WoSign – kostenlose SSL Zertifikate für 2 Jahre

WoSign bietet kostenlose SSL-Zertifikate für 2 Jahre an. Dies erweist sich als gute Alternative für die kostenlosen Zertifikate der Firma StartSSL. Diese Zertifikate waren auf 1 Jahr und einen nicht kommerziellen Einsatz limitiert.

WoSign ist ein chinesischer Anbieter, aber keine Angst, dies hat keinen Einfluss auf die Verschlüsselung :D! Die WoSign Zwischenzertifiakte sind mittlerweile auch SHA256 signiert und somit mit allen modernen Browsern kompatibel.

CSR und KEY erstellen

Prinziepell ist es möglich den CSR (Certificate Signing Request) und den Key auf der Webseite generieren zu lassen. Davon rate ich aber dringent ab. Der Privat Key heist nicht umsonst so und sollte nur dem Besitzer selbst bekannt sein.

Die benötigten Dateien erstellen wir auf der Konsole wie folgt:

# Domainnamen setzen
DOMAINNAME=meinedomain.tld

# Verzeichnis erstellen
mkdir $DOMAINNAME

# Dateien erzeugen
openssl req -new -newkey rsa:2048 -nodes -keyout $DOMAINNAME/$DOMAINNAME.key -out $DOMAINNAME/$DOMAINNAME.csr

Anschliessend erscheint folgender Dialog:

Generating a 2048 bit RSA private key
..................................+++
......................+++
writing new private key to 'meinedomain.tld/meinedomain.tld.key'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:meinedomain.tld
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Der „Common Name“ ist der Name der Domain auf die das Zertifikat ausgestellt werden soll. Daher ist besonders darauf achten, dass dort die richtigen angaben gemacht werden.

Anschliessend passen wir noch die Rechte entsprechend an.

chmod 600 $DOMAINNAME/*

Kostenloses SSL Zertifikat bestellen

Nachdem wir uns alle benötigten Zertifikat-Dateien erstellt haben können wir nun das Zertifikat auf der Webseite von WoSign bestellen. Der Bestell-Dialog ist mittlerweile auch in englischer Sprache möglich, dies erleichtert die Sache schon mal um einiges.

• Als erstes besuchen wir die Seite https://buy.wosign.com/free/
• Im oberen Feld geben wir die Domain(s) an für die das Zertifikat ausgestellt werden soll. Geben wir dort z.B. „meinedomain.tld“ ein, gilt das Zertifikat automatisch auch für „www.meinedomain.tld“
• Die Felder Period, Language und Algorithm können auf den Standardwerten bleiben.
• Dann müssen wir unsere Domain validieren. Dazu können wir uns entweder eine E-Mail an eine administrative Adresse senden lassen oder eine Datei auf unseren Webspace laden.
• Im dritten Schritt wählen wir die Option „Generated by myself“ und fügen den Inhalt unser erstellen CSR Datei ein.
• Anschliessend füllen wir die Felder E-Mail und Passwort aus und erstellen damit ein WoSign-Konto.

Nach dem Absenden des Formulars erhalten wir eine Bestätigungsmail. In dieser Mail wird der vorraussichtliche Termin der Bereitstellung für das SSL-Zertifikat genannt. Bei mir war dies aber entgegen der angekündigten Wartezeit von 2 Tagen bereits innerhalb von 3 Stunden erledigt.

Irgendwann bekommt man dann einen Link per E-Mail mitgeteilt. Dort gibt es dann die Möglichkeit das Zertifikat herrunterzuladen.

Wir man das Zerfifikat nun zum Beispiel in nginx richtig einbindet kann man in meinem Artikel NGINX – sichere SSL/TLS Konfiguration nachlesen.

Wenn das Zertifikat richtig eingebunden wurde sollte der Test bei SSLLabs folgende Resultate liefern.

Das Zertifikat kann auch für andere Zwecke verwendet werden. z.B. können wir damit die Verbindung zum Mailserver (Postfix, Dovecot), die Verbindungen zum FTP-Server oder auch das Panel von Plesk absichern.