Was ist ein SSL-Zertifikat, und warum ist es Pflicht geworden?
Was bedeutet das Schloss in der Adressleiste? Was passiert auf einer Seite ohne SSL, und was unterscheidet kostenlose von bezahlten Zertifikaten wirklich?
Das Schloss in der Adressleiste zeigt, dass die Seite eine sichere Verbindung nutzt. Fehlt es, blendet der Browser dem Besucher eine Warnung "Nicht sicher" ein — und die meisten kehren um, sobald sie das sehen.
Was SSL tatsächlich tut
Es verschlüsselt den Verkehr zwischen dem Browser des Besuchers und Ihrem Server. Ohne Verschlüsselung kann jemand im selben Netz (etwa im Café-WLAN) mitlesen, was gesendet wird: die Nachricht aus dem Kontaktformular, ein Passwort, sogar Bestelldaten.
Was es nicht tut: Es sagt nichts darüber aus, ob die Inhalte Ihrer Seite richtig oder ehrlich sind. Das Schloss betrifft die Verbindung, nicht die Absicht.
Warum es heute Pflicht ist
Drei Gründe:
- Browser warnen. Chrome und Safari zeigen auf Seiten ohne SSL eine deutliche Warnung.
- Google berücksichtigt es. HTTPS ist seit Jahren ein Ranking-Signal.
- Zahlungsanbieter verlangen es. Ohne SSL lässt sich keine Kartenzahlung einrichten.
Reicht ein kostenloses Zertifikat?
Für die meisten Seiten ja. Let's Encrypt ist kostenlos, erneuert sich alle 90 Tage selbst, und die Verschlüsselungsstärke ist dieselbe wie bei bezahlten Zertifikaten. Fast jeder Hoster installiert es mit einem Klick.
Bezahlte Zertifikate verkaufen etwas anderes: Identitätsprüfung. Bei OV- und EV-Zertifikaten bestätigt der Anbieter per Dokumenten, dass das Unternehmen wirklich existiert. Für Banken und große Händler ist das sinnvoll; für eine kleine Unternehmensseite unnötige Kosten.
Drei Dinge, die nach der Installation vergessen werden
1. Weiterleitungen. Die http://-Adresse muss automatisch auf https:// führen. Sonst bleibt die Seite unter zwei Adressen erreichbar, und Suchmaschinen halten das für doppelten Inhalt.
2. Gemischte Inhalte. Ist die Seite HTTPS, lädt aber ein Bild per HTTP, zeigt das Schloss weiterhin als beschädigt. Alle Verweise sollten https sein.
3. Erneuerung. Läuft die automatische Erneuerung nicht, verfällt das Zertifikat nach 90 Tagen still und die Seite begrüßt Besucher eines Morgens mit einer Warnung. Prüfen Sie, dass die Erneuerung läuft.
- #SSL
- #HTTPS
- #Sicherheit
