Welche Art von SSL-Zertifikat benötigen Sie für eine mehrsprachige Website mit Subdomains?

Wenn mehrsprachige Websites gleichrangige Subdomains wie en.example.com, de.example.com und fr.example.com verwenden und später weitere Sprachversionen hinzukommen, ist ein Wildcard-Zertifikat in der Regel einfacher zu verwalten. Vor dem Kauf muss jedoch geprüft werden, ob das Zertifikat auch die Hauptdomain example.com abdeckt und ob die Website-Plattform, das CDN oder der Server die Bereitstellung dieses Zertifikats unterstützt.

Bei nur wenigen festgelegten Sprachversionen erfüllen auch ein Multi-Domain-Zertifikat oder separat ausgestellte Einzelzertifikate die Anforderungen. Ausschlaggebend für die Auswahl ist nicht die Anzahl der Sprachen, sondern welche vollständigen Hostnamen geschützt werden müssen, auf welcher Domain-Ebene sie liegen und an welcher Stelle die HTTPS-Verbindung terminiert wird.

Die zu schützenden Domains vollständig erfassen

Ein SSL-Zertifikat überprüft den Hostnamen in der aufgerufenen Adresse, nicht die Seitensprache, das Website-Verzeichnis oder die Server-IP. Daher verwenden example.com/en/ und example.com/de/ denselben Hostnamen und benötigen keine zusätzliche Zertifikatsabdeckung, nur weil sie unterschiedliche Sprachen bereitstellen. en.example.com und de.example.com sind dagegen zwei verschiedene Hostnamen.

Bei der Erfassung der Domains sollten nicht nur die Startseiten der Sprachversionen aufgeführt werden, sondern auch die Hauptdomain, die www-Adresse sowie eigenständige Subdomains, die tatsächlich für Shops, Anfrageformulare und Ähnliches verwendet werden. Auch für eine Adresse, die nur weiterleitet, ist ein gültiges Zertifikat erforderlich: Beim Aufruf einer HTTPS-Adresse schließt der Browser zuerst den TLS-Handshake ab und erhält erst danach die Weiterleitungsanweisung. Eine Weiterleitung kann ein Zertifikat mit nicht übereinstimmendem Namen nicht korrigieren.

Ein Wildcard-Zertifikat deckt nur die angegebene Ebene ab, nicht den gesamten Domainbaum

*.example.com kann en.example.com, de.example.com und www.example.com abdecken, jedoch weder example.com noch shop.en.example.com.

Einige Wildcard-Produkte umfassen auch die Hauptdomain. Dies ist jedoch eine Domainkonfiguration bei der Ausstellung und keine automatische Eigenschaft eines Wildcard-Zertifikats. Prüfen Sie die Subject Alternative Names (SAN) des Zertifikats, statt sich nur auf die Bezeichnung „Wildcard“ im Produktnamen zu verlassen.

Wenn die Website en.example.com verwendet und der Shop unter shop.en.example.com läuft, müssen beide Domain-Ebenen abgedeckt sein. Bei wenigen festgelegten Shop-Adressen können Sie die vollständigen Hostnamen direkt hinzufügen. Sie müssen nicht für jede Ebene ein Wildcard-Zertifikat kaufen.

Bleiben die Sprachversionen unverändert oder kommen kontinuierlich weitere hinzu?

Bei nur wenigen festgelegten Subdomains können die Hauptdomain, www und die Sprach-Subdomains in ein Multi-Domain-Zertifikat aufgenommen werden. Es führt die zulässigen Hostnamen einzeln über SAN auf und bietet damit klar definierte Abdeckungsgrenzen. Wenn eine neue Sprachversion hinzukommt, muss die Domainliste aktualisiert und das Zertifikat erneut ausgestellt und bereitgestellt werden.

Wenn kontinuierlich weitere Sprachversionen hinzukommen und sie alle unter Domains derselben Ebene liegen, ist ein Wildcard-Zertifikat mit weniger Verwaltungsaufwand verbunden. Für das Hinzufügen von es.example.com muss das Zertifikat nicht neu ausgestellt werden, sofern DNS, Website-Konfiguration und Zertifikatsbereitstellung korrekt eingerichtet sind. Ein Wildcard-Zertifikat erstellt jedoch weder automatisch Subdomains noch aktiviert es HTTPS für neue Websites.

Wenn verschiedene Sprachen eigenständige Domains wie example.de und example.fr verwenden, kann ein *.example.com-Zertifikat diese nicht abdecken. In diesem Fall können Sie ein Multi-Domain-Zertifikat verwenden oder für jede Website ein eigenes Zertifikat ausstellen lassen. Die Entscheidung sollte sich nach Bereitstellungsort und Wartungsverantwortung richten, nicht allein nach dem Ziel, möglichst wenige Zertifikate zu verwenden.

Vor dem Kauf prüfen, ob die Plattform bereits ein Zertifikat bereitstellt

Eine gehostete Website-Plattform oder ein CDN unterstützt möglicherweise bereits die automatische Ausstellung und Verlängerung von Zertifikaten. Wenn der Dienst alle Sprach-Subdomains abdeckt, ist ein zusätzliches Zertifikat möglicherweise nicht erforderlich. Manche Plattformen erlauben außerdem nicht den Upload selbst gekaufter Zertifikate. Prüfen Sie zuerst, welche Domains unterstützt werden, ob Wildcard-Zertifikate möglich sind und ob der Zertifikatsdienst im bestehenden Tarif enthalten ist.

Bei der Verwendung eines CDN müssen die beiden Verbindungen zwischen Browser und CDN sowie zwischen CDN und Ursprungsserver unterschieden werden. Ein einwandfreies Edge-Zertifikat des CDN bedeutet nicht, dass auch das Zertifikat des Ursprungsservers korrekt ist. Das Zertifikat des Ursprungsservers muss den Verschlüsselungs- und Zertifikatsprüfungsanforderungen des CDN entsprechen. Ein Ursprungsserver-Zertifikat, das ausschließlich für die Verbindung vom CDN zum Ursprungsserver vorgesehen ist, kann nicht direkt als öffentliches, vom Browser als vertrauenswürdig eingestuftes Zertifikat verwendet werden.

Wenn mehrere Sprachversionen auf unterschiedlichen Servern verteilt sind, bedeutet die gemeinsame Verwendung eines Wildcard-Zertifikats, dass der entsprechende private Schlüssel verteilt werden muss. Wird der private Schlüssel an einer Stelle offengelegt, können auch andere Websites betroffen sein, die denselben Schlüssel verwenden. Für Websites, die von unterschiedlichen Teams oder Dienstleistern verwaltet werden, bieten separate Zertifikate eine bessere Risikoisolierung und verringern zudem den Abstimmungsaufwand zwischen den Teams bei der Verlängerung.

Die Validierungsstufe nicht mit dem Abdeckungsumfang verwechseln

DV, OV und EV bezeichnen die Validierungsmethode; Einzel-Domain-, Multi-Domain- und Wildcard-Zertifikate beschreiben den Domain-Abdeckungsumfang. Dies sind zwei unterschiedliche Dimensionen. Ein OV-Zertifikat erhöht nicht automatisch die Anzahl der Sprach-Subdomains, die geschützt werden können. Bei gleicher TLS-Konfiguration lässt sich auch die Verschlüsselungsstärke nicht allein anhand der Validierungsstufe beurteilen.

Wenn Sprachversionen lediglich normal über HTTPS erreichbar sein sollen, erfüllt ein von Browsern als vertrauenswürdig eingestuftes DV-Zertifikat mit passenden Domains die grundlegenden Anforderungen. Ob OV oder EV verwendet werden sollte, richtet sich nach Anforderungen an die Identitätsprüfung des Unternehmens, Verträgen oder internen Verwaltungsrichtlinien – nicht danach, dass sich die Website an einen internationalen Markt richtet.

Auch kostenlose Zertifikate können die Anforderungen an HTTPS erfüllen, benötigen jedoch einen zuverlässigen Verlängerungsmechanismus. Bei Let’s Encrypt beispielsweise erfordert die Ausstellung eines Wildcard-Zertifikats eine DNS-Validierung. Für eine automatische Verlängerung sollten Sie sicherstellen, dass der DNS-Dienst die erforderliche Automatisierung unterstützt, und die Berechtigungen für die Zugangsdaten zur DNS-Schnittstelle sorgfältig beschränken.

Bei der Abnahme nach dem Go-live jede Adresse einzeln prüfen

Bevor Sie ein Zertifikat bestellen oder ein Plattformzertifikat aktivieren, sollten Sie die Liste der tatsächlichen Hostnamen, den Abdeckungsumfang der SANs, den Bereitstellungsort und die Verantwortung für die Verlängerung klären. Es reicht nicht aus, nur zu bestätigen, dass „SSL unterstützt wird“, ohne festzulegen, wer sich um fehlgeschlagene Ausstellungen, Warnungen vor Ablauf und die erneute Bereitstellung kümmert.

Rufen Sie nach dem Go-live die Hauptdomain, www und jede Sprach-Subdomain einzeln auf. Prüfen Sie die Übereinstimmung der Domains, die Zertifikatskette und die HTTPS-Weiterleitung und suchen Sie zugleich nach Ressourcen, die noch über HTTP geladen werden. Dass keine Zertifikatswarnung angezeigt wird, bedeutet nicht, dass die Seite vollständig und sicher über HTTPS geladen wird.

Für eine Struktur mit Hauptdomain und Sprach-Subdomains derselben Ebene ist ein Wildcard-Zertifikat, das die Hauptdomain einschließt, eine erweiterungsfreundliche Lösung. Für wenige festgelegte Websites oder verteilt bereitgestellte Websites können jedoch auch Multi-Domain- oder separate Zertifikate besser geeignet sein. Der Kauf sollte erst erfolgen, nachdem die Domainliste und die Bereitstellungsbedingungen geklärt wurden – nicht umgekehrt, indem zuerst ein Zertifikat gekauft und anschließend die Website daran angepasst wird.