Web & Zertifikate

Was ist HTTPS & TLS? Verschlüsselung von Websites erklärt

HTTPS verschlüsselt die Verbindung zwischen Browser und Website per TLS. Dafür braucht es ein gültiges Zertifikat, aktuelle TLS-Versionen und eine Weiterleitung von HTTP auf HTTPS.

So funktioniert HTTPS & TLS

Beim Verbindungsaufbau legt der Server ein Zertifikat vor. Es muss von einer vertrauenswürdigen Zertifizierungsstelle stammen, für den aufgerufenen Hostnamen ausgestellt (inklusive www, falls genutzt) und noch gültig sein.

Aktuell sind TLS 1.2 und TLS 1.3. TLS 1.0 und 1.1 gelten seit RFC 8996 (2021) als veraltet und sollten abgeschaltet sein. Kostenlose Zertifikate wie die von Let's Encrypt haben kurze Laufzeiten und müssen automatisch erneuert werden.

Wer die Seite per http:// aufruft, sollte dauerhaft (301 oder 308) auf https:// weitergeleitet werden. HSTS sorgt anschließend dafür, dass der Browser gar nicht erst unverschlüsselt anfragt.

Beispiel

# nginx
ssl_protocols TLSv1.2 TLSv1.3;

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://example.com$request_uri;
}

Nur TLS 1.2 und 1.3 sind erlaubt; HTTP leitet dauerhaft auf HTTPS um.

Typische Fehler

Das Zertifikat deckt www nicht ab, oder www ist gar nicht per HTTPS erreichbar.
Die automatische Erneuerung ist ausgefallen und das Zertifikat läuft ab.
Temporäre Weiterleitung (302) statt dauerhafter (301/308) von HTTP auf HTTPS.
TLS 1.0/1.1 ist aus Kompatibilitätsgründen noch aktiv.

So bewertet der Domain Trust Check HTTPS & TLS

Kriterium „HTTPS Hauptdomain“ (Gewicht 5 von 5): Erreichbarkeit per HTTPS, vertrauenswürdiges und passendes Zertifikat, Restlaufzeit, TLS 1.2/1.3 statt TLS 1.0/1.1, dauerhafte Weiterleitung von HTTP auf HTTPS und HSTS.

Kriterium „HTTPS www“ (Gewicht 5 von 5): Dieselben Prüfungen für die www-Subdomain. Existiert keine www-Subdomain, ist das Kriterium nicht anwendbar.

Standard: RFC 8446 (TLS 1.3), RFC 8996