Welches Zertifikat sollte Ihr Server verwenden?
Wer sich mit Ihrem Server verbindet, sieht dessen Zertifikat, daher kann ein einziger Scan den Server verraten. Nutzen Sie nach Möglichkeit ein vertrauenswürdiges Zertifikat. Wenn das nicht geht, kann ein ehrliches selbstsigniertes Zertifikat immer noch besser sein als ein gefälschtes.
Was jedes Zertifikat einem Netzwerk verrät
-
Vertrauenswürdig
Ein gültiges Zertifikat für Ihre Domain, signiert von einer Zertifizierungsstelle.
Das sieht aus wie eine gewöhnliche Website oder ein gewöhnlicher Dienst.
-
Selbstsigniert
Ein von keiner Zertifizierungsstelle signiertes Zertifikat mit Fantasienamen, wie es ein neu installierter Server hat.
Das sieht aus wie ein privater Server, etwa ein Router oder ein Testrechner.
-
Ungültig
Ein selbstsigniertes Zertifikat mit dem Namen einer echten Website, unter einer Adresse, die nicht zu dieser Website gehört.
Das sieht aus wie ein Server, der sich für etwas ausgibt, was er nicht ist.
Warum ein selbstsigniertes Zertifikat besser sein kann als ein ungültiges
Ein Browser lehnt beide ab. Der Unterschied liegt darin, was sie jeweils behaupten.
Ein Fantasiename behauptet nichts, also gibt es nichts zu widerlegen. Router, Testrechner und private Tools zeigen jeden Tag dieselbe Art von Zertifikat, und ein Netzwerk, das alle solchen Zertifikate blockiert, sperrt damit auch diese aus.
Der Name einer echten Website ist eine Behauptung, die jeder prüfen kann: Diese Website hat ein Zertifikat von einer Zertifizierungsstelle und eigene Adressen, Ihr Server hat beides nicht. Kein gewöhnlicher Server zeigt so etwas, also verliert ein Netzwerk nichts, wenn es solche Server sperrt.
Der Name einer echten Website kann trotzdem in einem Netzwerk helfen, das allein nach dem Namen urteilt: Dort kann er durchkommen, ein Fantasiename dagegen nicht. Um das auszuprobieren, fügen Sie ein Zertifikat mit einem solchen Namen auf einem verwalteten Server oder auf einem eigenständigen Server hinzu.
Es bringt nichts, ein selbstsigniertes Zertifikat aufzuhübschen. Organisation, Gültigkeitsdauer und Erweiterungen ändern nichts, denn ein Scan erkennt sofort, dass keine Zertifizierungsstelle es signiert hat.
Wenn möglich, eine Domain besorgen
Ein vertrauenswürdiges Zertifikat ist die eigentliche Lösung gegen Scans, und es kostet wenig: Eine Domain ist günstig, und die Zertifikate von Let's Encrypt sind kostenlos.
Nutzen Sie einen Hostnamen Ihrer Domain, etwa api.example.com. Bei vielen Websites liegen eine API oder die Dateien unter einem eigenen Hostnamen, unter dem Unbekannte abgewiesen werden, genau wie bei Ihrem Server. Deshalb wirkt das ganz gewöhnlich. www.example.com bleibt frei für eine Website Ihrer Wahl, bei einem beliebigen Hosting-Anbieter.
Eine Domain bringt Ihre Nutzer jedoch nicht an einer blockierten Adresse vorbei, da sie zum selben Server führt. Das schafft nur ein Reverse-Proxy.
