelieferten Zertifikate m\u00fcssen Betreiber weiterhin selbst umsetzen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"challenges-nach-infrastruktur-auswaehlen","heading":"Die passende Challenge f\u00fcr die Infrastruktur","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Challenge bestimmt, wie eine Zertifizierungsstelle die Kontrolle \u00fcber einen Identifier pr\u00fcft. Sie sollte daher aus Netzweg, DNS-Verwaltung und TLS-Terminierung abgeleitet werden, nicht aus einer pauschalen Pr\u00e4ferenz f\u00fcr ein Client-Werkzeug. HTTP-01, DNS-01 und TLS-ALPN-01 belegen unterschiedliche Arten der Kontrolle und stellen entsprechend andere Anforderungen an Infrastruktur und Berechtigungen.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr eine einzelne, \u00f6ffentlich erreichbare Website ist ","ref":""},{"kind":"strong","text":"HTTP-01","ref":""},{"kind":"text","text":" meist der direkteste Weg. Der Client stellt eine Ressource unter ","ref":""},{"kind":"code","text":"\/.well-known\/acme-challenge\/","ref":""},{"kind":"text","text":" bereit, die Let\u2019s Encrypt \u00fcber Port 80 abruft. Zeigt eine Domain auf mehrere A- oder AAAA-Ziele, muss diese Ressource auf allen Systemen erreichbar sein, die der Validierungsabruf treffen kann. Andernfalls entsteht ein nur gelegentlich auftretender Validierungsfehler.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Wildcard-Zertifikate f\u00fcr ","ref":""},{"kind":"code","text":"*.example.org","ref":""},{"kind":"text","text":" erfordern dagegen zwingend ","ref":""},{"kind":"strong","text":"DNS-01","ref":""},{"kind":"text","text":". Der Client ver\u00f6ffentlicht daf\u00fcr einen TXT-Record unter ","ref":""},{"kind":"code","text":"_acme-challenge.example.org","ref":""},{"kind":"text","text":". Das passt zu vielen dynamischen Subdomains, verteilten Webservern oder einem Load Balancer, weil keine einzelne HTTP-Instanz die Validierungsdatei ausliefern muss. Voraussetzung ist jedoch eine verl\u00e4ssliche, automatisierbare DNS-\u00c4nderung.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein Reverse Proxy ohne nutzbaren Port 80 kann ","ref":""},{"kind":"strong","text":"TLS-ALPN-01","ref":""},{"kind":"text","text":" einsetzen, sofern er die TLS-Terminierung auf Port 443 kontrolliert und der verwendete Client diese Challenge unterst\u00fctzt. Die Validierung erfolgt \u00fcber eine spezielle TLS-Verbindung, nicht \u00fcber eine normale Webdatei. Das Verfahren eignet sich damit besonders f\u00fcr spezialisierte Proxy- oder Hosting-Infrastruktur, aber nicht als allgemeiner Ersatz f\u00fcr HTTP-01. Wildcards werden auch hier nicht unterst\u00fctzt.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Keine Methode ist generell \u00fcberlegen: HTTP-01 reduziert bei einer einfachen Website den DNS-Zugriff, DNS-01 erm\u00f6glicht Wildcards und entkoppelt die Validierung vom Webpfad, TLS-ALPN-01 nutzt gezielt vorhandene TLS-Kontrolle. Entscheidend ist, dass die gew\u00e4hlte Challenge unter realen Failover-, IPv4- und IPv6-Pfaden funktioniert und ihre Berechtigungen zum jeweiligen Betriebsmodell passen.","ref":""},{"kind":"citation","text":"","ref":"S6"}]}]},{"id":"ari-profile-und-kurzlebige-zertifikate","heading":"ARI, Profile und k\u00fcrzere Laufzeiten","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Mit ","ref":""},{"kind":"strong","text":"ACME Renewal Information","ref":""},{"kind":"text","text":" (ARI) verschiebt sich die Erneuerungslogik von einem lokal festgelegten Stichtag zu einem vom ACME-Server empfohlenen Zeitfenster. Der Client fragt diese Information f\u00fcr ein vorhandenes Zertifikat ab und w\u00e4hlt innerhalb des Fensters einen zuf\u00e4lligen Zeitpunkt. Dadurch k\u00f6nnen Erneuerungen zeitlich verteilt und bei besonderen Ereignissen gezielt vorgezogen werden.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"ARI ist eine standardisierte Erweiterung, aber keine automatische Eigenschaft jedes installierten Clients oder Hosting-Panels. Let\u2019s Encrypt kann neue r\u00fcckw\u00e4rtskompatible ACME-Funktionen am bestehenden Endpunkt anbieten; ob eine konkrete Installation sie nutzt, h\u00e4ngt von deren Version und Implementierung ab. F\u00fcr gr\u00f6\u00dfere Best\u00e4nde ist daher zu pr\u00fcfen, ob der Client ARI abfragt, das Zeitfenster respektiert und Erneuerungen nicht wieder synchronisiert.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Let\u2019s Encrypt ordnet Orders au\u00dferdem Zertifikatsprofilen zu. Ohne ausdr\u00fcckliche Profilwahl ist das klassische Profil der Standard und hat derzeit 90 Tage Laufzeit. Das Profil ","ref":""},{"kind":"code","text":"tlsserver","ref":""},{"kind":"text","text":" hat 45 Tage Laufzeit, k\u00fcrzere Fristen f\u00fcr offene Autorisierungen und Orders sowie h\u00f6chstens 25 DNS-Namen. ","ref":""},{"kind":"code","text":"shortlived","ref":""},{"kind":"text","text":" verwendet ebenfalls kurze Objektfristen, ist rund 160 Stunden g\u00fcltig und unterst\u00fctzt DNS- sowie IP-Identifier.","ref":""},{"kind":"citation","text":"","ref":"S5"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Profilauswahl setzt ebenfalls Client-Unterst\u00fctzung voraus; sie sollte nicht allein aus der Serverdokumentation abgeleitet werden. Profile unterscheiden sich neben Laufzeit und Identifiern auch in weiteren Eigenschaften. Anwendungen und Inventarisierungswerkzeuge d\u00fcrfen daher weder einen einheitlichen Ablauf noch das Vorhandensein eines Common Name in jedem Zertifikat stillschweigend voraussetzen.","ref":""},{"kind":"citation","text":"","ref":"S5"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Rechnerisch liegen zwischen 90 Tagen und rund 160 Stunden etwa Faktor 13,5 in der Laufzeit. Daraus folgt keine gemessene Last, aber eine klare Planungsfolge: Jede St\u00f6rung bei Bestellung, Verteilung oder Reload wird bei ","ref":""},{"kind":"strong","text":"kurzlebigen Zertifikaten","ref":""},{"kind":"text","text":" viel fr\u00fcher kritisch. Sie sind nur f\u00fcr Systeme sinnvoll, deren vollst\u00e4ndige Lieferkette \u00fcberwacht ist und deren Erneuerung nicht von manuellen Eingriffen abh\u00e4ngt. F\u00fcr ARI-koordinierte Erneuerungen gelten bei Let\u2019s Encrypt unter dokumentierten Voraussetzungen besondere Regeln zu Rate Limits.","ref":""},{"kind":"citation","text":"","ref":"S4"}]}]}],"2":[{"id":"challenge-matrix-und-dns-delegation","heading":"Challenge-Matrix und sichere DNS-Delegation","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Wahl der Challenge folgt der erreichbaren Infrastruktur, nicht einer allgemeinen Rangfolge. HTTP-01 verlangt eine \u00f6ffentlich erreichbare Antwort \u00fcber Port 80, DNS-01 einen kontrollierbaren TXT-Eintrag und TLS-ALPN-01 die Kontrolle \u00fcber die TLS-Terminierung auf Port 443. Wildcard-Namen sind ausschlie\u00dflich mit DNS-01 validierbar. ","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"table","caption":"ACME-Challenges nach Infrastruktur und Betriebsrisiko","headers":["Challenge","Voraussetzung","Wildcard \/ IP","Typische Nutzung","Wesentliches Risiko"],"rows":[["HTTP-01","Port 80 und Bereitstellung der Challenge-Datei","Wildcard: nein; IP: m\u00f6glich","Einzelne \u00f6ffentlich erreichbare Website","Bei mehreren A- oder AAAA-Zielen fehlt die Datei auf einem erreichten Ziel"],["DNS-01","\u00c4nderung des TXT-Records unter _acme-challenge","Wildcard: ja; IP: nein","Wildcards, viele Subdomains, verteilte TLS-Endpunkte","Zu weitreichende DNS-API-Rechte oder nicht sichtbare TXT-Records"],["TLS-ALPN-01","Kontrolle \u00fcber TLS auf Port 443","Wildcard: nein; IP: m\u00f6glich","Reverse Proxy oder spezialisierte TLS-Infrastruktur","Die TLS-Terminierung liefert das Challenge-Zertifikat nicht aus"]],"source_ids":["S6"]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine Website mit einem einzigen Webserver ist daher h\u00e4ufig mit HTTP-01 gut bedient. Zeigen DNS-A- oder AAAA-Records jedoch auf mehrere Systeme, muss jedes tats\u00e4chlich erreichte Ziel die erwartete Ressource ausliefern. Andernfalls h\u00e4ngt das Ergebnis davon ab, welchen Endpunkt die Validierung erreicht. Ein Load Balancer oder eine zentral synchronisierte Challenge-Ablage beseitigt dieses Problem nur, wenn sie alle Wege abdeckt.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr DNS-01 braucht der ACME-Client lediglich Schreibrechte f\u00fcr die erforderlichen TXT-Records, nicht f\u00fcr die gesamte Produktionszone. Ein ","ref":""},{"kind":"strong","text":"restriktives API-Token","ref":""},{"kind":"text","text":" begrenzt den m\u00f6glichen Schaden bei einem kompromittierten Webserver. Es sollte weder Nameserver noch Mail-Records noch andere Domain-Eintr\u00e4ge ver\u00e4ndern d\u00fcrfen. Zugangsdaten geh\u00f6ren getrennt vom Zertifikats- und ACME-Kontoschl\u00fcssel in eine gesch\u00fctzte Ablage.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei umfangreichen Zonen kann eine separate Challenge-Zone die Rechte weiter eingrenzen. Die Delegation von ","ref":""},{"kind":"code","text":"_acme-challenge","ref":""},{"kind":"text","text":" per CNAME oder NS verlagert die Validierungsdaten in einen eigenen Verwaltungsbereich. Der Client erh\u00e4lt dann nur dort \u00c4nderungsrechte. Vor der Produktivnutzung m\u00fcssen TXT-Inhalt und DNS-Aufl\u00f6sung gepr\u00fcft werden: Eine korrekte API-Antwort gen\u00fcgt nicht, wenn Resolver die Delegation oder den Record noch nicht sehen.","ref":""},{"kind":"citation","text":"","ref":"S6"}]}]},{"id":"erneuerung-und-verteilung-automatisieren","heading":"Erneuerung und Verteilung zuverl\u00e4ssig automatisieren","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Belastbares ","ref":""},{"kind":"strong","text":"Certificate Management","ref":""},{"kind":"text","text":" endet nicht mit dem Abruf eines Zertifikats. In einer verteilten Umgebung l\u00f6st ein zentraler ACME-Worker die Validierung aus und legt Zertifikat sowie privaten Schl\u00fcssel gesch\u00fctzt ab. Erst danach werden die Artefakte an die TLS-Endpunkte verteilt, dort gepr\u00fcft und kontrolliert aktiviert. ACME-Kontoschl\u00fcssel und Zertifikatsschl\u00fcssel bleiben dabei getrennte Schl\u00fcsselpaare.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"table","caption":"Kontrollen entlang der automatisierten Zertifikatslieferkette","headers":["Schritt","Verantwortlichkeit","Sicherheitskontrolle","Monitoring-Signal"],"rows":[["Order und Challenge","ACME-Worker","Getrennte Kontoschl\u00fcssel und minimale Challenge-Rechte","Fehlgeschlagene Autorisierung"],["Zertifikat abrufen und ablegen","ACME-Worker","Privater Schl\u00fcssel nur f\u00fcr berechtigte Prozesse lesbar","Ablaufdatum und Abruffehler"],["An Endpunkte verteilen","Deployment-Prozess","Authentisierte \u00dcbertragung, Zielbestand pr\u00fcfen","Abweichender Zertifikats-Fingerprint"],["Dienst aktualisieren","Lokaler Dienst oder Orchestrierung","Reload erst nach erfolgreicher Dateiaktualisierung","Reload-Fehler und Prozessstatus"],["Extern ausliefern","Unabh\u00e4ngige TLS-Pr\u00fcfung","Pr\u00fcfung gegen den tats\u00e4chlich erreichbaren Endpunkt","Alter Aussteller, Name oder Ablaufdatum"]],"source_ids":["S7","S1"]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr \u00c4nderungen an Panel- oder DNS-Integrationen sollte die produktive Kette nicht als Einzelsystem betrachtet werden. Insbesondere bei einer Verwaltung \u00fcber ","ref":""},{"kind":"internal_link","text":"Plesk-Updates f\u00fcr Hosting-Anbieter","ref":"I2"},{"kind":"text","text":" h\u00e4ngen verf\u00fcgbare Funktionen von Panelstand, Erweiterung und angebundenen Diensten ab. Die konkrete ACME-Client-F\u00e4higkeit, etwa f\u00fcr zus\u00e4tzliche Protokollerweiterungen, ist ebenfalls versionsabh\u00e4ngig und muss in der eingesetzten Kombination gepr\u00fcft werden.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Certbot kann ein Deploy Hook den letzten Schritt ausl\u00f6sen, weil er nur nach einer erfolgreichen Erneuerung l\u00e4uft. Das folgende Muster setzt voraus, dass der lokale Pfad ein gepr\u00fcftes, ausf\u00fchrbares Skript ohne Zugangsdaten ist. Das Skript sollte ","ref":""},{"kind":"strong","text":"idempotent","ref":""},{"kind":"text","text":" arbeiten, Fehler protokollieren und ausschlie\u00dflich Dienste neu laden, die das erneuerte Zertifikat verwenden.","ref":""},{"kind":"citation","text":"","ref":"S7"}]},{"type":"code","language":"bash","code":"certbot renew --deploy-hook \/usr\/local\/sbin\/reload-tls-services","source_ids":["S7"]},{"type":"paragraph","runs":[{"kind":"text","text":"Der Exit-Status von ","ref":""},{"kind":"code","text":"certbot renew","ref":""},{"kind":"text","text":" ist kein Nachweis f\u00fcr ein neues Zertifikat: Auch wenn nichts zu erneuern war, kann der Befehl mit Status 0 enden. Die \u00dcberwachung muss daher unabh\u00e4ngig feststellen, welches Zertifikat der \u00f6ffentliche Endpunkt tats\u00e4chlich ausliefert, wann es abl\u00e4uft und ob der Reload erfolgreich war.","ref":""},{"kind":"citation","text":"","ref":"S7"}]}]},{"id":"caa-profile-und-ip-zertifikate","heading":"CAA, Profile und Zertifikate f\u00fcr IP-Adressen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ein CAA-Record ist ein ","ref":""},{"kind":"strong","text":"Ausstellungs-Gel\u00e4nder","ref":""},{"kind":"text","text":": Er legt fest, welche Zertifizierungsstellen Zertifikate f\u00fcr eine Domain ausstellen d\u00fcrfen. Zus\u00e4tzlich kann die Richtlinie die erlaubte Validierungsmethode und eine ACME-Account-URI beschr\u00e4nken. Letztere bindet die Ausstellung st\u00e4rker an den vorgesehenen Kontoschl\u00fcssel, ersetzt aber weder dessen sichere Ablage noch ein Berechtigungskonzept.","ref":""},{"kind":"citation","text":"","ref":"S8"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die folgende Policy erlaubt Let\u2019s Encrypt f\u00fcr die Domain nur bei DNS-01-Validierung. Sie passt nur, wenn DNS-01 automatisiert eingerichtet ist und die Challenge-Zone zuverl\u00e4ssig verwaltet wird. Wer sp\u00e4ter HTTP-01 f\u00fcr eine einzelne Website oder TLS-ALPN-01 f\u00fcr einen Reverse Proxy nutzen will, blockiert diese Ausstellung mit der Policy bewusst.","ref":""},{"kind":"citation","text":"","ref":"S8"}]},{"type":"code","language":"dns","code":"example.org. CAA 0 issue \"letsencrypt.org;validationmethods=dns-01\"","source_ids":["S8"]},{"type":"paragraph","runs":[{"kind":"text","text":"Zertifikate f\u00fcr \u00f6ffentliche IP-Adressen sind ein anderer Fall als Domain-Zertifikate. Let\u2019s Encrypt unterst\u00fctzt IP-Identifier im Profil ","ref":""},{"kind":"code","text":"shortlived","ref":""},{"kind":"text","text":"; als Validierung kommen HTTP-01 und TLS-ALPN-01 infrage. DNS-01 kann keine IP-Adresse validieren, und f\u00fcr IP-Adressen wird CAA nicht gepr\u00fcft. Die kurze G\u00fcltigkeit von ungef\u00e4hr 160 Stunden setzt deshalb eine durchg\u00e4ngige automatisierte Erneuerung, Verteilung und Auslieferungskontrolle voraus.","ref":""},{"kind":"citation","text":"","ref":"S5"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Das shortlived-Profil eignet sich damit etwa f\u00fcr direkt per IP erreichbare Schnittstellen nur dann, wenn jeder Schritt ohne manuelle Eingriffe funktioniert. Es ist keine verk\u00fcrzte Variante f\u00fcr gelegentlich gepflegte Systeme. Au\u00dferdem m\u00fcssen eingesetzter ACME-Client und Zielumgebung die Profilwahl sowie die gew\u00e4hlte Challenge unterst\u00fctzen; die Verf\u00fcgbarkeit am ACME-Dienst belegt keine Unterst\u00fctzung durch jede Client-Version.","ref":""},{"kind":"citation","text":"","ref":"S5"},{"kind":"citation","text":"","ref":"S6"}]}]}],"3":[{"id":"monitoring-und-fehlersuche-im-staging","heading":"Monitoring und Fehlersuche zuerst im Staging","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Fehlersuche bei ACME beginnt mit dem tats\u00e4chlich verwendeten Validierungsverfahren, nicht mit einem erneuten Zertifikatsauftrag. F\u00fcr \u00c4nderungen an Client, Routing, Firewall oder DNS eignet sich der Staging-Endpunkt von Let\u2019s Encrypt: Er ist von der Produktionsumgebung getrennt und vermeidet, dass Versuche produktive Rate Limits verbrauchen. Neue Protokollfunktionen k\u00f6nnen zwar am ACME-Endpunkt verf\u00fcgbar sein, die Unterst\u00fctzung des installierten Clients muss dennoch gesondert gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei HTTP-01 ist zuerst zu pr\u00fcfen, ob die betroffene Domain \u00f6ffentlich \u00fcber Port 80 erreichbar ist und die angeforderte Datei unter ","ref":""},{"kind":"code","text":"\/.well-known\/acme-challenge\/","ref":""},{"kind":"text","text":" am Zielsystem ausliefert. Mehrere A- oder AAAA-Records machen den Test anspruchsvoller: Jeder tats\u00e4chlich erreichbare Endpunkt muss die passende Challenge-Datei bereitstellen. Typische Ursachen sind ein abweichendes Virtual-Host-Routing, ein vorgeschalteter Proxy, eine Firewall-Regel oder nicht synchronisierte Container.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"TLS-ALPN-01 verlangt dagegen Kontrolle \u00fcber die TLS-Terminierung auf Port 443. Bei einem Fehler sollte gepr\u00fcft werden, welcher Load Balancer oder Proxy die Verbindung annimmt, ob er das f\u00fcr die Challenge ben\u00f6tigte Zertifikat ausliefert und ob ein regul\u00e4rer TLS-Dienst den Vorgang \u00fcberschreibt. Eine erfolgreich erzeugte lokale Zertifikatsdatei belegt nicht, dass der \u00f6ffentlich angesprochene Endpunkt sie verwendet.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei DNS-01 sind Name und Inhalt des TXT-Records unter ","ref":""},{"kind":"code","text":"_acme-challenge","ref":""},{"kind":"text","text":" getrennt zu kontrollieren. Der Record muss in der delegierten oder ma\u00dfgeblichen Zone publiziert sein; au\u00dferdem muss die Delegationskette stimmen, wenn eine separate Challenge-Zone verwendet wird. Wiederholte Fehlversuche wegen Tippfehlern, noch nicht sichtbarer \u00c4nderungen oder fehlerhafter Delegation sollten zun\u00e4chst im Staging analysiert werden.","ref":""},{"kind":"citation","text":"","ref":"S6"},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Wirksames ","ref":""},{"kind":"strong","text":"Monitoring","ref":""},{"kind":"text","text":" beobachtet nicht nur das Ablaufdatum in der Ablage des ACME-Workers. Es pr\u00fcft unabh\u00e4ngig den ausgelieferten Hostnamen, die Restlaufzeit des dort pr\u00e4sentierten Zertifikats und den Erfolg des Reloads nach einer Aktualisierung. Alarmiert werden sollte auch, wenn eine Erneuerung fehlschl\u00e4gt oder ein Endpunkt trotz erfolgreicher Ausstellung noch das alte Zertifikat ausliefert. F\u00fcr geplante \u00c4nderungen an Hosting-Servern erg\u00e4nzt der Beitrag ","ref":""},{"kind":"internal_link","text":"cPanel- und WHM-Updates sicher planen","ref":"I1"},{"kind":"text","text":" die notwendige Betriebsplanung.","ref":""}]}]},{"id":"rate-limits-und-bestandsplanung","heading":"Rate Limits und Erneuerungen im Bestand","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"In einem Zertifikatsbestand sind Rate Limits eine Entwurfsbedingung der ","ref":""},{"kind":"strong","text":"SSL-Automatisierung","ref":""},{"kind":"text","text":". T\u00e4glich erzwungene Erneuerungen oder zeitgleich gestartete Jobs erzeugen unn\u00f6tige Orders und k\u00f6nnen Begrenzungen ausl\u00f6sen. Das gilt besonders, wenn ein Infrastrukturfehler viele Domains zugleich betrifft: Wiederholungen beheben weder fehlende Challenge-Dateien noch falsches DNS, erh\u00f6hen aber die Zahl fehlgeschlagener Validierungen. Fehler m\u00fcssen daher vor dem n\u00e4chsten produktiven Lauf eingegrenzt werden.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"ACME Renewal Information, kurz ","ref":""},{"kind":"strong","text":"ARI","ref":""},{"kind":"text","text":", ersetzt starre lokale Schwellenwerte durch ein vom ACME-Server empfohlenes Erneuerungsfenster f\u00fcr ein vorhandenes Zertifikat. Der Client soll einen zuf\u00e4lligen Zeitpunkt innerhalb dieses Fensters w\u00e4hlen. Damit lassen sich Erneuerungen zeitlich verteilen; bei besonderen Ereignissen kann der Server auch ein fr\u00fcheres Fenster vorgeben. Ein lokaler Kalenderjob bleibt m\u00f6glich, sollte aber ARI abfragen und das empfohlene Fenster respektieren, sofern der eingesetzte Client dies unterst\u00fctzt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr Let\u2019s Encrypt k\u00f6nnen ARI-koordinierte Erneuerungen unter den dokumentierten Voraussetzungen von Rate Limits ausgenommen sein. Der neue Auftrag muss unter anderem mindestens einen Identifier des zu ersetzenden Zertifikats enthalten, und dieses darf nicht bereits \u00fcber ARI ersetzt worden sein. Das ist keine allgemeine Freigabe f\u00fcr beliebige Neuauftr\u00e4ge: \u00c4nderungen am Zertifikatsumfang sind fachlich und operativ getrennt zu behandeln.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Insbesondere eine verk\u00fcrzte oder ver\u00e4nderte SAN-Liste ist nicht automatisch eine Erneuerung des bisherigen Zertifikats. Ein Auftrag mit nur einem Teil der bisherigen Namen kann ein separates Zertifikat erzeugen, w\u00e4hrend das alte weiterhin g\u00fcltig bleibt. Das Inventar sollte deshalb Zertifikatskennung, vollst\u00e4ndige Identifier-Liste, zugeordnete Endpunkte und Erneuerungsweg erfassen. Vor einer geplanten SAN-\u00c4nderung ist zu entscheiden, welche Dienste umgestellt und wann nicht mehr ben\u00f6tigte Zertifikate entfernt werden.","ref":""},{"kind":"citation","text":"","ref":"S7"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei mehreren Workern verhindert eine eindeutige Zust\u00e4ndigkeit doppelte Orders f\u00fcr denselben Bestand. Sinnvoll sind ein zentraler Scheduler oder eine koordinierte Sperre, nachvollziehbare Protokolle und gestaffelte Wiederholungen nach einem Fehler. Die Zufallsauswahl innerhalb eines ARI-Fensters ist kein Ersatz f\u00fcr diese Steuerung, sondern reduziert vor allem die Gleichzeitigkeit regul\u00e4rer Erneuerungen.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]},{"id":"betriebsmodell-nach-risiko-waehlen","heading":"Das passende Betriebsmodell nach Risiko w\u00e4hlen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr eine einzelne, \u00f6ffentlich erreichbare Website ist HTTP-01 meist das einfachste Betriebsmodell. Der Webserver muss Port 80 zuverl\u00e4ssig bedienen und die Challenge-Datei am erwarteten Pfad ausliefern. Dieses Modell passt nicht zu Wildcards und wird fragil, wenn mehrere unabh\u00e4ngige Ziele dieselbe Domain beantworten. Es ist deshalb vor allem dann sinnvoll, wenn Webrouting, Zertifikatsablage und TLS-Auslieferung an einer klar kontrollierten Stelle zusammenlaufen.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"DNS-01 ist das passende Modell f\u00fcr Wildcards, dynamische Subdomains und verteilte TLS-Endpunkte. Die Voraussetzung ist keine blo\u00dfe DNS-Zugriffsm\u00f6glichkeit, sondern eine sicher automatisierbare \u00c4nderung des ben\u00f6tigten TXT-Records. Ein Token mit Zugriff nur auf die Challenge-Zone begrenzt die Folgen eines kompromittierten Webservers. Werden CNAME- oder NS-Delegationen eingesetzt, m\u00fcssen auch diese als produktive Abh\u00e4ngigkeit dokumentiert, \u00fcberwacht und mit einem Wiederherstellungsweg versehen werden.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"TLS-ALPN-01 eignet sich f\u00fcr Betreiber, die die TLS-Terminierung auf Port 443 gezielt steuern, etwa an einem Reverse Proxy oder Load Balancer. Die Methode ist weder ein pauschaler Ersatz f\u00fcr HTTP-01 noch wildcard-f\u00e4hig. Ihre praktische Verwendbarkeit h\u00e4ngt zus\u00e4tzlich von der jeweiligen Client- und Proxy-Implementierung ab. Vor dem Einsatz muss daher gepr\u00fcft werden, ob die Software die Challenge erzeugen, ausliefern und nach Abschluss wieder sauber entfernen kann.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Das ","ref":""},{"kind":"strong","text":"shortlived-Profil","ref":""},{"kind":"text","text":" ist nur f\u00fcr Systeme mit l\u00fcckenloser End-to-End-Automatisierung geeignet. Let\u2019s Encrypt beschreibt daf\u00fcr eine Laufzeit von rund 160 Stunden sowie DNS- und IP-Identifier; gegen\u00fcber dem Standardprofil mit 90 Tagen erh\u00f6ht dies die notwendige Erneuerungsfrequenz rechnerisch deutlich. Jeder Ablauf von Bestellung bis Verteilung, Reload und Au\u00dfenpr\u00fcfung muss daher belastbar funktionieren. Die Wahl eines Profils setzt zudem voraus, dass der eingesetzte ACME-Client die Profilauswahl tats\u00e4chlich unterst\u00fctzt.","ref":""},{"kind":"citation","text":"","ref":"S5"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Unabh\u00e4ngig vom Modell braucht professionelles ","ref":""},{"kind":"strong","text":"Certificate Management","ref":""},{"kind":"text","text":" ein vollst\u00e4ndiges Inventar, getrennte Konten- und Zertifikatsschl\u00fcssel sowie minimal berechtigte DNS-Zug\u00e4nge. ACME bindet die Identit\u00e4t des Kontos an dessen Schl\u00fcssel; dieser ist daher nicht mit dem privaten Schl\u00fcssel des ausgestellten Zertifikats gleichzusetzen. Schl\u00fcsselrotation, gesicherte Ablage, widerrufbare Zug\u00e4nge und ein getesteter R\u00fcckweg auf das vorherige Zertifikat geh\u00f6ren zum Rechte- und Notfallkonzept.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein erfolgreicher ACME-Lauf darf nicht das einzige Erfolgskriterium sein. Die Auslieferungskontrolle muss au\u00dferhalb des Workers feststellen, welches Zertifikat ein echter TLS-Endpunkt pr\u00e4sentiert. F\u00fcr Verteilungs- und Reload-Schritte eignen sich Aktionen, die nur nach einer erfolgreichen Erneuerung ausgel\u00f6st werden; bei Certbot ist daf\u00fcr ein Deploy Hook vorgesehen. Sein Skript sollte idempotent sein, Fehler protokollieren und nur Dienste neu laden, die das erneuerte Material tats\u00e4chlich nutzen.","ref":""},{"kind":"citation","text":"","ref":"S7"}]}]}]},"plan":{"reader_question":"Wie l\u00e4sst sich die Ausstellung, Erneuerung und Auslieferung von Let\u2019s-Encrypt-Zertifikaten \u00fcber ACME belastbar automatisieren, und welche Rolle spielen ARI, Zertifikatsprofile und passende Validierungsverfahren dabei?","sections":[{"id":"acme-ablauf-und-schluesselrollen","heading":"ACME-Ablauf und getrennte Schl\u00fcsselrollen","part":1,"target_words":270,"purpose":"Erkl\u00e4rt die ACME-Kette von Konto, Order und Autorisierung \u00fcber Challenge und CSR bis zum Zertifikatsabruf. Ein kurzer Ablauf in nummerierten Schritten verdeutlicht, warum Kontoschl\u00fcssel, Zertifikatsschl\u00fcssel und DNS-API-Zugang drei getrennt zu sch\u00fctzende Komponenten sind. Grenzen: ACME automatisiert keine fehlerhafte Infrastruktur und ersetzt kein Rechtekonzept.","source_ids":["S1","S9"],"internal_link_ids":[]},{"id":"challenges-nach-infrastruktur-auswaehlen","heading":"Die passende Challenge f\u00fcr die Infrastruktur","part":1,"target_words":280,"purpose":"Grenzt HTTP-01, DNS-01 und TLS-ALPN-01 anhand ihrer tats\u00e4chlichen Erreichbarkeits- und Betriebsanforderungen ab. Konkrete F\u00e4lle sind eine einzelne Website, Wildcards mit vielen Subdomains, ein Reverse Proxy ohne Port 80 und mehrere A- oder AAAA-Ziele. Herausarbeiten, dass keine Methode pauschal \u00fcberlegen ist und Wildcards DNS-01 verlangen.","source_ids":["S6"],"internal_link_ids":[]},{"id":"ari-profile-und-kurzlebige-zertifikate","heading":"ARI, Profile und k\u00fcrzere Laufzeiten","part":1,"target_words":270,"purpose":"F\u00fchrt ARI als Wechsel von festen Verl\u00e4ngerungsterminen zu serverseitig empfohlenen Erneuerungsfenstern ein. Anschlie\u00dfend klassische, tlsserver- und shortlived-Profile hinsichtlich Laufzeit, Identifiern und Client-Unterst\u00fctzung einordnen. Ein Rechenansatz kontrastiert 90 Tage mit rund 160 Stunden, ohne betriebliche Last zu behaupten; Grenzen kurzlebiger Zertifikate klar benennen.","source_ids":["S2","S3","S5","S4"],"internal_link_ids":[]},{"id":"challenge-matrix-und-dns-delegation","heading":"Challenge-Matrix und sichere DNS-Delegation","part":2,"target_words":290,"purpose":"Beginnt mit einer informativen Tabelle zu HTTP-01, DNS-01 und TLS-ALPN-01 mit Voraussetzungen, Wildcard- und IP-Eignung, Einsatzf\u00e4llen sowie Betriebsrisiken. Danach DNS-01 praktisch vertiefen: restriktive API-Tokens, separate Challenge-Zone und Delegation per CNAME oder NS. Der Text erkl\u00e4rt, warum Vollzugriff auf die Hauptzone auf einem Webserver vermeidbar ist.","source_ids":["S6"],"internal_link_ids":[]},{"id":"erneuerung-und-verteilung-automatisieren","heading":"Erneuerung und Verteilung zuverl\u00e4ssig automatisieren","part":2,"target_words":300,"purpose":"Beschreibt Certificate Management als Lieferkette: zentraler Worker, gesch\u00fctzte Ablage, Verteilung an TLS-Endpunkte, kontrollierter Reload und externe Pr\u00fcfung. Eine zweite Tabelle ordnet jedem Schritt Verantwortlichkeit, Sicherheitskontrolle und Monitoring-Signal zu. Das Certbot-Beispiel mit Deploy Hook erl\u00e4utern, einschlie\u00dflich Idempotenz und der Grenze, dass Exit-Status 0 bei certbot renew keine erfolgte Erneuerung beweist.","source_ids":["S7","S1"],"internal_link_ids":["I2"]},{"id":"caa-profile-und-ip-zertifikate","heading":"CAA, Profile und Zertifikate f\u00fcr IP-Adressen","part":2,"target_words":270,"purpose":"Erkl\u00e4rt CAA als bewusstes Ausstellungs-Gel\u00e4nder, einschlie\u00dflich der Einschr\u00e4nkung auf validationmethods=dns-01 und m\u00f6glicher Account-Bindung. Das bereitgestellte CAA-Beispiel kontextualisieren und zeigen, wann es HTTP-01 oder TLS-ALPN-01 ungewollt blockiert. Anschlie\u00dfend IP-Identifier im shortlived-Profil mit HTTP-01 oder TLS-ALPN-01 abgrenzen; DNS-01 und CAA f\u00fcr IP-Adressen ausschlie\u00dfen.","source_ids":["S8","S5","S6"],"internal_link_ids":[]},{"id":"monitoring-und-fehlersuche-im-staging","heading":"Monitoring und Fehlersuche zuerst im Staging","part":3,"target_words":270,"purpose":"Leitet eine systematische Diagnose nach Challenge-Typ an: Routing, Firewall und fehlende Dateien bei HTTP-01\/TLS-ALPN-01; TXT-Inhalt, Propagation und Delegation bei DNS-01. Staging als sichere Umgebung f\u00fcr \u00c4nderungen und Fehlversuche einordnen. Strukturwechsel von Fehlerbild zu Pr\u00fcfschritt und danach zu Alarmkriterien wie Restlaufzeit, ausgeliefertem Zertifikat und fehlgeschlagenem Reload.","source_ids":["S2","S4","S6"],"internal_link_ids":["I1"]},{"id":"rate-limits-und-bestandsplanung","heading":"Rate Limits und Erneuerungen im Bestand","part":3,"target_words":250,"purpose":"Zeigt, warum erzwungene oder synchronisierte Verl\u00e4ngerungen unn\u00f6tige Orders und Limits erzeugen k\u00f6nnen. ARI-Fenster, zuf\u00e4llige Auswahl eines Zeitpunkts darin und die Voraussetzungen f\u00fcr koordinierte ARI-Erneuerungen erl\u00e4utern. Zudem den Fall abgrenzen, dass ge\u00e4nderte oder verk\u00fcrzte SAN-Listen keine einfache Erneuerung des bisherigen Zertifikats darstellen m\u00fcssen.","source_ids":["S3","S4","S7"],"internal_link_ids":[]},{"id":"betriebsmodell-nach-risiko-waehlen","heading":"Das passende Betriebsmodell nach Risiko w\u00e4hlen","part":3,"target_words":280,"purpose":"Verdichtet die Entscheidung in nachvollziehbare Betriebsmodelle: einfache einzelne Website mit HTTP-01, DNS-01 f\u00fcr Wildcards und verteilte Infrastruktur, TLS-ALPN-01 f\u00fcr kontrollierte TLS-Terminierung sowie shortlived f\u00fcr l\u00fcckenlos automatisierte Systeme. Abschlie\u00dfend Mindestanforderungen an Inventar, Least Privilege, Schl\u00fcsselrotation, Rollback und unabh\u00e4ngige Auslieferungskontrolle formulieren; Client-Unterst\u00fctzung stets als versionsabh\u00e4ngig markieren.","source_ids":["S5","S6","S1","S7"],"internal_link_ids":[]}]},"repairs":4,"reviews":5,"issues":[],"guard":{"content_md5":"84d4c76f3185f21a5edec37071269293","title":"Let\u2019s Encrypt ACME: Zertifikate automatisieren und Erneuerungen sicher steuern","slug":"lets-encrypt-acme-zertifikate-automatisieren","excerpt":"ACME automatisiert Ausstellung und Erneuerung von TLS-Zertifikaten, ersetzt aber kein belastbares Betriebsmodell. Dieser Beitrag zeigt, wie Challenges, ARI, Zertifikatsprofile, Rechte, Verteilung und Monitoring f\u00fcr zuverl\u00e4ssiges Certificate Management zusammenspielen.","status":"draft","featured_media":21875},"verify":{"content_md5":"84d4c76f3185f21a5edec37071269293","title":"Let\u2019s Encrypt ACME: Zertifikate automatisieren und Erneuerungen sicher steuern","slug":"lets-encrypt-acme-zertifikate-automatisieren","excerpt":"ACME automatisiert Ausstellung und Erneuerung von TLS-Zertifikaten, ersetzt aber kein belastbares Betriebsmodell. Dieser Beitrag zeigt, wie Challenges, ARI, Zertifikatsprofile, Rechte, Verteilung und Monitoring f\u00fcr zuverl\u00e4ssiges Certificate Management zusammenspielen.","status":"draft","featured_media":21875},"row_number":1902,"created_at":"2026-10-19T12:00:05+00:00","editorial_policy":{"version":"2.1.6","max_repairs":4,"review_model_from_attempt":2},"updated_at":"2026-10-19T12:09:15+00:00","verified_at":"2026-10-19T12:09:02+00:00"},"_wh_make_research":"Recherchebriefing zum geplanten Fachartikel\n\nThema: Let\u2019s Encrypt ACME-Protokoll \u2013 neue Funktionen und Automatisierungsm\u00f6glichkeiten  \nRecherche-Stichtag: 19. Oktober 2026  \nZielumfang des sp\u00e4teren Artikels: 2.400\u20132.700 W\u00f6rter  \nZielkeywords: lets encrypt acme, ssl automation, certificate management\n\nLeserfrage und Artikelziel\n\nDer Artikel sollte die praktische Frage beantworten: Wie l\u00e4sst sich die Ausstellung, Erneuerung und Auslieferung von TLS-Zertifikaten mit Let\u2019s Encrypt \u00fcber ACME belastbar automatisieren \u2013 und welche neueren Protokollfunktionen ver\u00e4ndern die bisher \u00fcbliche Logik fester Verl\u00e4ngerungszeitpunkte?\n\nIm Mittelpunkt steht nicht die Ersteinrichtung eines einzelnen Zertifikats, sondern Certificate Management als Betriebsaufgabe: Validierung von Domains und IP-Adressen, Auswahl der passenden Challenge, planbare Erneuerung, sichere Rechtevergabe, Deployment auf einen oder mehrere Server sowie Beobachtbarkeit. Leser sollen anschlie\u00dfend beurteilen k\u00f6nnen, ob eine einfache HTTP-01-Automatisierung gen\u00fcgt, ob DNS-01 mit delegierter Challenge-Zone sinnvoll ist und wann ARI, Zertifikatsprofile oder kurzlebige Zertifikate in Betracht kommen.\n\nGesicherte technische Grundlage\n\nACME ist ein IETF-Standard f\u00fcr die automatisierte Verwaltung von X.509-Zertifikaten. Ein ACME-Client registriert beziehungsweise verwendet ein Konto, erstellt eine Order f\u00fcr einen oder mehrere Identifier, erf\u00fcllt f\u00fcr jeden erforderlichen Identifier eine Challenge und finalisiert die Order mit einer Certificate Signing Request. Die Nachrichten sind gegen Replay-Angriffe abgesichert; die Identit\u00e4t eines ACME-Kontos h\u00e4ngt am Kontoschl\u00fcssel. Ein Zertifikatsschl\u00fcssel und der Kontoschl\u00fcssel m\u00fcssen daher getrennte Schl\u00fcsselpaare sein. ([datatracker.ietf.org](https:\/\/datatracker.ietf.org\/doc\/html\/rfc8555\/?utm_source=openai))\n\nLet\u2019s Encrypt betreibt weiterhin den standardisierten ACME-v2-Endpunkt und einen separaten Staging-Endpunkt. F\u00fcr Entwicklung, Konfigurations\u00e4nderungen und Fehlersuche ist die Staging-Umgebung ein zentraler Praxisgrundsatz, weil ihre Limits h\u00f6her sind und keine produktiven Rate Limits verbraucht werden. Neue r\u00fcckw\u00e4rtskompatible Funktionen k\u00f6nnen am bestehenden ACME-Endpunkt erg\u00e4nzt werden; daraus folgt jedoch nicht, dass jeder installierte ACME-Client sie bereits beherrscht. Der sp\u00e4tere Artikel muss Serverf\u00e4higkeit, Standardstatus und konkrete Client-Unterst\u00fctzung stets sauber trennen. ([letsencrypt.org](https:\/\/letsencrypt.org\/docs\/acme-protocol-updates\/))\n\nWichtigste neue Funktion: ACME Renewal Information\n\nDie wichtigste Erweiterung ist ACME Renewal Information, kurz ARI, standardisiert als RFC 9773. Statt dass ein Client pauschal etwa eine feste Zahl von Tagen vor Ablauf erneuert, kann er beim ACME-Server ein empfohlenes Erneuerungsfenster f\u00fcr ein vorhandenes Zertifikat abfragen. Der Server kann damit Erneuerungen \u00fcber die Zeit verteilen und bei besonderen Ereignissen, etwa einer anstehenden Massenwiderrufung, ein fr\u00fcheres Fenster vorgeben. Der Client soll innerhalb des Fensters einen zuf\u00e4lligen Zeitpunkt w\u00e4hlen, statt alle Zertifikate unmittelbar zum Beginn des Zeitfensters zu erneuern. ([datatracker.ietf.org](https:\/\/datatracker.ietf.org\/doc\/html\/rfc9773))\n\nF\u00fcr Let\u2019s Encrypt hat ARI zus\u00e4tzlich eine operative Bedeutung: Eine \u00fcber ARI koordinierte Erneuerung kann von s\u00e4mtlichen Rate Limits ausgenommen sein, sofern die dokumentierten Voraussetzungen erf\u00fcllt sind. Dazu geh\u00f6rt unter anderem, dass der neue Auftrag mindestens einen Identifier des zu ersetzenden Zertifikats enth\u00e4lt und dieses Zertifikat nicht bereits mittels ARI ersetzt wurde. Das ist deutlich robuster als die \u00e4ltere Erkennung einer Erneuerung anhand derselben Identifier-Menge, die weiterhin einzelnen Limits unterliegt. Der Artikel sollte daher ARI als bevorzugte Strategie f\u00fcr gr\u00f6\u00dfere Best\u00e4nde und k\u00fcnftig k\u00fcrzere Laufzeiten darstellen, aber nicht behaupten, dass jeder Client oder jedes Hosting-Panel ARI unterst\u00fctzt. ([letsencrypt.org](https:\/\/letsencrypt.org\/docs\/rate-limits\/))\n\nRelevanter Kontext sind die bei Let\u2019s Encrypt verf\u00fcgbaren Zertifikatsprofile. Das klassische Profil ist der Default f\u00fcr Orders ohne Profilwahl und hat derzeit 90 Tage Laufzeit. Das Profil tlsserver hat 45 Tage Laufzeit, k\u00fcrzere Fristen f\u00fcr ausstehende Autorisierungen und Orders sowie maximal 25 DNS-Namen. Das Profil shortlived verwendet dieselben kurzen Ablauffristen und ist rund 160 Stunden g\u00fcltig; es unterst\u00fctzt DNS- und IP-Identifier. Profile sind kein allgemein stabiler Bestandteil jedes ACME-Clients: Let\u2019s Encrypt verweist ausdr\u00fccklich darauf, dass nicht alle Clients die Profilauswahl implementiert haben. ([letsencrypt.org](https:\/\/letsencrypt.org\/docs\/profiles\/))\n\nPraxisf\u00e4lle, die der sp\u00e4tere Artikel behandeln sollte\n\n1. Einzelne Website auf einem Webserver\n\nF\u00fcr eine klassische Website ist HTTP-01 meist die pragmatische L\u00f6sung. Der Client stellt unter \/.well-known\/acme-challenge\/ eine vom ACME-Server erwartete Ressource bereit; Let\u2019s Encrypt ruft sie \u00fcber Port 80 ab. HTTP-01 kann nicht f\u00fcr Wildcard-Zertifikate verwendet werden. Bei mehreren A- oder AAAA-Zielen muss die Challenge-Ressource auf allen tats\u00e4chlich erreichten Systemen verf\u00fcgbar sein, sonst entstehen schwer reproduzierbare Validierungsfehler. Weiterleitungen sind m\u00f6glich, aber nicht als Ersatz f\u00fcr korrekt erreichbaren Port 80 zu behandeln. ([letsencrypt.org](https:\/\/letsencrypt.org\/de\/docs\/challenge-types\/))\n\n2. Wildcard-Zertifikat und viele Subdomains\n\nWildcard-Zertifikate ben\u00f6tigen DNS-01. Der Client ver\u00f6ffentlicht daf\u00fcr einen TXT-Record unter _acme-challenge.<Domain>. Das eignet sich f\u00fcr dynamische Subdomains, Load Balancer und Systeme, bei denen kein zentraler HTTP-Endpunkt erreichbar ist. Die Automatisierung sollte aber nur mit einer DNS-API erfolgen. Zugangsdaten mit Vollzugriff auf die gesamte DNS-Zone auf dem Webserver vergr\u00f6\u00dfern das Schadenspotenzial erheblich. Empfehlenswert ist ein eng begrenztes Token, das nur die erforderlichen TXT-Records \u00e4ndern darf, oder die Delegation von _acme-challenge per CNAME beziehungsweise NS an eine gesonderte Zone. ([letsencrypt.org](https:\/\/letsencrypt.org\/de\/docs\/challenge-types\/))\n\n3. Reverse Proxy oder Hosting-Plattform ohne Port 80\n\nTLS-ALPN-01 validiert \u00fcber TLS auf Port 443 und ist vor allem f\u00fcr Entwickler TLS-terminierender Reverse Proxys und gr\u00f6\u00dfere Hosting-Anbieter relevant. F\u00fcr einen gew\u00f6hnlichen Webserver ist die Client-Unterst\u00fctzung begrenzter als bei HTTP-01. Die Challenge unterst\u00fctzt keine Wildcards, kann bei Let\u2019s Encrypt aber auch f\u00fcr IP-Adressen verwendet werden. Der Artikel sollte die Methode deshalb nicht als pauschal \u201ebesser\u201c, sondern als gezielte Alternative f\u00fcr Infrastruktur mit Kontrolle \u00fcber die TLS-Terminierung erkl\u00e4ren. ([letsencrypt.org](https:\/\/letsencrypt.org\/de\/docs\/challenge-types\/))\n\n4. Zertifikate f\u00fcr \u00f6ffentliche IP-Adressen\n\nLet\u2019s Encrypt unterst\u00fctzt IP-Identifier im shortlived-Profil. Daf\u00fcr kommen HTTP-01 und TLS-ALPN-01 in Frage; DNS-01 scheidet aus, weil keine DNS-basierte Validierung der IP stattfindet. Auch CAA kann f\u00fcr IP-Adressen nicht gepr\u00fcft werden. Der Anwendungsfall ist beispielsweise eine direkt \u00fcber IP erreichte Management- oder Appliance-Schnittstelle. Die kurze Laufzeit macht zuverl\u00e4ssige End-to-End-Automatisierung zwingend: Zertifikat beantragen, sicher verteilen, Dienst neu laden oder kontrolliert rotieren und danach die tats\u00e4chliche Auslieferung \u00fcberwachen. ([letsencrypt.org](https:\/\/letsencrypt.org\/docs\/profiles\/))\n\n5. Mehrere Webserver oder Container-Plattformen\n\nHier sollte der Artikel Certificate Management als Lieferkette erkl\u00e4ren: Ein zentraler ACME-Worker l\u00f6st die Challenge, speichert Zertifikat und privaten Schl\u00fcssel gesch\u00fctzt, verteilt die Artefakte an die TLS-Endpunkte und l\u00f6st nur nach erfolgreicher Aktualisierung einen Reload aus. Bei Certbot ist ein Deploy Hook f\u00fcr den letzten Schritt passend: Er l\u00e4uft nur nach einer erfolgreichen Erneuerung. Dagegen ist die R\u00fcckgabe von certbot renew allein kein verl\u00e4sslicher Indikator f\u00fcr eine tats\u00e4chlich erfolgte Verl\u00e4ngerung, denn auch \u201enichts zu erneuern\u201c f\u00fchrt zu Exit-Status 0. ([eff-certbot.readthedocs.io](https:\/\/eff-certbot.readthedocs.io\/en\/stable\/using.html?highlight=cron))\n\nSichere Beispielbausteine f\u00fcr den sp\u00e4teren Artikel\n\nTerminalbefehl, nur als Muster f\u00fcr eine regelm\u00e4\u00dfig gestartete Pr\u00fcfung mit einem Deployment-Skript:\n\ncertbot renew --deploy-hook \/usr\/local\/sbin\/reload-tls-services\n\nDas Beispiel darf nur erkl\u00e4ren, dass der Pfad ein lokal gepr\u00fcftes, ausf\u00fchrbares Skript sein muss. Es darf keine Zugangsdaten enthalten und nicht suggerieren, dass ein Dienstname, ein Scheduler oder eine Linux-Distribution universell g\u00fcltig w\u00e4re. Der Artikel sollte erg\u00e4nzen: Das Skript muss idempotent sein, Fehler protokollieren und einen Reload nur f\u00fcr Dienste ausf\u00fchren, die das erneuerte Zertifikat tats\u00e4chlich verwenden. ([eff-certbot.readthedocs.io](https:\/\/eff-certbot.readthedocs.io\/en\/stable\/using.html?highlight=cron))\n\nDateikonfiguration, illustratives CAA-Beispiel:\n\nexample.org. CAA 0 issue \"letsencrypt.org;validationmethods=dns-01\"\n\nDieses Beispiel beschr\u00e4nkt Let\u2019s Encrypt f\u00fcr die Domain auf DNS-01. Es ist nur geeignet, wenn DNS-01 wirklich automatisiert und ausfallsicher eingerichtet ist; andernfalls blockiert die CAA-Policy die beabsichtigte Ausstellung \u00fcber HTTP-01 oder TLS-ALPN-01. CAA kann zus\u00e4tzlich eine bestimmte ACME-Account-URI einschr\u00e4nken und damit die Bindung an den vorgesehenen Kontoschl\u00fcssel verst\u00e4rken. ([letsencrypt.org](https:\/\/letsencrypt.org\/docs\/caa\/))\n\nEntscheidungsalternativen und Grenzen\n\nDer Hauptvergleich sollte nicht \u201eCertbot gegen andere Clients\u201c lauten, weil die Client-F\u00e4higkeiten versionsabh\u00e4ngig sind. Sinnvoller ist eine Entscheidungsmatrix nach Validierungsmethode und Betriebsmodell: HTTP-01 f\u00fcr einfach erreichbare Websites; DNS-01 f\u00fcr Wildcards, mehrere Standorte und kontrollierte DNS-Automatisierung; TLS-ALPN-01 f\u00fcr spezialisierte TLS-Infrastruktur; shortlived nur bei nachweislich belastbarer, \u00fcberwachter Automatisierung.\n\nKurze Zertifikate verringern das Zeitfenster bei kompromittierten privaten Schl\u00fcsseln, erh\u00f6hen aber den betrieblichen Takt massiv. Das shortlived-Profil ist daher keine Optimierung f\u00fcr eine manuell gepflegte Website. Au\u00dferdem unterscheiden sich Profile in Laufzeit, maximaler Anzahl von Namen, unterst\u00fctzten Identifiern, Common Name und Fristen der ACME-Objekte. Anwendungen oder Inventarisierungswerkzeuge d\u00fcrfen beispielsweise nicht stillschweigend voraussetzen, dass jedes Zertifikat einen Common Name enth\u00e4lt. ([letsencrypt.org](https:\/\/letsencrypt.org\/docs\/profiles\/))\n\nRate Limits sind kein Detail f\u00fcr einen Kasten am Ende, sondern Teil des Automatisierungsdesigns. Insbesondere manuell oder t\u00e4glich erzwungene Erneuerungen k\u00f6nnen Limits rasch ausl\u00f6sen. Wiederholte fehlgeschlagene Autorisierungen entstehen h\u00e4ufig durch Firewalls, falsches Routing oder fehlende Challenge-Dateien bei HTTP-01 und TLS-ALPN-01 sowie durch Tippfehler, nicht propagierte TXT-Records oder mangelhafte DNS-Delegation bei DNS-01. Fehlversuche zuerst gegen Staging zu analysieren ist die sichere Vorgehensweise. ([letsencrypt.org](https:\/\/letsencrypt.org\/docs\/rate-limits\/))\n\nTypische Fehler, die explizit behandelt werden sollten\n\nEin h\u00e4ufiger Fehler ist, alle Zertifikate zu einem festen Zeitpunkt oder mit force-renewal zu erneuern. Das erzeugt unn\u00f6tige Orders und ignoriert ARI-Fenster. Ebenfalls problematisch ist die \u00c4nderung der SAN-Liste bei der vermeintlichen Erneuerung: Ein Auftrag mit nur einer Teilmenge der urspr\u00fcnglichen Domains ersetzt nicht zwingend das bestehende Zertifikat, sondern kann ein separates Zertifikat erzeugen. ([eff-certbot.readthedocs.io](https:\/\/eff-certbot.readthedocs.io\/en\/stable\/using.html?highlight=cron))\n\nWeitere Fehler sind fehlendes Monitoring nach der Ausstellung, ungesicherte DNS-API-Tokens, nicht synchronisierte Challenge-Dateien im Cluster, ein nicht erneuerter Load Balancer trotz erfolgreich erneuerter Datei sowie die Verwechslung von ACME-Kontoschl\u00fcssel, Zertifikatsschl\u00fcssel und DNS-API-Berechtigung. Diese Komponenten sollten getrennt verwaltet, minimal berechtigt, gesichert abgelegt und rotierbar geplant werden. ([datatracker.ietf.org](https:\/\/datatracker.ietf.org\/doc\/rfc8555\/?utm_source=openai))\n\nGeeignete Tabellen f\u00fcr den sp\u00e4teren Artikel\n\nTabelle 1: Challenge-Vergleich mit den Spalten Challenge, Erreichbarkeitsvoraussetzung, Wildcard-f\u00e4hig, IP-f\u00e4hig, typische Einsatzf\u00e4lle, kritische Betriebsrisiken. Zeilen: HTTP-01, DNS-01, TLS-ALPN-01.\n\nTabelle 2: Let\u2019s-Encrypt-Profile mit Profilname, Laufzeit, Identifier-Typen, maximale Namen, Frist f\u00fcr pending Authorization, Order-Laufzeit, typische Eignung. Die Daten m\u00fcssen vor Ver\u00f6ffentlichung erneut gegen die aktuelle Profil-Dokumentation gepr\u00fcft werden, da insbesondere Laufzeiten und verf\u00fcgbare Profile \u00c4nderungen unterliegen k\u00f6nnen. ([letsencrypt.org](https:\/\/letsencrypt.org\/docs\/profiles\/))\n\nTabelle 3: Automatisierungskette mit Schritt, Verantwortlichkeit, Sicherheitskontrolle und Monitoring-Signal: Order erzeugen, Challenge bereitstellen, Zertifikat abrufen, Artefakte verteilen, Dienst reloaden, externe TLS-Pr\u00fcfung, Fehleralarm.\n\nEin Chart ist nicht sinnvoll, solange keine belastbaren eigenen Betriebsdaten zu Anzahl, Laufzeit, Fehlerquote oder Verteilung der Erneuerungszeitpunkte vorliegen. Ein Rechenbeispiel kann dagegen verdeutlichen: Bei einem Bestand von 1.000 Zertifikaten bedeuten rund 160 Stunden Laufzeit theoretisch eine deutlich h\u00f6here Erneuerungsfrequenz als bei 90 Tagen; dies ist eine mathematische Einordnung, keine Messung zur tats\u00e4chlichen Last.","_wh_make_sources":{"S1":{"id":"S1","url":"https:\/\/datatracker.ietf.org\/doc\/html\/rfc8555\/?utm_source=openai","title":"RFC 8555 - Automatic Certificate Management Environment (ACME)"},"S2":{"id":"S2","url":"https:\/\/letsencrypt.org\/docs\/acme-protocol-updates\/","title":"ACME Protocol Updates - Let's Encrypt"},"S3":{"id":"S3","url":"https:\/\/datatracker.ietf.org\/doc\/html\/rfc9773","title":"RFC 9773 - ACME Renewal Information (ARI) Extension"},"S4":{"id":"S4","url":"https:\/\/letsencrypt.org\/docs\/rate-limits\/","title":"Rate Limits - Let's Encrypt"},"S5":{"id":"S5","url":"https:\/\/letsencrypt.org\/docs\/profiles\/","title":"Profiles - Let's Encrypt"},"S6":{"id":"S6","url":"https:\/\/letsencrypt.org\/de\/docs\/challenge-types\/","title":"Challenge Typen - Let's Encrypt - Freie SSL\/TLS Zertifikate"},"S7":{"id":"S7","url":"https:\/\/eff-certbot.readthedocs.io\/en\/stable\/using.html?highlight=cron","title":"User Guide \u2014 Certbot 5.8.0 documentation"},"S8":{"id":"S8","url":"https:\/\/letsencrypt.org\/docs\/caa\/","title":"Certification Authority Authorization (CAA) - Let's Encrypt"},"S9":{"id":"S9","url":"https:\/\/datatracker.ietf.org\/doc\/rfc8555\/?utm_source=openai","title":"RFC 8555 - Automatic Certificate Management Environment (ACME)"}},"_wh_make_usage":{"research":{"input_tokens":30725,"output_tokens":3556,"response_id":"resp_01da542b1775b05c016ad6064a63ac87d2a6822b963232515c","model":"gpt-5.6-terra","search_calls":3},"plan_1456f57dd82efc9ec22b1e3b2cf4d9bd":{"input_tokens":5932,"output_tokens":1445,"response_id":"resp_070a2a40c05c2b15016ad6067b155887d2926be4dc08c70dfe","model":"gpt-5.6-terra","search_calls":0},"part1_f987880e9ea359695bea873fed8a2f2b":{"input_tokens":8549,"output_tokens":2182,"response_id":"resp_0cbb1f2451e650d8016ad6068d2e9c87d282d9eaca019c17e2","model":"gpt-5.6-terra","search_calls":0},"part2_203485488c28f87b9b77bb73d11beec2":{"input_tokens":8616,"output_tokens":2251,"response_id":"resp_05c0e83711d92386016ad606a7697887d2b61756ac2a7bbd9a","model":"gpt-5.6-terra","search_calls":0},"part3_78fa90352b0ea29699b2df44fa980419":{"input_tokens":8642,"output_tokens":2524,"response_id":"resp_071ad564eb6a076e016ad606c1002487d2b3c087e4f89f1fa7","model":"gpt-5.6-terra","search_calls":0},"package_95861d4a21d7d9bff4ef9e73571e623d":{"input_tokens":14791,"output_tokens":1793,"response_id":"resp_0c0601249ce31e88016ad606ddd99087d294772bc98a926568","model":"gpt-5.6-terra","search_calls":0},"review_dfd24724f1aa48387729078798fcb594":{"input_tokens":54196,"output_tokens":1774,"response_id":"resp_084784c32066b7bf016ad606f7cf5c87d2b9574d1517a03d3e","model":"gpt-5.6-sol","search_calls":4},"repair_315900d0d6b404449b7a82c9d95fad3f":{"input_tokens":43928,"output_tokens":3113,"response_id":"resp_00830a71c7afdc46016ad6071b26ec87d282254f914765904c","model":"gpt-5.6-terra","search_calls":3},"review_8028563b505da3382239ee7770155805":{"input_tokens":45797,"output_tokens":1431,"response_id":"resp_01211d1d9d1dcfa1016ad60739732087d2b2ebb627f3510eca","model":"gpt-5.6-sol","search_calls":3},"repair_4c7cdfe2be381683102a3344d408a8cf":{"input_tokens":33184,"output_tokens":4454,"response_id":"resp_07047979e51f2710016ad60755ce1487d2b61074174363835d","model":"gpt-5.6-sol","search_calls":1},"review_20368bd74aebdd320adb07ce52961cd0":{"input_tokens":54683,"output_tokens":1431,"response_id":"resp_02a36b042f75fe39016ad6077f904487d29d5548dbcab3125f","model":"gpt-5.6-sol","search_calls":4},"repair_1208aaddc030dfd55dfd25019d850956":{"input_tokens":43201,"output_tokens":2023,"response_id":"resp_0a12f760e8a876f1016ad6079dc6a087d29b5f0365a69d3a3f","model":"gpt-5.6-sol","search_calls":2},"review_dd7c9485e9ac977fc48462c2a4d4f0ef":{"input_tokens":45104,"output_tokens":1463,"response_id":"resp_08c4179494d87726016ad607b84da087d2b817b3b5a98da551","model":"gpt-5.6-sol","search_calls":3},"repair_66b78b8694a913738c72e5c312198891":{"input_tokens":40100,"output_tokens":3065,"response_id":"resp_0b127b44a5807f24016ad607d5419c87d28763ecf9eb31c0ea","model":"gpt-5.6-sol","search_calls":2},"review_8b15d1c21af57f9ba00ebe6324f111f9":{"input_tokens":45265,"output_tokens":935,"response_id":"resp_007cfed8decbe0a7016ad607f717c887d29c6ecdc081bc90af","model":"gpt-5.6-sol","search_calls":3},"image_hero":{"input_tokens":212,"output_tokens":1372,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0},"image_detail1":{"input_tokens":209,"output_tokens":1372,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0},"image_detail2":{"input_tokens":214,"output_tokens":1372,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0}},"_wh_make_last_error":"","_wh_make_write_intent":{"before":{"content_md5":"73c4582017bc77456f780b8c191e2edd","title":"Let\u2019s Encrypt ACME: Zertifikate automatisieren und Erneuerungen sicher steuern","slug":"lets-encrypt-acme-zertifikate-automatisieren","excerpt":"ACME automatisiert Ausstellung und Erneuerung von TLS-Zertifikaten, ersetzt aber kein belastbares Betriebsmodell. Dieser Beitrag zeigt, wie Challenges, ARI, Zertifikatsprofile, Rechte, Verteilung und Monitoring f\u00fcr zuverl\u00e4ssiges Certificate Management zusammenspielen.","status":"draft","featured_media":0},"expected":{"content_md5":"84d4c76f3185f21a5edec37071269293","title":"Let\u2019s Encrypt ACME: Zertifikate automatisieren und Erneuerungen sicher steuern","slug":"lets-encrypt-acme-zertifikate-automatisieren","excerpt":"ACME automatisiert Ausstellung und Erneuerung von TLS-Zertifikaten, ersetzt aber kein belastbares Betriebsmodell. Dieser Beitrag zeigt, wie Challenges, ARI, Zertifikatsprofile, Rechte, Verteilung und Monitoring f\u00fcr zuverl\u00e4ssiges Certificate Management zusammenspielen.","status":"draft","featured_media":21875},"at":"2026-10-19T12:08:50+00:00"},"_wh_make_design_version":"2.1.18","rank_math_title":"Let\u2019s Encrypt ACME richtig automatisieren","_wh_make_doc":{"title":"Let\u2019s Encrypt ACME: Zertifikate automatisieren und Erneuerungen sicher steuern","slug":"lets-encrypt-acme-zertifikate-automatisieren","excerpt":"ACME automatisiert Ausstellung und Erneuerung von TLS-Zertifikaten, ersetzt aber kein belastbares Betriebsmodell. Dieser Beitrag zeigt, wie Challenges, ARI, Zertifikatsprofile, Rechte, Verteilung und Monitoring f\u00fcr zuverl\u00e4ssiges Certificate Management zusammenspielen.","seo":{"title":"Let\u2019s Encrypt ACME richtig automatisieren","description":"ACME, ARI und Let\u2019s-Encrypt-Profile verst\u00e4ndlich einordnen: Challenges w\u00e4hlen, TLS-Zertifikate sicher erneuern, verteilen und \u00fcberwachen.","focus_keyword":"Let's Encrypt ACME"},"lead":[{"kind":"text","text":"Mit ","ref":""},{"kind":"strong","text":"Let\u2019s Encrypt ACME","ref":""},{"kind":"text","text":" lassen sich TLS-Zertifikate nicht nur beantragen, sondern als kontrollierte Lieferkette verwalten: von der Domainvalidierung \u00fcber die Erneuerung bis zur \u00fcberpr\u00fcften Auslieferung am TLS-Endpunkt. Entscheidend sind die passende Challenge, getrennte Schl\u00fcssel und minimale DNS-Rechte. ARI ersetzt starre Verl\u00e4ngerungstermine durch empfohlene Zeitfenster; kurzlebige Profile setzen dagegen eine l\u00fcckenlos \u00fcberwachte Automatisierung voraus.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S3"},{"kind":"citation","text":"","ref":"S5"}],"images":{"hero":{"prompt":"Fotorealistisches ungestelltes Smartphonefoto als redaktionelle Auftaktszene, menschenleerer kleiner Technikschrank in einem gebrauchten B\u00fcroraum bei normalem Deckenlicht. Im Vordergrund steht ein kompakter Router oder Reverse-Proxy-Appliance auf einem Metallregal, daran ordentliche kurze Netzwerkkabel und ein angeschlossenes, geschlossenes Schlossfach f\u00fcr Hardwareunterlagen; daneben ein unbeschrifteter USB-Sicherheitsstick und ein gefalteter Papiernotizzettel ohne lesbare Schrift. Im Hintergrund unscharf, aber erkennbar, ein einzelner kleiner Netzwerkswitch mit Statuslichtern, keine Bildschirme, keine Logos. Nat\u00fcrliche Farben, leichte Smartphonek\u00f6rnung, reale Gebrauchsspuren, kein Hochglanz- oder Serverraumlook.","alt":"Kompakte Netzwerkhardware in einem kleinen Technikschrank f\u00fcr automatisierte TLS-Auslieferung","caption":"KI-generiertes Symbolbild einer technischen Umgebung f\u00fcr automatisierte Zertifikatsauslieferung.","filename_base":"lets-encrypt-acme-automatisierung","section_id":"","after_block":0},"detail1":{"prompt":"Fotorealistisches ungestelltes Smartphonefoto einer praktischen DNS-01-Arbeitssituation in einem normalen, leicht gebrauchten Homeoffice bei Tageslicht. Eine kr\u00e4ftig gebaute erwachsene Person um 50 mit dunklem Hautton, grau meliertem kurzem Haar, ovalem Gesicht und dezenter schwarzer Brille sitzt seitlich an einem Holztisch vor einem aufgeklappten Laptop; das Gesicht blickt konzentriert auf den Bildschirm, dessen Oberfl\u00e4che aus Perspektive und Belichtung nicht lesbar ist. Eine Hand liegt neben einem kleinen Notizbuch, die andere bedient das Touchpad. Daneben ein einfacher Heimrouter und eine Zimmerpflanze. Nat\u00fcrliche Hautstruktur, sachliche Stimmung, leicht unperfekter Bildausschnitt, keine Logos oder lesbaren Texte.","alt":"Person pr\u00fcft an einem Laptop die DNS-Automatisierung f\u00fcr eine ACME-Challenge","caption":"KI-generiertes Symbolbild zur kontrollierten DNS-01-Automatisierung mit begrenzten Zugriffsrechten.","filename_base":"dns-01-acme-challenge-automation","section_id":"challenge-matrix-und-dns-delegation","after_block":3},"detail2":{"prompt":"Fotorealistisches ungestelltes Smartphonefoto als nahe technische Detailaufnahme ohne Menschen in einem kleinen Netzwerkraum mit vorhandenem warmwei\u00dfem Licht. Zu sehen ist die Front eines gebrauchten 19-Zoll-Racks mit einem kompakten Load-Balancer oder Reverse-Proxy-Ger\u00e4t, sauber beschriftungsfreien Patchkabeln und wenigen plausiblen Status-LEDs. Im Vordergrund liegt auf einem ausziehbaren Rackboden ein verschlossener kleiner Schl\u00fcsselbeh\u00e4lter neben einem neutralen Wartungsprotokollheft, dessen Seiten keine lesbaren Zeichen zeigen. Perspektive leicht schr\u00e4g und alltagsnah, sichtbare Staubspuren und Kratzer am Metall, nat\u00fcrliche Farben und normale Sch\u00e4rfentiefe; keine Herstellerlogos, keine Bildschirme, keine leuchtenden Datenlinien.","alt":"Reverse-Proxy-Hardware im Rack als Ziel einer automatisierten Zertifikatsverteilung","caption":"KI-generiertes Symbolbild f\u00fcr Verteilung, Reload und externe Pr\u00fcfung erneuerter TLS-Zertifikate.","filename_base":"tls-zertifikat-verteilung-reverse-proxy","section_id":"erneuerung-und-verteilung-automatisieren","after_block":3}},"chart":null,"social":{"facebook":"Let\u2019s Encrypt ACME ist mehr als ein Zertifikatsbefehl: So planen Sie Challenges, ARI-Erneuerungen, sichere DNS-Rechte und die Verteilung an TLS-Endpunkte.","instagram":"TLS-Zertifikate zuverl\u00e4ssig automatisieren: Challenge w\u00e4hlen, Schl\u00fcssel trennen, ARI-Fenster beachten und die echte Auslieferung \u00fcberwachen.","tiktok":"ACME-Automatisierung in der Praxis: Warum ein erfolgreiches Renewal noch nicht beweist, dass der \u00f6ffentliche TLS-Endpunkt das neue Zertifikat ausliefert.","youtube":"Let\u2019s Encrypt ACME erkl\u00e4rt: HTTP-01, DNS-01, TLS-ALPN-01, ARI und sichere Zertifikatsverteilung im Betriebsalltag.","threads":"Starre Erneuerungstermine sind f\u00fcr gr\u00f6\u00dfere Zertifikatsbest\u00e4nde unpraktisch. ARI liefert ein empfohlenes Fenster \u2013 sofern der eingesetzte Client die Erweiterung unterst\u00fctzt.","x":"Let\u2019s Encrypt ACME automatisiert Zertifikate erst dann belastbar, wenn Challenge, Schl\u00fcsselrechte, Verteilung, Reload und externe TLS-Pr\u00fcfung zusammenpassen. ARI hilft, Erneuerungen \u00fcber Zeitfenster zu steuern \u2013 bei passender Client-Unterst\u00fctzung."},"avatar_script":"TLS-Zertifikate sind kein einmaliger Einrichtungsschritt. Entscheidend ist die gesamte Kette: Der ACME-Client muss Domains oder IP-Adressen korrekt validieren, Schl\u00fcssel getrennt verwalten, Zertifikate sicher verteilen und den Dienst erst nach erfolgreicher Aktualisierung neu laden. F\u00fcr einfache Websites passt oft HTTP-01, f\u00fcr Wildcards und verteilte Endpunkte DNS-01 mit eng begrenzten Berechtigungen. ARI kann starre Verl\u00e4ngerungstermine durch ein empfohlenes Erneuerungsfenster ersetzen. Besonders kurze Laufzeiten sind aber nur sinnvoll, wenn Monitoring auch au\u00dferhalb des ACME-Workers pr\u00fcft, welches Zertifikat der \u00f6ffentlich erreichbare Endpunkt tats\u00e4chlich ausliefert.","version_note":"Recherche- und Dokumentationsstand: 19. Oktober 2026. Angaben zu ACME-Erweiterungen, Let\u2019s-Encrypt-Profilen und Client-Unterst\u00fctzung k\u00f6nnen sich \u00e4ndern; insbesondere die F\u00e4higkeit eines konkreten Clients oder Hosting-Panels ist getrennt von der Serververf\u00fcgbarkeit zu pr\u00fcfen.","sections":[{"id":"acme-ablauf-und-schluesselrollen","heading":"ACME-Ablauf und getrennte Schl\u00fcsselrollen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"ACME standardisiert die Kommunikation zwischen einem Client und der Zertifizierungsstelle, nicht die gesamte Betriebsumgebung. Der Client verwendet zun\u00e4chst ein ACME-Konto und legt anschlie\u00dfend eine Order f\u00fcr einen oder mehrere Domainnamen an. F\u00fcr jeden Identifier verlangt der Server eine Autorisierung. Erst wenn diese erfolgreich ist, kann der Client die Order mit einer Certificate Signing Request, kurz CSR, finalisieren und das ausgestellte Zertifikat abrufen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"list","ordered":true,"items":["Kontoschl\u00fcssel erzeugen oder vorhandenes ACME-Konto verwenden und die Order anlegen.","F\u00fcr jeden angeforderten Identifier die vorgegebene Challenge bereitstellen und die Autorisierung abwarten.","Ein separates Schl\u00fcsselpaar f\u00fcr das Zertifikat erzeugen, daraus die CSR bilden und die Order finalisieren. Der \u00f6ffentliche Schl\u00fcssel in der CSR darf nicht mit dem Kontoschl\u00fcssel \u00fcbereinstimmen, der den Finalisierungsauftrag authentisiert.","Zertifikat und Zertifikatskette abrufen, gesch\u00fctzt ablegen und an die vorgesehenen TLS-Endpunkte verteilen."],"source_ids":["S1"]},{"type":"paragraph","runs":[{"kind":"text","text":"Der ","ref":""},{"kind":"strong","text":"ACME-Kontoschl\u00fcssel","ref":""},{"kind":"text","text":" authentisiert den Client f\u00fcr das Konto gegen\u00fcber dem ACME-Server und signiert die Protokollnachrichten. Der in der CSR verwendete private Schl\u00fcssel geh\u00f6rt dagegen zur sp\u00e4teren TLS-Identit\u00e4t. RFC 8555 verlangt zwei unterschiedliche Schl\u00fcsselklassen: Der \u00f6ffentliche Schl\u00fcssel der CSR darf nicht einem bekannten Kontoschl\u00fcssel entsprechen und insbesondere nicht mit dem Kontoschl\u00fcssel identisch sein, der den Finalisierungsauftrag authentisiert. Client und Server m\u00fcssen diese Trennung pr\u00fcfen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei DNS-01 kommt eine dritte sensible Komponente hinzu: die Berechtigung f\u00fcr die DNS-API. Let\u2019s Encrypt weist darauf hin, dass vollst\u00e4ndige DNS-API-Zugangsdaten auf einem Webserver die Folgen eines Angriffs deutlich vergr\u00f6\u00dfern. Als betriebliche Sicherheitsma\u00dfnahme sollte das Token deshalb m\u00f6glichst nur die ben\u00f6tigten Challenge-Records \u00e4ndern d\u00fcrfen; alternativ kann die DNS-Validierung auf einem getrennten System erfolgen.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Kontoschl\u00fcssel, Zertifikatsschl\u00fcssel und DNS-Zugang bilden unterschiedliche Vertrauensbereiche. F\u00fcr Konto und Zertifikat verschiedene Schl\u00fcsselpaare zu verwenden, ist eine Protokollanforderung; ihre getrennte Ablage, eng begrenzte Zugriffsrechte und unabh\u00e4ngige Rotationsprozesse sind dar\u00fcber hinaus wichtige betriebliche Ma\u00dfnahmen. So muss ein kompromittiertes DNS-Token weder Zugriff auf den privaten Zertifikatsschl\u00fcssel noch auf das ACME-Konto bedeuten.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Automatisierung beseitigt keine fehlerhaften Voraussetzungen. Ein nicht erreichbarer Port, falsches Routing, eine unpassende DNS-Delegation oder zu weit reichende Zugriffsrechte bleiben Betriebsprobleme, auch wenn die Order-Erstellung automatisiert ist. ACME beschleunigt den wiederholbaren Ablauf; ein Rechtekonzept, die vorgeschriebene Trennung von Konto- und Zertifikatsschl\u00fcssel, sichere Ablage sowie die Kontrolle der tats\u00e4chlich ausgelieferten Zertifikate m\u00fcssen Betreiber in ihrer Umgebung zuverl\u00e4ssig umsetzen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"challenges-nach-infrastruktur-auswaehlen","heading":"Die passende Challenge f\u00fcr die Infrastruktur","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Challenge bestimmt, wie eine Zertifizierungsstelle die Kontrolle \u00fcber einen Identifier pr\u00fcft. Sie sollte daher aus Netzweg, DNS-Verwaltung und TLS-Terminierung abgeleitet werden, nicht aus einer pauschalen Pr\u00e4ferenz f\u00fcr ein Client-Werkzeug. HTTP-01, DNS-01 und TLS-ALPN-01 belegen unterschiedliche Arten der Kontrolle und stellen entsprechend andere Anforderungen an Infrastruktur und Berechtigungen.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr eine einzelne, \u00f6ffentlich erreichbare Website ist ","ref":""},{"kind":"strong","text":"HTTP-01","ref":""},{"kind":"text","text":" meist der direkteste Weg. Der Client stellt eine Ressource unter ","ref":""},{"kind":"code","text":"\/.well-known\/acme-challenge\/","ref":""},{"kind":"text","text":" bereit, die Let\u2019s Encrypt \u00fcber Port 80 abruft. Zeigt eine Domain auf mehrere A- oder AAAA-Ziele, muss diese Ressource auf allen Systemen erreichbar sein, die der Validierungsabruf treffen kann. Andernfalls entsteht ein nur gelegentlich auftretender Validierungsfehler.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Wildcard-Zertifikate f\u00fcr ","ref":""},{"kind":"code","text":"*.example.org","ref":""},{"kind":"text","text":" erfordern dagegen zwingend ","ref":""},{"kind":"strong","text":"DNS-01","ref":""},{"kind":"text","text":". Der Client ver\u00f6ffentlicht daf\u00fcr einen TXT-Record unter ","ref":""},{"kind":"code","text":"_acme-challenge.example.org","ref":""},{"kind":"text","text":". Das passt zu vielen dynamischen Subdomains, verteilten Webservern oder einem Load Balancer, weil keine einzelne HTTP-Instanz die Validierungsdatei ausliefern muss. Voraussetzung ist jedoch eine verl\u00e4ssliche, automatisierbare DNS-\u00c4nderung.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein Reverse Proxy ohne nutzbaren Port 80 kann ","ref":""},{"kind":"strong","text":"TLS-ALPN-01","ref":""},{"kind":"text","text":" einsetzen, sofern er die TLS-Terminierung auf Port 443 kontrolliert und der verwendete Client diese Challenge unterst\u00fctzt. Die Validierung erfolgt \u00fcber eine spezielle TLS-Verbindung, nicht \u00fcber eine normale Webdatei. Das Verfahren eignet sich damit besonders f\u00fcr spezialisierte Proxy- oder Hosting-Infrastruktur, aber nicht als allgemeiner Ersatz f\u00fcr HTTP-01. Wildcards werden auch hier nicht unterst\u00fctzt.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Keine Methode ist generell \u00fcberlegen: HTTP-01 reduziert bei einer einfachen Website den DNS-Zugriff, DNS-01 erm\u00f6glicht Wildcards und entkoppelt die Validierung vom Webpfad, TLS-ALPN-01 nutzt gezielt vorhandene TLS-Kontrolle. Entscheidend ist, dass die gew\u00e4hlte Challenge unter realen Failover-, IPv4- und IPv6-Pfaden funktioniert und ihre Berechtigungen zum jeweiligen Betriebsmodell passen.","ref":""},{"kind":"citation","text":"","ref":"S6"}]}]},{"id":"ari-profile-und-kurzlebige-zertifikate","heading":"ARI, Profile und k\u00fcrzere Laufzeiten","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Mit ","ref":""},{"kind":"strong","text":"ACME Renewal Information","ref":""},{"kind":"text","text":" (ARI) verschiebt sich die Erneuerungslogik von einem lokal festgelegten Stichtag zu einem vom ACME-Server empfohlenen Zeitfenster. Der Client fragt diese Information f\u00fcr ein vorhandenes Zertifikat ab und w\u00e4hlt innerhalb des Fensters einen zuf\u00e4lligen Zeitpunkt. Dadurch k\u00f6nnen Erneuerungen zeitlich verteilt und bei besonderen Ereignissen gezielt vorgezogen werden.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"ARI ist eine standardisierte Erweiterung, aber keine automatische Eigenschaft jedes installierten Clients oder Hosting-Panels. Let\u2019s Encrypt kann neue r\u00fcckw\u00e4rtskompatible ACME-Funktionen am bestehenden Endpunkt anbieten; ob eine konkrete Installation sie nutzt, h\u00e4ngt von deren Version und Implementierung ab. F\u00fcr gr\u00f6\u00dfere Best\u00e4nde ist daher zu pr\u00fcfen, ob der Client ARI abfragt, das Zeitfenster respektiert und Erneuerungen nicht wieder synchronisiert.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Let\u2019s Encrypt ordnet Orders au\u00dferdem Zertifikatsprofilen zu. Ohne ausdr\u00fcckliche Profilwahl ist das klassische Profil der Standard und hat derzeit 90 Tage Laufzeit. Das Profil ","ref":""},{"kind":"code","text":"tlsserver","ref":""},{"kind":"text","text":" hat 45 Tage Laufzeit, k\u00fcrzere Fristen f\u00fcr offene Autorisierungen und Orders sowie h\u00f6chstens 25 DNS-Namen. ","ref":""},{"kind":"code","text":"shortlived","ref":""},{"kind":"text","text":" verwendet ebenfalls kurze Objektfristen, ist rund 160 Stunden g\u00fcltig und unterst\u00fctzt DNS- sowie IP-Identifier.","ref":""},{"kind":"citation","text":"","ref":"S5"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Profilauswahl setzt ebenfalls Client-Unterst\u00fctzung voraus; sie sollte nicht allein aus der Serverdokumentation abgeleitet werden. Profile unterscheiden sich neben Laufzeit und Identifiern auch in weiteren Eigenschaften. Anwendungen und Inventarisierungswerkzeuge d\u00fcrfen daher weder einen einheitlichen Ablauf noch das Vorhandensein eines Common Name in jedem Zertifikat stillschweigend voraussetzen.","ref":""},{"kind":"citation","text":"","ref":"S5"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Rechnerisch liegen zwischen 90 Tagen und rund 160 Stunden etwa Faktor 13,5 in der Laufzeit. Daraus folgt keine gemessene Last, aber eine klare Planungsfolge: Jede St\u00f6rung bei Bestellung, Verteilung oder Reload wird bei ","ref":""},{"kind":"strong","text":"kurzlebigen Zertifikaten","ref":""},{"kind":"text","text":" viel fr\u00fcher kritisch. Sie sind nur f\u00fcr Systeme sinnvoll, deren vollst\u00e4ndige Lieferkette \u00fcberwacht ist und deren Erneuerung nicht von manuellen Eingriffen abh\u00e4ngt. F\u00fcr ARI-koordinierte Erneuerungen gelten bei Let\u2019s Encrypt unter dokumentierten Voraussetzungen besondere Regeln zu Rate Limits.","ref":""},{"kind":"citation","text":"","ref":"S4"}]}]},{"id":"challenge-matrix-und-dns-delegation","heading":"Challenge-Matrix und sichere DNS-Delegation","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Wahl der Challenge folgt der erreichbaren Infrastruktur, nicht einer allgemeinen Rangfolge. HTTP-01 verlangt eine \u00f6ffentlich erreichbare Antwort \u00fcber Port 80, DNS-01 einen kontrollierbaren TXT-Eintrag und TLS-ALPN-01 die Kontrolle \u00fcber die TLS-Terminierung auf Port 443. Wildcard-Namen sind ausschlie\u00dflich mit DNS-01 validierbar. ","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"table","caption":"ACME-Challenges nach Infrastruktur und Betriebsrisiko","headers":["Challenge","Voraussetzung","Wildcard \/ IP","Typische Nutzung","Wesentliches Risiko"],"rows":[["HTTP-01","Port 80 und Bereitstellung der Challenge-Datei","Wildcard: nein; IP: m\u00f6glich","Einzelne \u00f6ffentlich erreichbare Website","Bei mehreren A- oder AAAA-Zielen fehlt die Datei auf einem erreichten Ziel"],["DNS-01","\u00c4nderung des TXT-Records unter _acme-challenge","Wildcard: ja; IP: nein","Wildcards, viele Subdomains, verteilte TLS-Endpunkte","DNS-Zugang ist weiter berechtigt als n\u00f6tig oder der TXT-Record ist nicht \u00f6ffentlich sichtbar"],["TLS-ALPN-01","Kontrolle \u00fcber TLS auf Port 443","Wildcard: nein; IP: m\u00f6glich","Reverse Proxy oder spezialisierte TLS-Infrastruktur","Die TLS-Terminierung liefert das Challenge-Zertifikat nicht aus"]],"source_ids":["S6"]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine Website mit einem einzigen Webserver ist daher h\u00e4ufig mit HTTP-01 gut bedient. Zeigen DNS-A- oder AAAA-Records jedoch auf mehrere Systeme, muss jedes tats\u00e4chlich erreichte Ziel die erwartete Ressource ausliefern. Andernfalls h\u00e4ngt das Ergebnis davon ab, welchen Endpunkt die Validierung erreicht. Ein Load Balancer oder eine zentral synchronisierte Challenge-Ablage beseitigt dieses Problem nur, wenn sie alle Wege abdeckt.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr DNS-01 ist als ","ref":""},{"kind":"strong","text":"Minimalberechtigung","ref":""},{"kind":"text","text":" anzustreben, dass der ACME-Client nur die ben\u00f6tigten Challenge-Eintr\u00e4ge ver\u00e4ndern kann. Welche Einschr\u00e4nkung tats\u00e4chlich m\u00f6glich ist, h\u00e4ngt von der API und dem Berechtigungsmodell des DNS-Anbieters ab; nicht jeder Dienst erlaubt Rechte f\u00fcr einen einzelnen TXT-Namen. Bleibt nur ein weitreichender Zugang, sollten die Validierung auf ein getrenntes System verlagert oder eine gesonderte Challenge-Zone delegiert werden. Zugangsdaten geh\u00f6ren getrennt von Zertifikats- und ACME-Kontoschl\u00fcsseln in eine gesch\u00fctzte Ablage.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei umfangreichen Zonen kann eine separate Challenge-Zone die Rechte weiter eingrenzen. Die Delegation von ","ref":""},{"kind":"code","text":"_acme-challenge","ref":""},{"kind":"text","text":" per CNAME oder NS verlagert die Validierungsdaten in einen eigenen Verwaltungsbereich. Der Client erh\u00e4lt dann nur dort \u00c4nderungsrechte. Vor der Produktivnutzung m\u00fcssen TXT-Inhalt und DNS-Aufl\u00f6sung gepr\u00fcft werden: Eine korrekte API-Antwort gen\u00fcgt nicht, wenn Resolver die Delegation oder den Record noch nicht sehen.","ref":""},{"kind":"citation","text":"","ref":"S6"}]}]},{"id":"erneuerung-und-verteilung-automatisieren","heading":"Erneuerung und Verteilung zuverl\u00e4ssig automatisieren","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Belastbares ","ref":""},{"kind":"strong","text":"Certificate Management","ref":""},{"kind":"text","text":" endet nicht mit dem Abruf eines Zertifikats. In einer verteilten Umgebung l\u00f6st ein zentraler ACME-Worker die Validierung aus und legt Zertifikat sowie privaten Schl\u00fcssel gesch\u00fctzt ab. Erst danach werden die Artefakte an die TLS-Endpunkte verteilt, dort gepr\u00fcft und kontrolliert aktiviert. Der in der CSR verwendete Zertifikatsschl\u00fcssel muss sich vom authentisierenden ACME-Kontoschl\u00fcssel unterscheiden; wie beide Schl\u00fcssel anschlie\u00dfend getrennt gespeichert, berechtigt und rotiert werden, ist im Betriebskonzept festzulegen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die folgende Tabelle beschreibt ein empfohlenes Betriebskonzept f\u00fcr die Lieferkette. RFC 8555 verlangt, dass der \u00f6ffentliche Schl\u00fcssel der CSR keinem bekannten Kontoschl\u00fcssel entspricht und insbesondere nicht mit dem zur Authentisierung des Finalisierungsauftrags verwendeten Kontoschl\u00fcssel \u00fcbereinstimmt. Die konkrete organisatorische Trennung von Ablage, Zugriffsrechten und Rotation baut auf dieser Protokollanforderung auf. Der Deploy Hook von Certbot ist f\u00fcr Aktionen nach erfolgreicher Ausstellung vorgesehen. \u00dcbertragungsabsicherung, Zielpr\u00fcfung und externe TLS-Pr\u00fcfung m\u00fcssen zur jeweiligen Infrastruktur passen.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S7"}]},{"type":"table","caption":"Empfohlenes Betriebskonzept f\u00fcr die automatisierte Zertifikatslieferkette","headers":["Schritt","Verantwortlichkeit","Empfohlene Kontrolle","Beobachtung"],"rows":[["Order und Challenge","ACME-Worker","Protokollgem\u00e4\u00df unterschiedliche Konto- und Zertifikatsschl\u00fcssel verwenden; Challenge-Rechte auf das erforderliche Ma\u00df begrenzen","Autorisierungsfehler erfassen"],["Zertifikat abrufen und ablegen","ACME-Worker","Privaten Schl\u00fcssel nur berechtigten Prozessen zug\u00e4nglich machen","Ablaufdatum und Abruffehler erfassen"],["An Endpunkte verteilen","Deployment-Prozess","\u00dcbertragungsweg und Zielbestand f\u00fcr die eigene Infrastruktur pr\u00fcfen","Abweichungen zwischen bereitgestelltem und erwartetem Zertifikat melden"],["Dienst aktualisieren","Lokaler Dienst oder Orchestrierung","Reload erst nach erfolgreicher Aktualisierung der verwendeten Dateien ausl\u00f6sen","Reload-Fehler und Prozessstatus erfassen"],["Extern ausliefern","Unabh\u00e4ngige TLS-Pr\u00fcfung","Den tats\u00e4chlich erreichbaren Endpunkt gegen Hostname und Ablaufdatum pr\u00fcfen","Altes oder unerwartetes Zertifikat alarmieren"]],"source_ids":["S1","S7"]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr \u00c4nderungen an Panel- oder DNS-Integrationen sollte die produktive Kette nicht als Einzelsystem betrachtet werden. Insbesondere bei einer Verwaltung \u00fcber ","ref":""},{"kind":"internal_link","text":"Plesk-Updates f\u00fcr Hosting-Anbieter","ref":"I2"},{"kind":"text","text":" h\u00e4ngen verf\u00fcgbare Funktionen von Panelstand, Erweiterung und angebundenen Diensten ab. Die konkrete ACME-Client-F\u00e4higkeit, etwa f\u00fcr zus\u00e4tzliche Protokollerweiterungen, ist ebenfalls versionsabh\u00e4ngig und muss in der eingesetzten Kombination gepr\u00fcft werden.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Certbot kann ein Deploy Hook den letzten Schritt ausl\u00f6sen, weil er nur nach einer erfolgreichen Erneuerung l\u00e4uft. Das folgende Muster setzt voraus, dass der lokale Pfad ein gepr\u00fcftes, ausf\u00fchrbares Skript ohne Zugangsdaten ist. Das Skript sollte ","ref":""},{"kind":"strong","text":"idempotent","ref":""},{"kind":"text","text":" arbeiten, Fehler protokollieren und ausschlie\u00dflich Dienste neu laden, die das erneuerte Zertifikat verwenden.","ref":""},{"kind":"citation","text":"","ref":"S7"}]},{"type":"code","language":"bash","code":"certbot renew --deploy-hook \/usr\/local\/sbin\/reload-tls-services","source_ids":["S7"]},{"type":"paragraph","runs":[{"kind":"text","text":"Der Exit-Status von ","ref":""},{"kind":"code","text":"certbot renew","ref":""},{"kind":"text","text":" ist kein Nachweis f\u00fcr ein neues Zertifikat: Auch wenn nichts zu erneuern war, kann der Befehl mit Status 0 enden. Die \u00dcberwachung muss daher unabh\u00e4ngig feststellen, welches Zertifikat der \u00f6ffentliche Endpunkt tats\u00e4chlich ausliefert, wann es abl\u00e4uft und ob der Reload erfolgreich war.","ref":""},{"kind":"citation","text":"","ref":"S7"}]}]},{"id":"caa-profile-und-ip-zertifikate","heading":"CAA, Profile und Zertifikate f\u00fcr IP-Adressen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ein CAA-Record ist ein ","ref":""},{"kind":"strong","text":"Ausstellungs-Gel\u00e4nder","ref":""},{"kind":"text","text":": Er legt fest, welche Zertifizierungsstellen Zertifikate f\u00fcr eine Domain ausstellen d\u00fcrfen. Zus\u00e4tzlich kann die Richtlinie die erlaubte Validierungsmethode und \u00fcber den Parameter ","ref":""},{"kind":"code","text":"accounturi","ref":""},{"kind":"text","text":" das vorgesehene ACME-Konto festlegen. Der aktuelle Kontoschl\u00fcssel authentisiert den Zugriff auf dieses Konto, kann jedoch \u00fcber den ACME-Key-Change-Prozess gewechselt werden. Die Kontobindung ersetzt daher weder den Schutz des aktuellen Kontoschl\u00fcssels noch ein umfassendes Berechtigungskonzept.","ref":""},{"kind":"citation","text":"","ref":"S8"},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die folgende Record-Zeile erlaubt Let\u2019s Encrypt f\u00fcr die Domain nur bei DNS-01-Validierung. Sie passt nur, wenn DNS-01 automatisiert eingerichtet ist und die Challenge-Zone zuverl\u00e4ssig verwaltet wird. Wer sp\u00e4ter HTTP-01 f\u00fcr eine einzelne Website oder TLS-ALPN-01 f\u00fcr einen Reverse Proxy nutzen will, blockiert diese Ausstellung mit der gezeigten Einschr\u00e4nkung bewusst.","ref":""},{"kind":"citation","text":"","ref":"S8"}]},{"type":"code","language":"dns","code":"example.org. CAA 0 issue \"letsencrypt.org;validationmethods=dns-01\"","source_ids":["S8"]},{"type":"paragraph","runs":[{"kind":"text","text":"Die einzelne Zeile beschreibt nicht zwangsl\u00e4ufig die vollst\u00e4ndige ","ref":""},{"kind":"strong","text":"CAA-Policy","ref":""},{"kind":"text","text":" der Zone. Mehrere Records desselben Typs wirken additiv: Erlaubt einer davon die Ausstellung, kann diese Erlaubnis trotz engerer weiterer Records bestehen. F\u00fcr Wildcard-Zertifikate ist au\u00dferdem zu pr\u00fcfen, ob ","ref":""},{"kind":"code","text":"issuewild","ref":""},{"kind":"text","text":"-Records vorhanden sind. Ohne solche Records gilt ","ref":""},{"kind":"code","text":"issue","ref":""},{"kind":"text","text":" auch f\u00fcr Wildcards; vorhandene ","ref":""},{"kind":"code","text":"issuewild","ref":""},{"kind":"text","text":"-Eintr\u00e4ge steuern die Wildcard-Ausstellung dagegen gesondert. Ma\u00dfgeblich ist deshalb immer der vollst\u00e4ndige wirksame Record-Satz am gepr\u00fcften Namen.","ref":""},{"kind":"citation","text":"","ref":"S8"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Zertifikate f\u00fcr \u00f6ffentliche IP-Adressen sind ein anderer Fall als Domain-Zertifikate. Let\u2019s Encrypt unterst\u00fctzt IP-Identifier im Profil ","ref":""},{"kind":"code","text":"shortlived","ref":""},{"kind":"text","text":"; als Validierung kommen HTTP-01 und TLS-ALPN-01 infrage. DNS-01 kann keine IP-Adresse validieren. Die kurze G\u00fcltigkeit von ungef\u00e4hr 160 Stunden setzt deshalb eine durchg\u00e4ngige automatisierte Erneuerung, Verteilung und Auslieferungskontrolle voraus.","ref":""},{"kind":"citation","text":"","ref":"S5"},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Das shortlived-Profil eignet sich damit etwa f\u00fcr direkt per IP erreichbare Schnittstellen nur dann, wenn jeder Schritt ohne manuelle Eingriffe funktioniert. Es ist keine verk\u00fcrzte Variante f\u00fcr gelegentlich gepflegte Systeme. Au\u00dferdem m\u00fcssen eingesetzter ACME-Client und Zielumgebung die Profilwahl sowie die gew\u00e4hlte Challenge unterst\u00fctzen; die Verf\u00fcgbarkeit am ACME-Dienst belegt keine Unterst\u00fctzung durch jede Client-Version.","ref":""},{"kind":"citation","text":"","ref":"S5"},{"kind":"citation","text":"","ref":"S6"}]}]},{"id":"monitoring-und-fehlersuche-im-staging","heading":"Monitoring und Fehlersuche zuerst im Staging","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Fehlersuche bei ACME beginnt mit dem tats\u00e4chlich verwendeten Validierungsverfahren, nicht mit einem erneuten Zertifikatsauftrag. F\u00fcr \u00c4nderungen an Client, Routing, Firewall oder DNS eignet sich der getrennte Staging-Endpunkt von Let\u2019s Encrypt. Die Staging-Umgebung hat eigene, deutlich h\u00f6here Limits, ist aber nicht unbegrenzt; die dort ausgestellten Testzertifikate sind nicht \u00f6ffentlich vertrauensw\u00fcrdig. Neue Protokollfunktionen k\u00f6nnen zwar am ACME-Endpunkt verf\u00fcgbar sein, die Unterst\u00fctzung des installierten Clients muss dennoch gesondert gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S2"},{"kind":"citation","text":"","ref":"S4"},{"kind":"citation","text":"","ref":"S7"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei HTTP-01 ist zuerst zu pr\u00fcfen, ob die betroffene Domain \u00f6ffentlich \u00fcber Port 80 erreichbar ist und die angeforderte Datei unter ","ref":""},{"kind":"code","text":"\/.well-known\/acme-challenge\/","ref":""},{"kind":"text","text":" am Zielsystem ausliefert. Mehrere A- oder AAAA-Records machen den Test anspruchsvoller: Jeder tats\u00e4chlich erreichbare Endpunkt muss die passende Challenge-Datei bereitstellen. Typische Ursachen sind ein abweichendes Virtual-Host-Routing, ein vorgeschalteter Proxy, eine Firewall-Regel oder nicht synchronisierte Container.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"TLS-ALPN-01 verlangt dagegen Kontrolle \u00fcber die TLS-Terminierung auf Port 443. Bei einem Fehler sollte gepr\u00fcft werden, welcher Load Balancer oder Proxy die Verbindung annimmt, ob er das f\u00fcr die Challenge ben\u00f6tigte Zertifikat ausliefert und ob ein regul\u00e4rer TLS-Dienst den Vorgang \u00fcberschreibt. Eine erfolgreich erzeugte lokale Zertifikatsdatei belegt nicht, dass der \u00f6ffentlich angesprochene Endpunkt sie verwendet.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei DNS-01 sind Name und Inhalt des TXT-Records unter ","ref":""},{"kind":"code","text":"_acme-challenge","ref":""},{"kind":"text","text":" getrennt zu kontrollieren. Der Record muss in der delegierten oder ma\u00dfgeblichen Zone publiziert sein; au\u00dferdem muss die Delegationskette stimmen, wenn eine separate Challenge-Zone verwendet wird. Wiederholte Fehlversuche wegen Tippfehlern, noch nicht sichtbarer \u00c4nderungen oder fehlerhafter Delegation sollten zun\u00e4chst im Staging analysiert werden.","ref":""},{"kind":"citation","text":"","ref":"S6"},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Wirksames ","ref":""},{"kind":"strong","text":"Monitoring","ref":""},{"kind":"text","text":" beobachtet nicht nur das Ablaufdatum in der Ablage des ACME-Workers. Es pr\u00fcft unabh\u00e4ngig den ausgelieferten Hostnamen, die Restlaufzeit des dort pr\u00e4sentierten Zertifikats und den Erfolg des Reloads nach einer Aktualisierung. Alarmiert werden sollte auch, wenn eine Erneuerung fehlschl\u00e4gt oder ein Endpunkt trotz erfolgreicher Ausstellung noch das alte Zertifikat ausliefert. F\u00fcr geplante \u00c4nderungen an Hosting-Servern erg\u00e4nzt der Beitrag ","ref":""},{"kind":"internal_link","text":"cPanel- und WHM-Updates sicher planen","ref":"I1"},{"kind":"text","text":" die notwendige Betriebsplanung.","ref":""}]}]},{"id":"rate-limits-und-bestandsplanung","heading":"Rate Limits und Erneuerungen im Bestand","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"In einem Zertifikatsbestand sind Rate Limits eine Entwurfsbedingung der ","ref":""},{"kind":"strong","text":"SSL-Automatisierung","ref":""},{"kind":"text","text":". T\u00e4glich erzwungene Erneuerungen oder zeitgleich gestartete Jobs erzeugen unn\u00f6tige Orders und k\u00f6nnen Begrenzungen ausl\u00f6sen. Das gilt besonders, wenn ein Infrastrukturfehler viele Domains zugleich betrifft: Wiederholungen beheben weder fehlende Challenge-Dateien noch falsches DNS, erh\u00f6hen aber die Zahl fehlgeschlagener Validierungen. Fehler m\u00fcssen daher vor dem n\u00e4chsten produktiven Lauf eingegrenzt werden.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"ACME Renewal Information, kurz ","ref":""},{"kind":"strong","text":"ARI","ref":""},{"kind":"text","text":", ersetzt starre lokale Schwellenwerte durch ein vom ACME-Server empfohlenes Erneuerungsfenster f\u00fcr ein vorhandenes Zertifikat. Der ARI-f\u00e4hige Client fragt die Renewal Information ab und w\u00e4hlt einen zuf\u00e4lligen Zeitpunkt innerhalb dieses Fensters. Ein Scheduler kann den Client regelm\u00e4\u00dfig starten, wertet ARI aber nicht selbst aus. Der Client muss das empfohlene Fenster und ","ref":""},{"kind":"code","text":"Retry-After","ref":""},{"kind":"text","text":" ber\u00fccksichtigen sowie bei Fehlern geeignete Backoff- und Wiederholungsintervalle einhalten. H\u00e4ufigere Scheduler-L\u00e4ufe d\u00fcrfen deshalb nicht zu ungebremsten Wiederholungen fehlgeschlagener Auftr\u00e4ge f\u00fchren.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr Let\u2019s Encrypt k\u00f6nnen ARI-koordinierte Erneuerungen unter den dokumentierten Voraussetzungen von Rate Limits ausgenommen sein. Der neue Auftrag muss unter anderem mindestens einen Identifier des zu ersetzenden Zertifikats enthalten, und dieses darf nicht bereits \u00fcber ARI ersetzt worden sein. Das ist keine allgemeine Freigabe f\u00fcr beliebige Neuauftr\u00e4ge: \u00c4nderungen am Zertifikatsumfang sind fachlich und operativ getrennt zu behandeln.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Insbesondere eine verk\u00fcrzte oder ver\u00e4nderte SAN-Liste ist nicht automatisch eine Erneuerung des bisherigen Zertifikats. Ein Auftrag mit nur einem Teil der bisherigen Namen kann ein separates Zertifikat erzeugen, w\u00e4hrend das alte weiterhin g\u00fcltig bleibt. Das Inventar sollte deshalb Zertifikatskennung, vollst\u00e4ndige Identifier-Liste, zugeordnete Endpunkte und Erneuerungsweg erfassen. Vor einer geplanten SAN-\u00c4nderung ist zu entscheiden, welche Dienste umgestellt und wann nicht mehr ben\u00f6tigte Zertifikate entfernt werden.","ref":""},{"kind":"citation","text":"","ref":"S7"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei mehreren Workern verhindert eine eindeutige Zust\u00e4ndigkeit doppelte Orders f\u00fcr denselben Bestand. Sinnvoll sind ein zentraler Scheduler oder eine koordinierte Sperre, nachvollziehbare Protokolle und gestaffelte Wiederholungen nach einem Fehler. Die Zufallsauswahl innerhalb eines ARI-Fensters ist kein Ersatz f\u00fcr diese Steuerung, sondern reduziert vor allem die Gleichzeitigkeit regul\u00e4rer Erneuerungen.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]},{"id":"betriebsmodell-nach-risiko-waehlen","heading":"Das passende Betriebsmodell nach Risiko w\u00e4hlen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr eine einzelne, \u00f6ffentlich erreichbare Website ist HTTP-01 meist das einfachste Betriebsmodell. Der Webserver muss Port 80 zuverl\u00e4ssig bedienen und die Challenge-Datei am erwarteten Pfad ausliefern. Dieses Modell passt nicht zu Wildcards und wird fragil, wenn mehrere unabh\u00e4ngige Ziele dieselbe Domain beantworten. Es ist deshalb vor allem dann sinnvoll, wenn Webrouting, Zertifikatsablage und TLS-Auslieferung an einer klar kontrollierten Stelle zusammenlaufen.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"DNS-01 ist das passende Modell f\u00fcr Wildcards, dynamische Subdomains und verteilte TLS-Endpunkte. Die Voraussetzung ist keine blo\u00dfe DNS-Zugriffsm\u00f6glichkeit, sondern eine sicher automatisierbare \u00c4nderung des ben\u00f6tigten TXT-Records. Ein m\u00f6glichst eng begrenztes Token oder eine delegierte Challenge-Zone reduziert die Folgen eines kompromittierten Systems. Welche Granularit\u00e4t erreichbar ist, h\u00e4ngt von der DNS-API ab. Delegationen m\u00fcssen als produktive Abh\u00e4ngigkeit dokumentiert, \u00fcberwacht und mit einem Wiederherstellungsweg versehen werden.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"TLS-ALPN-01 eignet sich f\u00fcr Betreiber, die die TLS-Terminierung auf Port 443 gezielt steuern, etwa an einem Reverse Proxy oder Load Balancer. Die Methode ist weder ein pauschaler Ersatz f\u00fcr HTTP-01 noch wildcard-f\u00e4hig. Ihre praktische Verwendbarkeit h\u00e4ngt zus\u00e4tzlich von der jeweiligen Client- und Proxy-Implementierung ab. Vor dem Einsatz muss daher gepr\u00fcft werden, ob die Software die Challenge erzeugen, ausliefern und nach Abschluss wieder sauber entfernen kann.","ref":""},{"kind":"citation","text":"","ref":"S6"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Das ","ref":""},{"kind":"strong","text":"shortlived-Profil","ref":""},{"kind":"text","text":" ist nur f\u00fcr Systeme mit l\u00fcckenloser End-to-End-Automatisierung geeignet. Let\u2019s Encrypt beschreibt daf\u00fcr eine Laufzeit von rund 160 Stunden sowie DNS- und IP-Identifier; gegen\u00fcber dem Standardprofil mit 90 Tagen erh\u00f6ht dies die notwendige Erneuerungsfrequenz rechnerisch deutlich. Jeder Ablauf von Bestellung bis Verteilung, Reload und Au\u00dfenpr\u00fcfung muss daher belastbar funktionieren. Die Wahl eines Profils setzt zudem voraus, dass der eingesetzte ACME-Client die Profilauswahl tats\u00e4chlich unterst\u00fctzt.","ref":""},{"kind":"citation","text":"","ref":"S5"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Unabh\u00e4ngig vom Modell braucht professionelles ","ref":""},{"kind":"strong","text":"Certificate Management","ref":""},{"kind":"text","text":" ein vollst\u00e4ndiges Inventar, sicher verwaltete Schl\u00fcssel und minimal berechtigte DNS-Zug\u00e4nge. Der Kontoschl\u00fcssel authentisiert den Client f\u00fcr das ACME-Konto; der in der CSR verwendete private Schl\u00fcssel geh\u00f6rt zur TLS-Identit\u00e4t. RFC 8555 verbietet, den \u00f6ffentlichen Kontoschl\u00fcssel in einem Zertifikat zu verwenden: Der Schl\u00fcssel in der CSR darf insbesondere nicht mit dem Kontoschl\u00fcssel \u00fcbereinstimmen, der den Finalisierungsauftrag authentisiert. Die getrennte Ablage, Berechtigungsvergabe und Rotation dieser Schl\u00fcsselklassen sowie widerrufbare Zug\u00e4nge und ein getesteter R\u00fcckweg auf das vorherige Zertifikat geh\u00f6ren zum Rechte- und Notfallkonzept.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein erfolgreicher ACME-Lauf darf nicht das einzige Erfolgskriterium sein. Die Auslieferungskontrolle muss au\u00dferhalb des Workers feststellen, welches Zertifikat ein echter TLS-Endpunkt pr\u00e4sentiert. F\u00fcr Verteilungs- und Reload-Schritte eignen sich Aktionen, die nur nach einer erfolgreichen Erneuerung ausgel\u00f6st werden; bei Certbot ist daf\u00fcr ein Deploy Hook vorgesehen. Sein Skript sollte idempotent sein, Fehler protokollieren und nur Dienste neu laden, die das erneuerte Material tats\u00e4chlich nutzen.","ref":""},{"kind":"citation","text":"","ref":"S7"}]}]}]},"_wh_make_word_report":{"words":2968,"min":2000,"max":3000,"target":2500,"ok":true,"missing":0,"excess":0,"lead_words":53,"section_words":{"acme-ablauf-und-schluesselrollen":353,"challenges-nach-infrastruktur-auswaehlen":259,"ari-profile-und-kurzlebige-zertifikate":285,"challenge-matrix-und-dns-delegation":320,"erneuerung-und-verteilung-automatisieren":395,"caa-profile-und-ip-zertifikate":282,"monitoring-und-fehlersuche-im-staging":304,"rate-limits-und-bestandsplanung":309,"betriebsmodell-nach-risiko-waehlen":408}},"_wh_make_review":{"verdict":"pass","issues":[],"checked_source_ids":["S1","S3","S4","S5","S6","S7","S8"],"summary":"Der Artikel ist fachlich plausibel und durch die gepr\u00fcften Quellen gest\u00fctzt. ACME-Ablauf und Schl\u00fcsseltrennung, ARI-Zeitfenster und Rate-Limit-Ausnahmen, die aktuellen Let\u2019s-Encrypt-Profile, Challenge-Eigenschaften einschlie\u00dflich IP-Validierung, DNS-Delegation, CAA-Parameter sowie das Verhalten von Certbot-Deploy-Hooks und Exit-Status sind korrekt dargestellt. Das Rechenbeispiel zum Laufzeitfaktor 13,5 stimmt. Serverfunktionen, Standardstatus, Client-Unterst\u00fctzung und Produktvarianten werden sauber getrennt. Die Bildkonzepte sind als KI-generierte Symbolbilder gekennzeichnet und zeigen keine fachlich irref\u00fchrende Topologie oder vorget\u00e4uschte Tests."},"_wh_make_review_doc_hash":"f4285e5f89211fc85bb0a92d0e231ba1147faa965b533273402c8058ef5fadf6","_yoast_wpseo_primary_category":null,"rank_math_schema_blogposting":null,"rank_math_schema_videoobject":null,"_oembed_049c719bc4a9f89deaead66a7da9fddc":null,"_oembed_time_049c719bc4a9f89deaead66a7da9fddc":null,"_yoast_wpseo_focuskw":null,"inline_featured_image":null,"_yoast_wpseo_linkdex":null,"_eael_widget_elements":null,"_oembed_c3b0f6959478faf92a1f343d8f96b19e":null,"_oembed_27e3473bf8bec795fbeb3a9d38489348":null,"_trp_translated_slug_en_us":null,"_yoast_wpseo_title":null,"tldname":null,"tldpreis":null,"tldrubrik":null,"tldpolicylink":null,"tldsize":null,"tldregistrierungsdauer":null,"tldtransfer":null,"tldwhoisprivacy":null,"tldregistrarchange":null,"tldregistrantchange":null,"tldwhoisupdate":null,"tldnameserverupdate":null,"tlddeletesofort":null,"tlddeleteexpire":null,"tldumlaute":null,"tldrestore":null,"tldsubcategory":null,"tldbildname":null,"tldbildurl":null,"tldclean":null,"tldcategory":null,"tldpolicy":null,"tldbesonderheiten":null,"tld_bedeutung":null,"_oembed_d167040d816d8f94c072940c8009f5f8":null,"_oembed_b0a0fa59ef14f8870da2c63f2027d064":null,"_oembed_4792fa4dfb2a8f09ab950a73b7f313ba":null,"_oembed_33ceb1fe54a8ab775d9410abf699878d":null,"_oembed_fd7014d14d919b45ec004937c0db9335":null,"_oembed_21a029d076783ec3e8042698c351bd7e":null,"_oembed_be5ea8a0c7b18e658f08cc571a909452":null,"_oembed_a9ca7a298b19f9b48ec5914e010294d2":null,"_oembed_f8db6b27d08a2bb1f920e7647808899a":null,"_oembed_168ebde5096e77d8a89326519af9e022":null,"_oembed_cdb76f1b345b42743edfe25481b6f98f":null,"_oembed_87b0613611ae54e86e8864265404b0a1":null,"_oembed_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_oembed_time_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_tldname":null,"_tldclean":null,"_tldpreis":null,"_tldcategory":null,"_tldsubcategory":null,"_tldpolicy":null,"_tldpolicylink":null,"_tldsize":null,"_tldregistrierungsdauer":null,"_tldtransfer":null,"_tldwhoisprivacy":null,"_tldregistrarchange":null,"_tldregistrantchange":null,"_tldwhoisupdate":null,"_tldnameserverupdate":null,"_tlddeletesofort":null,"_tlddeleteexpire":null,"_tldumlaute":null,"_tldrestore":null,"_tldbildname":null,"_tldbildurl":null,"_tld_bedeutung":null,"_tldbesonderheiten":null,"_oembed_8357e2b8a2575c74ed5978f262a10126":null,"_oembed_ad96e4112edb9f8ffa35731d4098bc6b":null,"_oembed_3d5fea5103dd0d22ec5d6a33eff7f863":null,"_oembed_819a879e7da16dd629cfd15a97334c8a":null,"_oembed_time_819a879e7da16dd629cfd15a97334c8a":null,"_wh_make_writer_raw":null,"_wh_make_design_backup_204":null,"_wp_desired_post_slug":null,"_oembed_0d8a206f09633e3d62b95a15a4dd0487":null,"_oembed_time_0d8a206f09633e3d62b95a15a4dd0487":null,"_aioseo_description":null,"_eb_attr":null,"_eb_data_table":null,"_acf_changed":null,"_wpcode_auto_insert":null,"_edit_last":null,"_edit_lock":null,"_oembed_e7b913c6c84084ed9702cb4feb012ddd":null,"_oembed_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_time_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_03514b67990db061d7c4672de26dc514":null,"_oembed_time_03514b67990db061d7c4672de26dc514":null,"rank_math_news_sitemap_robots":null,"rank_math_robots":null,"_eael_post_view_count":"67","_trp_automatically_translated_slug_ru_ru":null,"_trp_automatically_translated_slug_et":null,"_trp_automatically_translated_slug_lv":null,"_trp_automatically_translated_slug_fr_fr":null,"_trp_automatically_translated_slug_en_us":null,"_wp_old_slug":null,"_trp_automatically_translated_slug_da_dk":null,"_trp_automatically_translated_slug_pl_pl":null,"_trp_automatically_translated_slug_es_es":null,"_trp_automatically_translated_slug_hu_hu":null,"_trp_automatically_translated_slug_fi":null,"_trp_automatically_translated_slug_ja":null,"_trp_automatically_translated_slug_lt_lt":null,"_elementor_edit_mode":null,"_elementor_template_type":null,"_elementor_version":null,"_elementor_pro_version":null,"_wp_page_template":null,"_elementor_page_settings":null,"_elementor_data":null,"_elementor_css":null,"_elementor_conditions":null,"_happyaddons_elements_cache":null,"_oembed_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_time_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_time_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_59808117857ddf57e478a31d79f76e4d":null,"_oembed_time_59808117857ddf57e478a31d79f76e4d":null,"_oembed_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_time_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_81002f7ee3604f645db4ebcfd1912acf":null,"_oembed_time_81002f7ee3604f645db4ebcfd1912acf":null,"_elementor_screenshot":null,"_oembed_7ea3429961cf98fa85da9747683af827":null,"_oembed_time_7ea3429961cf98fa85da9747683af827":null,"_elementor_controls_usage":null,"_elementor_page_assets":[],"_elementor_screenshot_failed":null,"theplus_transient_widgets":null,"_eael_custom_js":null,"_wp_old_date":null,"_trp_automatically_translated_slug_it_it":null,"_trp_automatically_translated_slug_pt_pt":null,"_trp_automatically_translated_slug_zh_cn":null,"_trp_automatically_translated_slug_nl_nl":null,"_trp_automatically_translated_slug_pt_br":null,"_trp_automatically_translated_slug_sv_se":null,"rank_math_analytic_object_id":null,"_trp_automatically_translated_slug_ro_ro":null,"_trp_automatically_translated_slug_sk_sk":null,"_trp_automatically_translated_slug_bg_bg":null,"_trp_automatically_translated_slug_sl_si":null,"litespeed_vpi_list":null,"litespeed_vpi_list_mobile":null,"rank_math_seo_score":null,"rank_math_contentai_score":null,"ilj_limitincominglinks":null,"ilj_maxincominglinks":null,"ilj_limitoutgoinglinks":null,"ilj_maxoutgoinglinks":null,"ilj_limitlinksperparagraph":null,"ilj_linksperparagraph":null,"ilj_blacklistdefinition":null,"ilj_linkdefinition":null,"_eb_reusable_block_ids":null,"rank_math_focus_keyword":"Let's Encrypt ACME","rank_math_og_content_image":null,"surfer_last_post_update":null,"surfer_last_post_update_direction":null,"surfer_keywords":null,"surfer_location":null,"surfer_draft_id":null,"surfer_permalink_hash":null,"surfer_scrape_ready":null,"_thumbnail_id":"21875","_yoast_wpseo_metadesc":null,"_yoast_wpseo_content_score":null,"_yoast_wpseo_focuskeywords":null,"_yoast_wpseo_keywordsynonyms":null,"_yoast_wpseo_estimated-reading-time-minutes":null,"rank_math_description":"ACME, ARI und Let\u2019s-Encrypt-Profile verst\u00e4ndlich einordnen: Challenges w\u00e4hlen, TLS-Zertifikate sicher erneuern, verteilen und \u00fcberwachen.","footnotes":null,"_links":{"self":[{"href":"https:\/\/webhosting.de\/es\/wp-json\/wp\/v2\/posts\/21869","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/webhosting.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/webhosting.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/webhosting.de\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/webhosting.de\/es\/wp-json\/wp\/v2\/comments?post=21869"}],"version-history":[{"count":6,"href":"https:\/\/webhosting.de\/es\/wp-json\/wp\/v2\/posts\/21869\/revisions"}],"predecessor-version":[{"id":21878,"href":"https:\/\/webhosting.de\/es\/wp-json\/wp\/v2\/posts\/21869\/revisions\/21878"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/webhosting.de\/es\/wp-json\/wp\/v2\/media\/21875"}],"wp:attachment":[{"href":"https:\/\/webhosting.de\/es\/wp-json\/wp\/v2\/media?parent=21869"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/webhosting.de\/es\/wp-json\/wp\/v2\/categories?post=21869"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/webhosting.de\/es\/wp-json\/wp\/v2\/tags?post=21869"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}