Schützen der Wildcard-Domains innerhalb eines Wordpress-Multisite Networks

In der Plesk Dokumentation zu Lets Encrypt findet sich folgende Passage:

Quote from https://support.plesk.com/hc/en-us/articles/115000490174-Is-it-possible-to-use-Let-s-Encrypt-for-wildcard-certificates-

This feature is available in Let's Encrypt 2.6.0.

The ability to issue wildcard certificates is disabled by default. This is because Let’s Encrypt requires the new protocol for wildcard certificate requests and the new protocol might not be as stable as the one currently used.

Es scheint grundsätzlich also die Möglichkeit zu geben, allerdings erfordert das wahrscheinlich eine Änderung seitens netcup. Außerdem weiß ich nicht, ob diese Aussage auch bei der angepassten Version von Plesk, die hier eingesetzt wird, noch zutrifft. Ich denke eine definitive Antwort was hier möglich ist, wird man nur von einem Mitarbeiter bekommen.

Bei LE gibt es die Möglichkeit in einem Zertifikat mehrere Domains in ein Zertifikat zu schreiben. Gibt es diese Option im WCP? (SAN - Subject Alternative Name)

Quote from maxruebensal

hier die ziemlich nüchterne Antwort des Supports...[..]

Danke für das Update. Ich sehe das (wie es ab und an mal vorkommt ) anders als der Support: Wildcard-Zertifikate werden ab einer neueren LetsEncrypt-Plugin Version unterstützt, daher ist das für mich keine "kundenabhängige Konfiguration", sondern eine ganz normale Produktpflege bzw. Weiterentwicklung.

Ansonsten kannst du solche Letsencrypt-Zertifikate natürlich auch manuell (z.B. über die DNS-Challenge) beantragen, dann musst du dich allerdings alle drei Monate manuell um Verlängerung und Hinterlegung im WCP kümmern. Also nicht wirklich praxistauglich..

Quote from maxruebensal

Eine weitere Alternatividee aus dem Netz ist, sich ein kostenloses WildcardZertifikat von Cloudflare o.Ä. zu holen und dann auf der Domain zu installieren. Hat wer damit schon Erfahrungen gemacht? Da müsste dann ebenfalls immer wieder erneuert werden oder?

Das kannst du nicht auf die Domain installieren. Dafür musst du DNS über Cloudflare abwickeln und dann geht der Verkehr unverschlüsselt von CF zu Netcup durch

Quote from H6G

Das kannst du nicht auf die Domain installieren. Dafür musst du DNS über Cloudflare abwickeln und dann geht der Verkehr unverschlüsselt von CF zu Netcup durch

Mit dem Wort "unverschlüsselt" bin ich definitiv nicht einverstanden. Es gibt bei Cloudflare als SSL Setting auch "Full" bzw. "Full Strict", welches dann auch zum getunnelten Service SSL verwendet, bzw. auch auf gültige Zertifikate prüft.

Zusätzlich kannst du dir bei Cloudflare ein "Origin-Zertifikat" für deine Wildcard-Subdomain herunterladen, welches du dann im WCP hinterlegst. Wichtig: Dieses Zertifikat ist im Browser nicht Trusted. Das ist nur dafür da, wenn du bei Cloudflare SSL-Setting "Full Strict" nutzen möchtest und deine Quelle ansonsten kein valides Zertifikat hat.

maxruebensal Cloudflare wäre für dich also tatsächlich eine mögliche Lösung, wenn du den einmaligen (sehr moderaten) Aufwand der DNS-Konfiguration auf dich nehmen möchtest.

Edit: Ergänzend möchte ich aber auch noch mal mein Unverständnis über das Verhalten von netcup zu diesem Thema zum Ausdruck bringen. Die Aussage "might not be as stable" heißt mitnichten, dass der Hersteller die Funktion als "unstable" ansieht. Wildcards gibts es bei LetsEncrypt seit Januar 2018, Probleme im ACME-Protokoll und deren Backend sollten ja wohl so langsam nicht mehr zu erwarten sein. Es ist schade, dass bei solchen Problemen dann doch auf externe Anbieter zurückgegriffen werden muss.

Quote from janxb

Ich sehe das (wie es ab und an mal vorkommt ) anders als der Support:

Schön für dich. Die aber doch wichtige Passage ist:

"This is because Let's Encrypt requires the new protocol for wildcard certificate requests and the new protocol might not be as stable as the one currently used."

Somit ist das keine "ganz normale Produktpflege bzw. Weiterentwicklung" sondern eine Tür, die zu bleibt bis der Kram sicher ist. Aber hey... ist leicht mit schimpfen wenn man vielleicht eine handvoll Kunden betreut und nicht ~7 bis ~8k oder mehr.

Sind immer dieselben hier, die sich die Li-La-Laune Welt basteln so wie es ihnen gefällt.

Quote from janxb

Ergänzend möchte ich aber auch noch mal mein Unverständnis über das Verhalten von netcup zu diesem Thema zum Ausdruck bringen. Die Aussage "might not be as stable" heißt mitnichten, dass der Hersteller die Funktion als "unstable" ansieht. Wildcards gibts es bei LetsEncrypt seit Januar 2018, Probleme im ACME-Protokoll und deren Backend sollten ja wohl so langsam nicht mehr zu erwarten sein. Es ist schade, dass bei solchen Problemen dann doch auf externe Anbieter zurückgegriffen werden muss.

Aber was soll netcup deiner Meinung nach machen? Hier ist der Support Artikel von Plesk dazu:

https://support.plesk.com/hc/e…or-wildcard-certificates-

Ganz oben steht: "Updated 2 days ago", also ist das wohl ein recht aktueller Stand bei Plesk, wieso auch immer die die Lage so einschätzen.

Laut dem Artikel bietet Plesk auch nur zwei Optionen für die DNS-Challenge an:

• Entweder ist Plesk selbst der authoritative DNS für die Domain, dann ist dies kein Problem, was bei netcup aber offensichtlich nicht der Fall ist
• Man bekommt einen DNS-Eintrag angezeigt und muss diesen händisch übertragen

Von daher scheint das Problem eher an Plesk zu liegen, ich kann mir kaum vorstellen das netcup hier absichtlich blockiert, im Gegenteil netcup war doch mit unter den ersten Hostern die Let's Encrypt unterstützt haben. Nur vermutlich hat netcup auch nicht genug Marktmacht um Plesk da zu bewegen.

Und die Lösung den DNS-Eintrag von Hand anzulegen bringt dem Kunden nicht viel, dann kann er auch gleich den kompletten Prozess von Hand erledigen. Vermutlich erhöht das nur den Supportaufwand weil der Prozess fehleranfällig ist (nicht gewartet bis netcup die DNS Server aktualisiert hat etc.) und die wenigsten Leute brauchen ein Wildcard Cert.

Ist halt immer die Sache, mit einer Eigenentwicklung (als Alternative zu Plesk) könnte man sowas selbst lösen, die kostet aber wiederum viel Zeit und Geld und bist man auch nur annähernd den Funktionsumfang von Plesk erreicht hat, vergeht sehr viel Zeit ins Land. Und man sollte bedenken das netcup einer der günstigsten Anbieter am Markt ist, der Funktionsumfang des Hostings ist sehr beachtlich bereits.

Wer weiß, vielleicht kann netcup wieder einen "Hack" über das CCP machen, so wie damals als die erste "Version" der Let's Encrypt Zertifikate von seitens netcup ausgerollt wurde, die Frage ist nur ob sich das für die geringe Anzahl potentieller Nutzer lohnen würde, da normale Let's Encrypt Zertifikate einwandfrei laufen.

Notfalls hat man immer noch die Option auf ein managed Hosting umzusteigen, da ist man ganz Herr seiner vServers und da werden einem solche Wünsche sicherlich erfüllt, kostet halt etwas mehr

Quote from julian-w

kostet halt etwas mehr

Yo, und das ist halt das Problem an der Sache. Viel haben wollen aber nichts dafür zahlen. Umsonst ist die Welt

julian-w Ich verstehe deinen Beitrag leider nicht ganz.. Es gibt von Plesk bereits eine neue Version des LE-Plugins, welche Wildcards unterstützt. Aufgrund der Aussage “might not be as stable” möchte netcup diese Version allerdings nicht installieren. Für mich sieht das also schon so aus, als liegt es an netcup. Plesk könnte liefern, bzw hat es sogar schon.

Und schon wieder ein Edit: Ich habe noch mal auf der von dir verlinkten Seite gestöbert. Aktuell können wildcard Zertifikate nicht automatisch verlängert werden. Das ist meiner Meinung nach eine krasse Einschränkung des Plugins. Anscheinend besteht hier also doch noch Handlungsbedarf seitens Plesk. Ich nehme also meine Unmutsbekundungen teilweise zurück, trotzdem hätte man das eigentliche Problem eventuell besser kommunizieren können.

Quote from janxb

Es gibt von Plesk bereits eine neue Version des LE-Plugins, welche Wildcards unterstützt.

Das stimmt eben nur so halb: für Wildcards wird die DNS-Challenge benötigt und diese ist noch nicht vollständig implementiert und funktioniert nur automatisiert, wenn man auch die autoritativen DNS-Server von Plesk nutzt (scheinbar irgendeine Software von Plesk oder sowas), was bei netcup aber nicht der Fall ist.

Quote from https://docs.plesk.com/

Note: If Plesk does not manage the DNS for the domain, the Let’s Encrypt extension cannot add the DNS record automatically. In this case, you will see the following message: “Please add a DNS record with the following parameters”. Add a DNS record with the specified parameters manually. If you are unsure how to do it, ask your DNS hosting provider for assistance.

Somit ist eine automatisierte Integration eben NICHT möglich, außer man kopiert irgendwelche DNS-Einträge zwischen WCP und CCP hin und her. Scheinbar existiert dafür auch von seitens Plesk keine API um das zu automatisieren, zumindest konnte ich in der öffentlich zugänglichen Dokumentation keine finden. Somit hat netcup auch keine Chance dies zu automatisieren. Somit hilft es einem nicht weiter die Funktion in Plesk freizuschalten, automatisierte Wildcards sind technisch aktuell mit Plesk so nicht möglich.

Wenn man unbedingt ein Wildcard will muss man so oder so alle 3 Monate selbst Hand anlegen, dann kann man auch das Cert komplett von Hand beantragen, z.B. von seinem Rechner zu Hause aus oder über Webservices wie sslforfree.com, gethttpsforfree.com, zerossl.com (wie vertrauenswürdig das auch immer sein mag).

julian-w Wie oben schon geschrieben: nach einigem Überlegen gebe ich dir Recht. Mit den aktuellen Einschränkungen macht es für netcup wenig Sinn, dieses Feature zu unterstützen, bzw. ist es wahrscheinlich gar nicht wirklich möglich. Sorry, falls ich in meinen vorherigen Posts zu negativ geklungen haben sollte.. Trotzdem sind diese Einschränkungen aber keine “Sicherheitsbedenken”, man darf dem Kunden ruhig die wahren Hintergründe einer Entscheidung mitteilen

Okay, dann gehen wir die Cloudflare Route:

- auf cloudflare.com einen Account erstellen

- Website erstellen / Domain hinzufügen als "Free Plan"

- Alle DNS Werte übertragen von Netcup (CCP => Domains) nach Cloudflare

- Bei den A und AAAA Werten darauf achten, dass die Wolke aktiviert ist.

- MX Records dürfen nicht auf einen Wert mit aktivierter Wolke zeigen

- von "Netcup Nameserver" auf name1.cloudflare.com und name2.cloudflare.com umstellen im CCP. Die genauen Namen teilt dir Cloudflare mit.

- Das dauert jetzt wirklich lange, eh Cloudflare mitbekommt, dass das alles funktioniert.

- Cloudflare => Crypo => SSL => Flexible

- CF, Crypto => Origin Certificates => Create Certficate => Let CF generate... => RSA => *.example.com, example.com => Next => PEM

Diese beiden Sachen trägst du als Zertifikat + Schlüssel im Plesk ein. Sollte Plesk Dateien haben wollen, speicherst du die Daten als Textdatei mit der Dateiendung .pem

Jetzt sollte alles funktionieren (ich habe hoffentlich nichts vergessen).

Wenn das alles funktioniert, kannst du SSL,Flexible auf Full bzw. Full (Strict) umstellen.

Dann kannst du auch "Always use HTTPS" einschalten.

Damit brauchst du definitiv nicht alle drei Monate handeln.

Wenn du E-Mail nutzt, bitte auch verifizieren, dass E-Mail danach noch funktioniert. (Um Überraschungen vorzubeugen).

Hay,

Quote from maxruebensal

externe domain handelt. Finde deshalb die DNS einstellungen nicht

Kommt darauf an, "wie" extern die Domains sind.

- Wenn die Domains bei netcup unabhängig von einem Hosting registriert wurden, findest Du die DNS-Verwaltung im CCP- Domains - und dann gibt es einen Reiter "DNS".

- Wenn sie nicht bei netcup registriert wurden, findest Du die DNS-Verwaltung beim Provider, bei dem Du die DNS registriert hast.

CU, Peter