Let's Encrypt ist eine kostenlose, automatisierte gemeinnützige Zertifizierungsstelle, betrieben von der Internet Security Research Group (ISRG). Sie stellt domänenvalidierte (DV) SSL/TLS-Zertifikate kostenlos aus und macht HTTPS-Verschlüsselung für alle zugänglich.
Der Service nutzt das ACME-Protokoll (Automatic Certificate Management Environment), um jeden Schritt der Zertifikatsverwaltung zu automatisieren. Sie führen Client-Software wie Certbot oder acme.sh aus, die ein Schlüsselpaar generiert, ein Zertifikat anfordert, die Domänenkontrolle über eine automatisierte Herausforderung nachweist und das signierte Zertifikat installiert – alles ohne manuelle Eingriffe. Die Erneuerung erfolgt automatisch über Cron oder Systemd-Timer.
Die Domänenkontrolle wird über einen von drei Challenge-Typen nachgewiesen:
- HTTP-01: Platzieren Sie eine Datei unter
/.well-known/acme-challenge/auf Ihrem Webserver - DNS-01: Fügen Sie einen TXT-Datensatz unter
_acme-challenge.<domain>hinzu - TLS-ALPN-01: Reagieren Sie auf eine TLS-Herausforderung auf Port 443
Let's Encrypt stellt nur domänenvalidierte Zertifikate aus – keine Organization Validation (OV) oder Extended Validation (EV). Zertifikate sind 90 Tage lang gültig, was viel kürzer ist als die typischen 1–2 Jahre kommerzieller CAs. Dies erzwingt eine automatisierte Erneuerung, beseitigt aber vergessene Erneuerungen, die zu Ausfallzeiten führen.
WarningZertifikate verfallen nach nur 90 Tagen. Automatisieren Sie die Erneuerung immer mit Ihrem ACME-Client; manuelle Erneuerung wird leicht vergessen. Außerdem gelten Ratenlimits pro registrierter Domäne, verwenden Sie daher die Staging-Umgebung vor schneller Neuausstellung während Tests.
Das Root-Zertifikat von Let's Encrypt ist ISRG Root X1, das jetzt direkt von modernen Betriebssystemen und Browsern vertraut wird. Seit der Gründung 2015 hat es Milliarden von Zertifikaten ausgestellt.