Ein kostenloses Zertifikat und ein teures verschlüsseln mit denselben Verfahren und ergeben dasselbe Schloss. Der Unterschied liegt darin, was der Aussteller vor dem Signieren geprüft hat — und wie viel er Ihnen zahlt, wenn er sich geirrt hat.
Die drei Stufen
- DV, domainvalidiert. Belegt, dass Sie die Domain kontrollieren. In Sekunden ausgestellt, kostenlos von Let's Encrypt — und das, was fast jede Website im Netz verwendet.
- OV, organisationsvalidiert. Prüft zusätzlich, dass es die Firma gibt. Dauert Tage und erscheint nur in den Zertifikatsdetails, die niemand öffnet.
- EV, erweiterte Validierung. Eine tiefere Firmenprüfung. Früher färbte sie die Adresszeile grün; die Browser haben das vor Jahren abgeschafft, also ist sie heute unsichtbar.
Kein Browser zeigt OV oder EV noch anders als DV an. Wenn Sie eines für den optischen Effekt kaufen: den optischen Effekt gibt es nicht mehr.
Wann ein bezahltes wirklich richtig ist
- Ein Wildcard-Zertifikat für viele Subdomains, wo sich die DNS-Validierung nicht praktikabel automatisieren lässt.
- Eine Gewährleistung, die ein Vertrag verlangt.
- Ein Gerät oder ein System, das nur einem bestimmten Aussteller vertraut.
Der wahre Unterschied ist die Erneuerung
Ein kostenloses Zertifikat hält 90 Tage und erneuert sich selbst. Ein bezahltes hält ein Jahr, und jemand muss daran denken. In der Praxis gehen mehr Websites an einer vergessenen Jahresverlängerung kaputt als an irgendetwas, das ein kostenloses Zertifikat tut.
certbot renew --dry-runEGPHP stellt für jede Domain automatisch ein kostenloses Zertifikat aus und erneuert es. Sofern nichts Bestimmtes etwas anderes verlangt, ist das alles, was eine Website braucht.
