Das Schloss in der Adresszeile ist kein Gütesiegel für die ganze Firma. Es sagt nur: Die Verbindung zwischen Browser und Server ist verschlüsselt, und der Browser hält den Namen im Zertifikat für passend zur aufgerufenen Domain. Das ist notwendig und längst Standard. Es ersetzt weder Backups noch gute Passwörter.
Was SSL, TLS und HTTPS bedeuten
Im Alltag sagen die meisten «SSL». Technisch spricht man heute von TLS; HTTPS ist HTTP über diese verschlüsselte Schicht. Für dich als Betreiberin oder Betreiber zählt das Ergebnis: Aufrufe, Formulare und Logins laufen nicht mehr im Klartext durch das Netz.
Ohne HTTPS sieht der Browser moderne Websites als unsicher. Browser kennzeichnen sie, Suchmaschinen bevorzugen die verschlüsselte Variante, und viele Schnittstellen setzen HTTPS voraus.
Was das Zertifikat nicht beweist
Ein gültiges Zertifikat heisst nicht, dass der Inhalt stimmt, der Shop seriös ist oder der Server fehlerfrei konfiguriert wurde. Es bestätigt die Transportverschlüsselung. Phishing-Seiten können ebenfalls HTTPS nutzen. Deshalb bleibt der Blick auf die Domain selbst wichtig, nicht nur auf das Schloss.
Let’s Encrypt und Zertifikate im Hosting
Für die allermeisten Websites reicht ein automatisch erneuertes Zertifikat, wie es Let’s Encrypt ausstellt. Im Panel, bei uns über Plesk, lässt sich das für die Domain aktivieren. Die Erneuerung muss funktionieren, sonst läuft das Zertifikat nach wenigen Monaten ab und Besucher sehen Warnungen.
Bei GrischaHosting gehört ein SSL-Zertifikat zum Webhosting dazu. Du musst es nicht als teures Extra kaufen, damit die Seite «richtig» wirkt. Spezielle Organisations- oder Extended-Validation-Zertifikate sind für die meisten Projekte unnötig; der sichtbare Unterschied im Browser ist heute gering.
Nach der Aktivierung: Mixed Content
Die typische Restbaustelle: Die Seite läuft unter https, lädt aber Bilder, Skripte oder Schriftarten noch über http. Der Browser blockiert das teilweise oder zeigt gemischte Inhalte. Prüfe nach dem Umschalten:
- die Standard-URL im CMS (WordPress: Website-Adresse)
- eingebettete Bilder und alte http-Links in Beiträgen
- externe Skripte, Fonts und Videoplayer
- Weiterleitung von http auf https, inklusive www oder ohne www, einheitlich eine Variante
Eine saubere Weiterleitung verhindert doppelte Inhalte und sorgt dafür, dass Lesezeichen und alte Links landen, wo sie sollen.
Mail und SSL
Nicht nur die Website braucht Verschlüsselung. IMAP, POP und SMTP sollten über die vorgesehenen Ports mit TLS laufen. Der Hostname im Mailprogramm muss zum Zertifikat passen, oft ein Servername wie der Webmail-Host, nicht irgendeine IP. Wenn Clients dauernd Zertifikatswarnungen zeigen, stimmt fast immer der Hostname, nicht «das Internet».
Kurz prüfen
Rufe die Seite selbst im Browser auf, ohne eingeloggt zu sein. Das Schloss sollte ohne Warnung erscheinen. Formulare (Kontakt, Login, Checkout) müssen unter HTTPS absenden. Wenn etwas hakt, liegt es selten am Zertifikat selbst, sondern an einer noch offenen http-Ressource oder einer fehlenden Weiterleitung.
SSL ist Pflicht und Grundlage. Die Arbeit danach entscheidet, ob die Seite auch in sechs Monaten noch ruhig läuft: aktuelle Software, Zugänge, Backups. Mehr zur technischen Basis steht auf der Seite Rechenzentrum.
