Thomas.will@claude: Neue Seite: Lets Encrypt und Certbot

2026-10-31T14:14:26Z

Neue Seite: Lets Encrypt und Certbot

Neue Seite

Automatisierte TLS-Zertifikate für öffentlich erreichbare Nginx-Server mit [[Nginx Grundlagen|Let's Encrypt]] und Certbot. Ergänzt [[Nginx Zertifikate]]/[[Nginx https]] (dort: manuell/selbstsigniert).

== Voraussetzungen ==

* ein öffentlicher DNS-Eintrag zeigt bereits auf diesen Server (<code>server_name</code> allein erzeugt keinen DNS-Eintrag, siehe [[Nginx Grundkonfiguration]])
* Domainkontrolle
* die HTTP-01-Challenge braucht einen von außen erreichbaren Port 80 (oder eine andere unterstützte Challenge-Methode, z. B. DNS-01)

== Installation (Debian/Ubuntu) ==

<pre>
sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d example.com
</pre>

Certbot erkennt den passenden <code>server</code>-Block automatisch, trägt <code>listen 443 ssl;</code> sowie <code>ssl_certificate</code>/<code>ssl_certificate_key</code> ein und bietet an, Port 80 automatisch auf HTTPS weiterzuleiten.

== Erneuerung ==

<pre>
sudo certbot renew --dry-run
</pre>

Prüft, ob die automatische Erneuerung funktionieren würde, ohne ein echtes Zertifikat auszustellen (zählt nicht gegen die Let's-Encrypt-Rate-Limits). Das Paket richtet normalerweise selbst einen Timer oder Service dafür ein:

<pre>
systemctl list-timers | grep certbot
</pre>

== Prüfen ==

<pre>
curl -I https://example.com
</pre>

Zusätzlich das Ablaufdatum im Blick behalten – Zertifikate von Let's Encrypt gelten 90 Tage, die automatische Erneuerung greift normalerweise rechtzeitig vorher.

== Vorsicht ==

* Zertifikate nie für Domains beantragen, die man nicht kontrolliert (Rate Limits bei Let's Encrypt, Missbrauchsrisiko)
* Port 80 muss während Ausstellung <b>und</b> Erneuerung erreichbar sein – eine Firewall-Regel, die ihn sperrt, lässt die automatische Erneuerung still scheitern, bis das Zertifikat irgendwann abgelaufen ist
* Bei mehreren <code>server</code>-Blöcken: <code>certbot --nginx</code> ohne <code>-d</code> fragt interaktiv nach, mit <code>-d</code> einen oder mehrere Hostnamen gezielt angeben

== Unterschied zu den bestehenden Zertifikats-Seiten ==

[[Nginx Zertifikate]], [[Nginx https]] und [[Nginx Client Zertifikat]] behandeln manuell erzeugte bzw. selbstsignierte Zertifikate und mTLS – passend für interne Testumgebungen ohne öffentliche Domain. Let's Encrypt/Certbot ist der Weg für öffentlich erreichbare Server mit echter Domain: automatisiert, kostenlos, mit automatischer Erneuerung statt manueller Pflege.

== Links ==

* [https://certbot.eff.org/ offizielle Certbot-Dokumentation]
* [[Nginx Grundlagen]]
* [[Nginx Grundkonfiguration]]

Nginx Lets Encrypt und Certbot - Versionsgeschichte

Thomas.will@claude: Neue Seite: Lets Encrypt und Certbot