Probleme mit Zertifikaten von Let's Encrypt

Durch einen internen Fehler kann es zu Problemen mit den Zertifikaten von Let's Encrypt kommen. Damit Webseiten verschlüsselt übertragen werden können, benötigen sie ein Zertifikat, um so die Urheberschaft der Webseite sicherzustellen.

Zertifikate waren in der Vergangenheit teuer und schwierig zu installieren, aus diesem Grunde haben sich 2014 Organisationen und Firmen zusammengeschlossen, um kostenlose Zertifikate für Webseiten anzubieten, die einfach zu installieren sind. Damit soll erreicht werden, dass möglichst alle Webseiten verschlüsselt übertragen werden. Der Erfolg war überwältigend, inzwischen sollen über 1 Milliarde Zertifikate ausgestellt worden sein (Quelle). Ich habe in meinem Blog schon einige Male darüber geschrieben.

Durch einen Fehler (Einträge wurden nicht hinreichend geprüft) war Let's Encrypt gezwungen, ca. 3 Millionen Zertifikate zurückzuziehen, also ungültig zu machen. Das sind 0,3 % der bisher ausgestellten Zertifikate. Der Anteil der betroffenen Webseiten selber sollte noch einmal kleiner sein, da Webseiten (z. B. Subdomains) oft nur temporär angelegt und mit einem Zertifikat gesichert werden. Leider wurde dieses Problem sehr spät kommuniziert, so dass Webseitenbetreiber wenig Zeit haben, sich um das Problem zu kümmern.

Was passiert mit Seiten, die betroffen sind? Diese betroffenen Webseiten werden vermutlich ab heute (5.3.) beim Aufruf eine Sicherheitsmeldung über ein ungültiges Zertifikat ausgeben.

Wie erfahre ich, ob meine Webseite betroffen ist? Wenn Ihre Webseite betroffen ist, bekommen Sie u. U. eine Email (die bei der Zertifikatausstellung angegeben werden musste). Außerdem kann man unter folgender Adresse gucken, ob die eigene Seite betroffen ist: https://checkhost.unboundtest.com/. Und natürlich kann es sein, dass ihre Webseite den oben beschriebenen Sicherheitshinweis anzeigt, wenn sie geöffnet wird.

Was kann ich tun, wenn meine Seite betroffen ist? Das Zertifikat muss händisch erneuert werden. Sie können das entweder selber im Kundenbereich des Providers (1&1, Strato, Schwarzkünstler, Allinkl, domainfactory, HostEurope ...) machen oder bitten ihren Webmaster um Hilfe. Normalerweise ist das Problem mit einigen wenigen Handgriffen gelöst.

PS: Ich habe alle von mir betreuten Seiten mit Let's Encrypt-Zertifikat getestet, alle Tests waren negativ.