Die Validierungsstufen DV, OV und EV im Vergleich, dazu Einzelnamen-, Wildcard- und Multi-Domain-Zertifikate (SAN), wie Browser sie heute anzeigen und wo kostenlose Zertifikate ihren Platz haben.
TLS-Zertifikate, meist immer noch SSL-Zertifikate genannt, unterscheiden sich auf zwei Arten. Die Validierungsstufe sagt, was die Zertifizierungsstelle geprüft hat: DV belegt die Kontrolle über die Domain, OV prüft zusätzlich die Organisation, EV prüft noch strenger. Die Abdeckung sagt, welche Namen geschützt werden: ein Name, ein Wildcard für eine Ebene von Subdomains oder eine Liste von Namen.
Validierungsstufen auf einen Blick
Zertifikatsanbieter führen viele Produkte, doch die Wahl läuft darauf hinaus, wie viel Identitätsprüfung du willst und wie viele Namen abgedeckt sein müssen. Beantworte im Auswahlhelfer unten drei Fragen, um eine sinnvolle Empfehlung zu bekommen, und lies dann, was jeder Typ für Besucher wirklich ändert.
Ein domainvalidiertes Zertifikat belegt nur, dass der Antragsteller in diesem Moment die Domain kontrollierte, nachgewiesen durch einen DNS-Eintrag, eine Datei oder die Antwort auf eine E-Mail. Es verschlüsselt den Datenverkehr genauso gut wie teurere Typen und wird von den meisten Websites verwendet.
Nein. Chrome hat die EV-Angaben in Version 77 aus der Adressleiste in das Seiteninfo-Panel verschoben, das sich über das Symbol neben der URL öffnet. Besucher sehen bei DV-, OV- und EV-Websites dieselbe Adressleiste.
Ja. Let's Encrypt ist eine gemeinnützige Zertifizierungsstelle, deren DV-Zertifikate von den großen Browsern als vertrauenswürdig eingestuft werden und genauso verschlüsseln wie bezahlte. OV- oder EV-Zertifikate stellt sie nicht aus und plant das nach eigener Aussage auch nicht.
Zertifikate von Let's Encrypt gelten 90 Tage, mit einer optionalen Variante über sechs Tage. Für öffentlich vertrauenswürdige Zertifikate allgemein senkt der Ballot SC-081 des CA/Browser Forum das Maximum in Stufen bis März 2029 von 398 Tagen auf 47 Tage.
Ein DV-Zertifikat für die nackte Domain und www reicht für fast jede kleine Website, auch für Shops, die Kartenzahlungen über einen gehosteten Checkout annehmen. OV oder EV spielen vor allem dann eine Rolle, wenn ein Vertrag oder eine Richtlinie eine benannte Identität im Zertifikat verlangt.
Welche Namen jede Zertifikatsform abdeckt, am Beispiel example.com
Certbot ist ein kostenloser ACME-Client, der von der EFF gepflegt wird. Der manuelle Modus gibt einen TXT-Wert aus, den du unter _acme-challenge.example.com einträgst, und kann ohne Hook-Skript nicht selbst verlängern, nutze also für unbeaufsichtigte Verlängerungen ein DNS-Plugin.
Diese Einträge erlauben Let's Encrypt, normale und Wildcard-Zertifikate auszustellen, und sperren alle anderen Stellen.
Zertifikats-Auswahlhelfer
Wie viele Hostnamen musst du absichern?
Einen
Mehrere unter einer Domain
Viele oder wechselnde Subdomains
Namen auf verschiedenen Domains
Muss das Zertifikat deine eingetragene Organisation nennen?
Nein
Ja, eine Richtlinie verlangt es
Empfohlen
Validierungsstufe: {v}
Abdeckung: {v}
Domainvalidierung gibt es kostenlos bei Let's Encrypt, sie wird oft von deinem Hoster eingerichtet und verschlüsselt so stark wie jede andere Stufe.
Wähle OV oder EV, falls die Richtlinie es nennt; beide brauchen manuelle Prüfungen und sind bei Let's Encrypt nicht kostenlos erhältlich.
Einzelname, plus www, falls Besucher es nutzen
Multi-Domain (SAN) mit jedem Namen aufgeführt
Wildcard plus die nackte Domain
Kostenlos starten · Keine Kreditkarte nötig