SSL/TLS-Zertifikat

Die Höchstlaufzeit sinkt in Stufen. Die Baseline Requirements des CA/Browser Forums, Fassung 2.3.0 vom 07.09.2026, erlauben seit dem 15.03.2026 höchstens 200 Tage; davor waren 398 Tage zulässig, ab dem 15.03.2027 sind es 100 Tage und ab dem 15.03.2029 nur noch 47 Tage. Ebenso verfällt eine geprüfte Domainzuordnung früher: ab 2029 nach zehn Tagen. Wer von Hand erneuert, kommt damit nicht mehr durch – 365 geteilt durch 47 ergibt knapp acht Erneuerungen im Jahr.

Der Inhaber der Domain, über einen CAA-Eintrag im DNS. RFC 8659 legt das Format fest, die Baseline Requirements verpflichten jede Zertifizierungsstelle, diesen Eintrag vor der Ausstellung abzufragen. Fehlt der Eintrag, darf jede öffentlich vertrauenswürdige Stelle ausstellen – Schweigen gilt als Erlaubnis, nicht als Verbot. Ein Eintrag mit einem Semikolon als Wert verbietet die Ausstellung vollständig. Wer nur einen Anbieter zulassen will, muss das also im DNS hinterlegen.

Das Sternchen ersetzt genau einen Namensteil, nicht mehrere. RFC 9525 erlaubt nur ein Sternchen, nur als vollständigen Inhalt des linken Namensteils, und es passt auf genau einen Namensteil der aufgerufenen Adresse. Ein Zertifikat für alle Namen unter beispiel.de gilt damit für shop.beispiel.de, nicht für kasse.shop.beispiel.de. Dieselbe Norm nennt die Kehrseite: Ein solches Zertifikat bürgt für jeden Rechner dieser Ebene, auch für einen übernommenen.

Es muss gesperrt werden, und zwar binnen 24 Stunden. Die Baseline Requirements zählen den nachgewiesenen Schlüsselverlust zu den Gründen mit dieser kurzen Frist; für Gründe wie Missbrauch oder falsche Angaben im Zertifikat gilt eine Frist von fünf Tagen. Die Sperrung allein reicht jedoch nicht: Ein neues Zertifikat auf demselben Schlüsselpaar wäre ebenso offen wie das alte. Erst ein neu erzeugtes Schlüsselpaar beendet den Vorfall.

Jeden Domainnamen, der darin steht – dauerhaft und für jeden einsehbar. Chrome erkennt ein Zertifikat nur an, wenn es in öffentlichen Certificate-Transparency-Protokollen eingetragen ist: nach Chromes Richtlinie in zwei Protokollen bei einer Laufzeit bis 180 Tage, in drei darüber, davon mindestens zwei von verschiedenen Betreibern. Damit wird auch eine mitbeantragte Adresse wie testsystem.beispiel.de öffentlich. Wer solche Namen nicht verraten will, nimmt ein Zertifikat mit Sternchen oder eine eigene interne Stelle.