Ist HTTPS im Website-Paket enthalten – muss ich trotzdem ein SSL-Zertifikat kaufen?

Der Preis für die Website-Erstellung beinhaltet HTTPS. Anschließend haben Sie eine Rechnung für die „Beschaffung eines SSL-Zertifikats“ erhalten. Ist die Zahlung zwingend erforderlich? In der Regel müssen Sie kein weiteres Zertifikat kaufen. Solange das im Paket enthaltene Zertifikat von gängigen Browsern als vertrauenswürdig eingestuft wird, die tatsächlich genutzten Domains abdeckt und laufende Verlängerung sowie Bereitstellung und Wartung umfasst, erfüllt es die grundlegenden Anforderungen an die Verschlüsselung der Datenübertragung für eine normale Unternehmenswebsite oder eine internationale Unternehmenspräsentationsseite.

Zusätzliche Kosten sind tatsächlich dann gerechtfertigt, wenn die Domainabdeckung unzureichend ist, der Vertrag ausdrücklich eine Organisationsvalidierung vorschreibt oder der bestehende Service keine Verlängerung, Migration, Bereitstellung und ähnliche Leistungen umfasst. Wenn Sie nach acheter ssl (SSL-Zertifikat kaufen) suchen, sollten Sie zunächst prüfen, welche Leistungen bereits enthalten sind, statt direkt die Zertifikatspreise zu vergleichen. So vermeiden Sie doppelte Kosten und übersehen nicht die Wartungskosten nach dem Start der Website.

Was ist mit „HTTPS inklusive“ genau gemeint?

HTTPS ist eine Kommunikationsmethode, die die Datenübertragung einer Website durch TLS schützt. Die dafür benötigten Zertifikate werden in der Branche weiterhin üblicherweise als „SSL-Zertifikate“ bezeichnet. Wenn in einem Paket „HTTPS-Unterstützung“ steht, verfügt das System möglicherweise lediglich über die Möglichkeit, ein Zertifikat zu installieren. Auch ein „kostenloses Zertifikat“ muss nicht zwangsläufig eine langfristige Verlängerung beinhalten. Unterstützung, ein kostenloses Zertifikat und ein vollständig verwalteter Service sind nicht dieselbe Leistung.

Bitten Sie den Anbieter, die enthaltenen Leistungen einzeln aufzuführen: Wer beantragt das Zertifikat, wer führt die Domainvalidierung durch, wer installiert es, wer überwacht das Ablaufdatum und wer kümmert sich um fehlgeschlagene Verlängerungen? Dass sich die Website derzeit normal im Browser öffnen lässt, sagt nur etwas über die aktuelle Verbindung aus. Es beweist nicht, dass die laufende Wartung vertraglich eingeschlossen ist.

Kostenlose und kostenpflichtige Zertifikate lassen sich nicht einfach mit „geringer Sicherheit“ und „hoher Sicherheit“ gleichsetzen. Bei vergleichbaren Algorithmen, Schlüsselkonfigurationen und Protokolleinstellungen sorgt die Zahlung nicht automatisch für eine stärkere Verschlüsselung der Datenübertragung. Die Unterschiede liegen eher bei der Identitätsprüfung, der Domainabdeckung, dem Verwaltungsservice und den vertraglich vereinbarten Leistungen.

Prüfen Sie zuerst den Domainumfang und entscheiden Sie dann, ob ein Kauf nötig ist

Eine internationale Unternehmenswebsite kann gleichzeitig eine Hauptdomain, eine www-Domain, mehrsprachige Subdomains und eine Subdomain für den Shop nutzen. Ob ein Zertifikat ausreicht, hängt von den tatsächlich verwendeten Webadressen ab – nicht allein davon, dass es sich um „eine Website“ handelt.

Auch ein Wildcard-Zertifikat deckt nicht automatisch jede Adresse ab. Beispielsweise deckt *.example.com in der Regel shop.example.com ab, aber nicht automatisch example.com oder a.shop.example.com. Bitten Sie den Anbieter vor der Zahlung, alle im Zertifikat enthaltenen Domains aufzulisten, und gleichen Sie diese mit der Liste der für den Start vorgesehenen Domains ab.

In welchen Fällen lohnt es sich, zusätzliches Budget für ein Zertifikat einzuplanen?

Wenn klare Anforderungen an die Identitätsprüfung bestehen. Ein normales DV-Zertifikat überprüft, ob der Antragsteller die Kontrolle über die Domain hat; bei OV- und EV-Zertifikaten wird die Identität der Organisation geprüft. Wenn Ausschreibungsunterlagen von Kunden, Kooperationsverträge oder interne Sicherheitsrichtlinien einen bestimmten Validierungstyp vorschreiben, sollten Sie das entsprechende Zertifikat kaufen. Gehen Sie jedoch nicht davon aus, dass der Browser deshalb zwangsläufig den Unternehmensnamen besonders auffällig anzeigt.

Wenn die bestehende Plattform den erforderlichen Bereitstellungsumfang nicht abdeckt. Website, Schnittstellen und Onlineshop können auf unterschiedlichen Diensten laufen. Auch wenn HTTPS für die Unternehmenswebsite bereits enthalten ist, sollten Sie prüfen, ob die Schnittstellen und die Verbindung zum Ursprungsserver separat konfiguriert werden müssen. Der zusätzliche Kauf eines Zertifikats allein erledigt diese Bereitstellung nicht automatisch.

Wenn Sie tatsächlich zusätzliche Verwaltungsleistungen benötigen. Werden mehrere Domains von verschiedenen Teams verwaltet, können eine zentrale Überwachung der Ablaufdaten, eine gebündelte Bereitstellung oder eine Reaktion auf Störungen erforderlich sein. Die Kosten sollten sich dann auf konkret benannte Leistungen beziehen und nicht lediglich als „Premium-SSL“ ausgewiesen sein. Auch kostenpflichtige Zertifikate müssen verlängert und gewartet werden; sie ersetzen nicht die Verantwortung für den Betrieb.

Verlängerung und Ausstiegskosten sind wichtiger als der Preis im ersten Jahr

Achten Sie beim Angebotsvergleich auf eine einheitliche Grundlage: Klären Sie separat, wer die Zertifikatskosten, die Installation, spätere Verlängerungen, zusätzliche Domains, die Bearbeitung von Problemen und die Unterstützung bei einer Migration übernimmt. Vergleichen Sie nicht den Preis eines „im ersten Jahr kostenlosen“ Zertifikats direkt mit einem Angebot, das die laufende Wartung einschließt.

• Verlängerung: Klären Sie, ob die automatische Verlängerung enthalten ist und ob sich jemand darum kümmert, wenn sich die DNS-Einträge ändern oder die Validierung fehlschlägt.
• Erweiterung: Erfragen Sie, ob für zusätzliche Subdomains, eigenständige Sprachversionen oder einen Onlineshop weitere Kosten anfallen und wie diese berechnet werden.
• Migration: Klären Sie, ob das Zertifikat bei einem Wechsel des Website-Anbieters übertragen werden kann oder ob es von der neuen Plattform neu ausgestellt werden muss, und wer für die Umstellung verantwortlich ist.
• Störungen: Vereinbaren Sie, wer für die Reaktions- und Fehlerbehebung bei abgelaufenen Zertifikaten, nicht übereinstimmenden Domains oder einer unvollständigen Zertifikatskette zuständig ist.

Eine kurze Gültigkeitsdauer bedeutet nicht, dass ein Zertifikat unzuverlässig ist. Entscheidend ist, ob der Ablauf der automatischen Verlängerung stabil funktioniert. Umgekehrt bedeutet die Vorauszahlung für einen mehrjährigen Service nicht, dass dasselbe Zertifikat mehrere Jahre lang nicht erneuert werden muss. Unterscheiden Sie die Laufzeit des Servicevertrags von der Gültigkeitsdauer des Zertifikats.

Wie sollten Sie die Leistungen eines Pakets überprüfen?

Beispielsweise umfasst die Funktionsbeschreibung von 易营宝全球服务器部署 eine HTTPS-Verschlüsselung der Datenübertragung auf der gesamten Website sowie die Bereitstellung mehrsprachiger eigenständiger Websites. Klären Sie beim Kauf dennoch genauer, welche Domains vom Angebot abgedeckt sind, welcher Validierungstyp für das Zertifikat verwendet wird, ob die automatische Verlängerung enthalten ist und welche Bereitstellungskosten für später hinzugefügte Websites anfallen. Eine Funktionsliste vermittelt die Richtung des Angebots, ersetzt jedoch keine konkreten Leistungsbedingungen.

DDoS-Schutz, Backups und HTTPS erfüllen unterschiedliche Aufgaben. Andere Sicherheitsfunktionen im Paket machen die Überprüfung des Zertifikats daher nicht überflüssig. Ebenso bedeutet der Kauf eines Zertifikats nicht, dass damit sämtliche Anforderungen an die Sicherheit der Website oder die Zahlungskonformität erfüllt sind.

Lassen Sie sich vor der Zahlung eine überprüfbare Leistungsbeschreibung vorlegen

Bitten Sie den Anbieter, im Angebot schriftlich festzuhalten: „Beantragung, Installation und laufende Verlängerung eines vertrauenswürdigen Zertifikats für die aufgeführten Domains sind enthalten; Gebühren für zusätzliche Domains und Migration werden separat ausgewiesen.“ Wenn der Anbieter zum separaten Kauf rät, sollte er konkret erläutern, welche Leistung dem bestehenden Zertifikat fehlt, statt lediglich zu betonen, dass „kostenpflichtig sicherer“ sei.

Rufen Sie bei der Abnahme nach dem Start nacheinander die Hauptdomain, die Subdomains und wichtige Formularseiten auf. Prüfen Sie den Zertifikatsnamen, die Gültigkeitsdauer und die Sicherheitsanzeige des Browsers. Lassen Sie außerdem vom technischen Personal die Weiterleitung von HTTP auf HTTPS, gemischte Inhalte auf der Seite und die Überwachung der Verlängerung überprüfen. Wenn keine Lücken bei der Domainabdeckung, Anforderungen an die Identitätsprüfung oder der Bedarf an zusätzlichen Leistungen bestehen, können Sie das im Paket enthaltene Zertifikat nutzen, ohne einen doppelten Beschaffungsposten anzusetzen.