Let's Encrypt Zertifikat-Generator

Der Let's Encrypt Zertifikat-Generator erstellt CSR-Dateien und ACME-Shell-Befehlsvorlagen für die Beantragung von HTTPS-Zertifikaten. Geben Sie eine oder mehrere Domains ein und wählen Sie Challenge-Verfahren, Schlüsselalgorithmus und Subject-Informationen.

Was ist ein Let's Encrypt Zertifikat?

Let's Encrypt ist eine öffentliche Zertifizierungsstelle (CA), die kostenlose TLS-Zertifikate bereitstellt. Über das ACME-Protokoll werden Domainvalidierung und Zertifikatsausstellung automatisiert.

Was erzeugt dieses Tool?

Das Tool erzeugt einen CSR und eine ACME-Shell-Vorlage. Es stellt das Zertifikat nicht selbst aus. Die generierten Befehle können an die eigene Serverumgebung angepasst und dort ausgeführt werden.

CSR

Ein CSR (Certificate Signing Request) enthält unter anderem Domain- und Public-Key-Informationen und wird mit dem zugehörigen privaten Schlüssel signiert. Die CA verwendet CSR und Domainvalidierung als Grundlage für die Zertifikatsausstellung.

ACME-Shell-Vorlage

Je nach gewähltem Challenge-Verfahren kann eine ACME-Shell-Vorlage erzeugt werden. Administratoren können diese Befehle auf ihrem eigenen Linux-Server prüfen und ausführen.

Welche Let's Encrypt Challenge-Verfahren werden unterstützt?

HTTP-01

HTTP-01 bestätigt die Kontrolle über eine Domain über einen HTTP-Dienst. Der ACME-Client stellt eine Validierungsdatei bereit, die vom Let's Encrypt Validierungsserver abgerufen wird.

DNS-01

DNS-01 bestätigt die Domainkontrolle über einen speziellen TXT-Eintrag im DNS. Damit können auch Wildcard-Zertifikate wie *.example.com beantragt werden. Dafür muss der DNS-Bereich verwaltet werden können.

RSA- und ECC-Schlüssel

Bei der Vorbereitung der Zertifikatsanfrage kann je nach Serverumgebung ein passender Schlüsselalgorithmus gewählt werden. RSA bietet breite Kompatibilität, während ECC mit kürzeren Schlüsseln eine hohe kryptografische Sicherheit ermöglicht.

RSA

RSA ist ein weit verbreiteter Public-Key-Algorithmus und eignet sich besonders für Umgebungen mit hoher Kompatibilität zu älteren Systemen und Clients.

ECC

ECC steht für Elliptic Curve Cryptography. Mit vergleichsweise kurzen Schlüsseln kann eine hohe Sicherheitsstufe erreicht werden. ECC wird in modernen Web- und TLS-Umgebungen häufig eingesetzt.

Wie wird eine Let's Encrypt Zertifikatsanfrage vorbereitet?

1. Geben Sie die Domains ein, für die das Zertifikat benötigt wird.
2. Wählen Sie HTTP-01 oder DNS-01.
3. Geben Sie eine gültige E-Mail-Adresse für relevante Benachrichtigungen ein.
4. Wählen Sie RSA oder ECC und die gewünschten Parameter.
5. Geben Sie bei Bedarf CN, C, O, OU, L und ST ein.
6. Generieren Sie CSR und ACME-Shell-Vorlage.
7. Prüfen und passen Sie die Befehle an die eigene Serverumgebung an.
8. Führen Sie den ACME-Prozess auf dem eigenen Server aus, um das Zertifikat tatsächlich auszustellen.

Warum können mehrere Domains angegeben werden?

Ein TLS-Zertifikat kann über SAN (Subject Alternative Name) mehrere Domains enthalten. Dadurch können mehrere Domains mit einem gemeinsamen Zertifikat verwaltet werden.

Hauptdomain und SAN

Der CN kann für die Hauptdomain verwendet werden. Wenn CN leer bleibt, kann die erste Domain der Liste als CN verwendet werden, während die übrigen Domains als zusätzliche Namen behandelt werden.

Generierung und tatsächliche Ausstellung

Dieses Tool erzeugt nur CSR und Shell-Vorlagen. Es sendet keine echte ACME-Anfrage an Let's Encrypt und führt keine Domainvalidierung oder Zertifikatsausstellung automatisch durch. Für die tatsächliche Ausstellung muss ein ACME-Client auf dem eigenen Server ausgeführt werden.

Warum wird das Zertifikat nicht direkt ausgestellt?

Eine ACME-Ausstellung hängt von Serverumgebung, Domainkontrolle, DNS- oder HTTP-Konfiguration und dem Schutz des privaten Schlüssels ab. Die Ausführung auf dem eigenen Server hält private Schlüssel und relevante ACME-Daten unter eigener Kontrolle.

Sicherheitshinweise für private Schlüssel

Der private Schlüssel ist eine vertrauliche TLS-Anmeldeinformation und sollte ausschließlich in vertrauenswürdigen Servern oder sicheren Schlüsselverwaltungssystemen gespeichert werden.

Private Produktionsschlüssel niemals hochladen

Ein CSR kann an eine Zertifizierungsstelle übermittelt werden. Der private Schlüssel muss jedoch beim Zertifikatsinhaber bleiben. Wer den privaten Schlüssel erhält, könnte sich als der entsprechende Server ausgeben.

Häufige Fragen

Beantragt dieses Tool direkt ein Let's Encrypt Zertifikat?

Nein. Das Tool erzeugt nur CSR und ACME-Shell-Vorlagen. Es sendet keine echte ACME-Anfrage an Let's Encrypt.

HTTP-01 oder DNS-01?

Wenn die Domain einen normalen HTTP-Dienst bereitstellen kann, ist HTTP-01 meist einfacher. Für Wildcard-Zertifikate oder wenn keine HTTP-Validierungsdatei bereitgestellt werden kann, eignet sich DNS-01.

Ist eine E-Mail-Adresse erforderlich?

Die E-Mail-Adresse ist kein Kernbestandteil des CSR. Eine gültige Adresse wird jedoch für Benachrichtigungen zur ACME- oder Zertifikatsverwaltung empfohlen.

Sind Wildcard-Zertifikate möglich?

Wildcard-Zertifikate benötigen normalerweise DNS-01 zur Domainvalidierung. Die tatsächliche Ausstellung hängt zusätzlich vom verwendeten ACME-Client und DNS-Anbieter ab.

Wofür dient der Generierungsverlauf?

Das Tool kann während der aktuellen Browsersitzung einen begrenzten Verlauf der generierten Konfigurationen speichern. Private Schlüssel, CSR und andere sensible Daten werden nicht im Verlauf gespeichert. Es werden maximal 20 Einträge aufbewahrt.

Geeignete Einsatzbereiche

• CSR für Let's Encrypt Zertifikate erzeugen.
• ACME-Befehle für automatisierte Zertifikatsanfragen vorbereiten.
• HTTPS-Zertifikatsvorlagen für mehrere Domains erstellen.
• HTTP-01- oder DNS-01-Validierung vorbereiten.
• RSA- oder ECC-Schlüsselparameter auswählen.
• Zertifikatsanfragen vor der Let's Encrypt Bereitstellung auf Servern vorbereiten.
• Zertifikatsdaten lokal vorbereiten und anschließend auf dem eigenen Server ausführen.

Der Let's Encrypt Zertifikat-Generator eignet sich für Website-Administratoren, Entwickler und Serverbetreiber zur Vorbereitung von CSR- und ACME-Zertifikatsanfragen. Produktionsschlüssel werden nicht hochgeladen oder verwaltet. Die tatsächliche Zertifikatsausstellung erfolgt in der eigenen Serverumgebung.