Let's Encrypt mit Apache

Diese Anleitung erklärt, wie Sie mit Certbot ein kostenloses SSL-Zertifikat von Let's Encrypt auf einem Linux-Server mit Apache (Debian, Ubuntu, AlmaLinux oder Rocky Linux) installieren und die automatische Erneuerung prüfen.

Voraussetzungen: Apache muss installiert und aktiv sein. Der A-Eintrag Ihrer Domain muss auf die IP Ihres Servers zeigen. Port 80 und 443 müssen in der Firewall geöffnet sein.

Schritt 1: Certbot installieren

Certbot und das Apache-Plugin über den Paketmanager installieren.

Debian / Ubuntu

Terminal

apt update apt install certbot python3-certbot-apache

AlmaLinux / Rocky Linux

Terminal

dnf install epel-release dnf install certbot python3-certbot-apache

Schritt 2: SSL-Modul in Apache aktivieren

Unter Debian/Ubuntu aktivieren Sie das Modul mit a2enmod, unter AlmaLinux/Rocky Linux installieren Sie das Paket mod_ssl.

Terminal

# Debian / Ubuntu a2enmod ssl systemctl restart apache2 # AlmaLinux / Rocky Linux dnf install mod_ssl systemctl restart httpd

Schritt 3: Zertifikat ausstellen

Certbot stellt das Zertifikat aus und konfiguriert Apache automatisch.

Ersetzen Sie ihre-domain.de durch Ihren tatsächlichen Domainnamen. Für mehrere Domains fügen Sie weitere -d-Parameter an:

Terminal

certbot --apache -d ihre-domain.de -d www.ihre-domain.de

Beim ersten Aufruf fragt Certbot nach einer E-Mail-Adresse und Ihrer Zustimmung zu den Nutzungsbedingungen. Anschließend richtet Certbot die Weiterleitung von HTTP auf HTTPS automatisch ein. Wenn Sie keine Weiterleitung möchten, ergänzen Sie --no-redirect.

Schritt 4: Installation prüfen

Apache-Konfiguration testen und neu laden.

Terminal

apachectl configtest systemctl reload apache2 # AlmaLinux / Rocky Linux: systemctl reload httpd

Öffnen Sie Ihre Domain im Browser — Sie sollten https:// und das Schloss-Symbol sehen. Für eine detaillierte Prüfung können Sie SSL Labs verwenden.

Schritt 5: Automatische Erneuerung prüfen

Let's-Encrypt-Zertifikate sind derzeit 90 Tage gültig. Certbot erneuert sie automatisch — prüfen Sie, ob der Timer aktiv ist.

Terminal

systemctl status certbot.timer

Testen Sie die automatische Erneuerung mit einem Probelauf:

Terminal

certbot renew --dry-run

Wenn --dry-run erfolgreich ist, funktioniert die automatische Erneuerung korrekt.

Zertifikat manuell erneuern

Falls eine manuelle Erneuerung notwendig ist.

Terminal

certbot renew systemctl reload apache2 # AlmaLinux / Rocky Linux: systemctl reload httpd

Häufige Fehlermeldungen

Fehler	Ursache & Lösung
Connection refused on port 80	Port 80 ist in der Firewall gesperrt. In iptables oder nftables öffnen.
Could not reliably determine the server's fully qualified domain name	Fügen Sie `ServerName ihre-domain.de` in die Apache-Konfiguration ein und starten Sie Apache neu.
DNS problem: NXDOMAIN	Der A-Eintrag der Domain zeigt nicht auf diesen Server. DNS prüfen und ggf. warten, bis die Änderung propagiert ist.
AH00526: Syntax error	Certbot hat die Apache-Konfiguration fehlerhaft modifiziert. Mit `apachectl configtest` prüfen und manuell korrigieren.

Weiterführende Dokumentation

Die vollständige Certbot-Dokumentation finden Sie auf der offiziellen Website.

Certbot-Dokumentation