Domains und kostenloses SSL mit Let's Encrypt

Auf der Seite Domains und SSL einer Site verwaltest du die Namen, unter denen deine Site erreichbar ist, und die Zertifikate, die sie für HTTPS verwendet. Eine Site hat eine primäre Domain, kann beliebig viele Aliasse haben und ist außerdem unter einer kostenlosen generierten Adresse auf on-deploy.link erreichbar.

Verwaltet eine verbundene Integration das DNS der Domain, kann Vimonto Deploy die DNS-Einträge für dich anlegen und HTTPS von selbst anfordern. Für HTTPS forderst du mit wenigen Klicks ein kostenloses Let's-Encrypt-Zertifikat an; es verlängert sich automatisch. Du kannst auch ein gekauftes Zertifikat installieren oder einen Certificate Signing Request für deine Zertifizierungsstelle erstellen.

Die generierte on-deploy.link-Adresse#

Jede Site kann eine Adresse wie kalme-rivier-4821.on-deploy.link haben. Vimonto Deploy legt den DNS-Eintrag dafür an, sodass sie sofort funktioniert, ganz ohne eigenes DNS: praktisch, um eine Site vor dem Livegang zu testen oder eine Vorschau zu teilen.

Die Adresse wird beim Anlegen der Site gewählt. Eine Site, die unter dieser Adresse angelegt wird, bekommt von selbst HTTPS: Als letzten Schritt der Einrichtung wartet Vimonto Deploy, bis der neue DNS-Eintrag auf den Server zeigt, und fordert dann ein Let's-Encrypt-Zertifikat dafür an. Eine Site, die mit einer eigenen Domain angelegt wird, überspringt diesen Schritt. Lässt du diese Domain von einer DNS-Integration verweisen, bekommt sie HTTPS auf dieselbe Weise, sobald ihre Einträge auflösen (siehe unten); sonst forderst du ihr Zertifikat selbst an, sobald das DNS auf den Server zeigt, wie unten beschrieben.

Auf der Seite Domains und SSL kannst du unter on-deploy.link-Adresse:

• die Adresse Deaktivieren. Die Site ist dann nur noch unter ihren eigenen Domains erreichbar, und der DNS-Eintrag wird gelöscht.
• für eine Site ohne Adresse wieder eine Aktivieren. Eine neue Adresse bekommt einen anderen Namen.

Ist die generierte Adresse der einzige Name einer Site, lässt sie sich nicht deaktivieren: Füge zuerst eine eigene Domain hinzu, damit die Site immer mindestens einen Namen behält.

Eine Domain hinzufügen#

1. Klicke auf Domain hinzufügen.
2. Gib die Domain ein, zum Beispiel shop.example.com.
3. Wähle die Optionen für Wildcards und Weiterleitungen (siehe unten).
4. Aktiviere bei Bedarf Als primäre Domain verwenden.
5. Wähle unter DNS, wie die Domain ihre DNS-Einträge bekommt, falls du DNS-Integrationen hast (siehe unten).
6. Klicke auf Domain hinzufügen.

Die erste eigene Domain wird zur primären Domain und ersetzt die generierte Adresse (die daneben weiter funktioniert). Spätere Domains werden zu Aliassen, es sei denn, du aktivierst Als primäre Domain verwenden; die bisherige primäre Domain bleibt dann als Alias erhalten.

Nachdem du eine Domain hinzugefügt hast, schreibt Vimonto Deploy die Nginx-Konfiguration der Site neu, prüft sie mit nginx -t und lädt Nginx neu. Verwaltest du das DNS selbst, öffnet sich danach der Dialog Einrichten mit den DNS-Einträgen, die du anlegen musst. Verweist eine DNS-Integration die Domain, übernimmt das stattdessen ein Task.

Wildcards#

• Aus: nur die Domain selbst, etwa shop.example.com.
• An: auch alle Subdomains, etwa blog.shop.example.com. Nginx antwortet dann auch auf *.shop.example.com.

Weiterleitungen zwischen www und der Domain ohne www#

Weiterleitungen sind permanent (301) und behalten Pfad und Query-String bei. Du kannst diese Optionen später über Bearbeiten im Menü der Domain ändern.

Die primäre Domain ändern oder eine Domain entfernen#

Das Menü jeder Domain enthält:

• Einrichtungsschritte anzeigen: die DNS-Einträge und den HTTPS-Status dieser Domain.
• Bearbeiten: die Wildcard- und Weiterleitungsoptionen ändern.
• Zur primären machen: einen Alias zur primären Domain machen.
• Löschen: die Site ist unter der Domain nicht mehr erreichbar. Entfernst du die primäre Domain, übernimmt der erste Alias, sonst die generierte Adresse. DNS-Einträge, die Vimonto Deploy für die Domain bei einem verbundenen Account angelegt hat, werden mit entfernt; die Bestätigung listet sie auf. Andere Einträge entfernst du selbst bei deinem DNS-Anbieter.

Die primäre Domain wird im Site-Header angezeigt und für die Links der Site verwendet. Das Verzeichnis der Site auf dem Server ändert sich nicht, wenn sich die primäre Domain ändert.

Deine Domain per DNS auf den Server zeigen lassen#

Eine Domain erreicht deine Site erst, wenn ihr DNS auf deinen Server zeigt. Lege die Einträge bei deinem DNS-Anbieter an (dort, wo die Domain verwaltet wird):

Der Dialog Einrichten listet für eine Domain genau diese Einträge auf, jeweils mit Zeigt hierher oder Noch nicht. Ein Klick auf einen Namen oder Wert kopiert ihn. Domains, deren DNS noch nicht auf den Server zeigt, erscheinen in einem Warnhinweis über den Domains, und jede Domain-Zeile zeigt Zeigt auf diesen Server oder wohin sie stattdessen zeigt. DNS-Änderungen können ein paar Minuten brauchen, bis sie ankommen.

Domains hinter einem Load Balancer#

Bei Lastverteilung zeigt die Domain auf den Load Balancer, nicht auf die App-Server. Füge die Domain der Site auf dem Load Balancer und der Site auf jedem App-Server hinzu, lege die DNS-Einträge aber für die IP-Adresse des Load Balancers an und aktiviere HTTPS auf dem Load Balancer. Auf den App-Servern wird die Domain dann so angezeigt, als zeige sie woandershin; das ist so gewollt.

Domain automatisch per DNS-Integration einrichten#

Verwaltet einer deiner verbundenen Cloud- oder DNS-Accounts (Hetzner Cloud, DigitalOcean, Vultr, Akamai, AWS Route 53, Google Cloud DNS oder Cloudflare) die Zone der Domain, kann Vimonto Deploy die Einträge für dich anlegen. Verbinde den Account unter Einstellungen → Integrationen; die Account-Karte zeigt, welche Domains er verwaltet.

Hast du DNS-Integrationen, steht unter Domain der Hinweis „Wir suchen die Domain bei deinen DNS-Anbietern und setzen ihre Einträge automatisch.“ Während du tippst, holt Vimonto Deploy die Domain-Listen deiner Accounts live, sodass auch eine Domain gefunden wird, die du gerade erst beim Anbieter hinzugefügt hast, und ein Feld DNS zeigt, ob eine Integration sie verwaltet. Wenn ja, wähle:

• Automatisch mit … einrichten (der Account und die Zone, zum Beispiel Hetzner Cloud (example.com)): Vimonto Deploy legt die Einträge an. Diese Option ist vorausgewählt.
• Ich verwalte das DNS selbst: Beim DNS-Provider ändert sich nichts; lege die Einträge selbst an, wie oben beschrieben.

Verwaltet keine Integration die Domain, sagt das Feld das, und du legst die Einträge selbst an oder fügst die Domain einem deiner DNS-Anbieter hinzu (siehe unten).

Die Domain zu einem DNS-Anbieter hinzufügen#

Hat noch keiner deiner Accounts die Domain, du hast aber DNS-Integrationen, bietet das Feld Domain zu einem DNS-Anbieter hinzufügen an. Schalte es ein und wähle:

• Provider: den verbundenen Account, dem sie hinzugefügt wird (Hetzner Cloud, DigitalOcean, Vultr, Akamai, AWS, Google Cloud oder Cloudflare).
• Zone: die Domain, die dort angelegt wird. Vorgegeben ist die Domain ohne ihre Subdomain, etwa example.com für shop.example.com; es muss die Domain selbst sein oder eine Domain, auf die sie endet.

Das Feld zeigt dann die Einträge, die angelegt werden, alle Neu. Klickst du auf Domain hinzufügen, legt der Task zuerst die Zone beim Anbieter an (… zu … hinzufügen), dann die Einträge, und listet in seiner Ausgabe die Nameserver auf, die du für die Zone bei deinem Registrar einträgst. Bis du die Nameserver beim Registrar geändert hast, antwortet der Anbieter nicht für die Domain; HTTPS folgt, sobald das DNS auflöst.

Den Plan prüfen, bevor sich etwas ändert#

Mit Automatisch mit … einrichten listet das Feld jeden Eintrag auf, den die Domain braucht, und was mit ihm passiert:

Die Einträge sind dieselben wie von Hand: ein A-Record für die Domain auf die IPv4-Adresse des Servers, www. als CNAME auf die Domain, wenn eine www-Weiterleitung aktiv ist, und ein A-Record für *. bei aktivierten Wildcards. Unter einem Eintrag, der sich ändert, warnt dich das Feld, was das bedeutet:

• worauf der Name jetzt zeigt, was dann aufhört (zum Beispiel eine Site bei einem anderen Hoster);
• ein AAAA-Record, der entfernt wird, weil IPv6-Besucher sonst zur alten Adresse gingen;
• ein widersprüchlicher Eintrag, der entfernt wird, um Platz zu machen, etwa ein CNAME auf demselben Namen;
• bei Cloudflare, dass der Proxy für diesen Namen ausgeschaltet wird, damit HTTPS und Besucheradressen funktionieren.

Ändern sich bestehende Einträge, hake Diese Einträge ändern an, bevor du auf Domain hinzufügen klickst. Ohne den Haken wird nichts gespeichert. Vimonto Deploy prüft die Einträge beim Klick erneut, sodass der Plan, den es anwendet, der ist, den du gesehen hast.

Was danach passiert#

Ein Task, … auf … zeigen lassen, läuft auf der Seite Aktivität:

1. DNS bei … aktualisieren: Die Einträge werden genau so angelegt oder geändert, wie der Plan es gezeigt hat. Einträge bei Cloudflare werden nur als DNS angelegt (nicht über den Proxy).
2. HTTPS anfordern: Für die neue Domain (und die Namen, die schon auf dem aktiven Zertifikat stehen) wird ein Let's-Encrypt-Zertifikat angefordert. Dieser Task wartet zuerst, bis der Name auf den Server auflöst, höchstens 10 Minuten, fordert dann das Zertifikat an und stellt die Site auf HTTPS um.

Wildcard-Namen kommen nicht auf das Zertifikat, weil Let's Encrypt sie nur mit einer DNS-Challenge ausstellt. Löst der Name nicht innerhalb von 10 Minuten auf, schlägt der Zertifikats-Task mit einer Meldung fehl; die Einträge sind angelegt, fordere also später unter Zertifikate ein Zertifikat an.

Welche Einträge entfernt Vimonto Deploy?#

Vimonto Deploy merkt sich jeden DNS-Eintrag, den es bei einem verbundenen Account anlegt, mit der Site, der Domain und wofür er da ist: die Domain, www., eine Wildcard oder die WebSocket-Adresse von Reverb. Es entfernt nur diese:

• Eine Domain Löschen: Genau die Einträge, die für diese Domain angelegt wurden, werden entfernt. Die Bestätigung listet sie auf.
• Die Site löschen: Alle ihre Einträge werden entfernt, im Schritt DNS-Einträge entfernen. Siehe Site-Einstellungen.
• Reverb ausschalten: Sein WebSocket-Eintrag wird entfernt.

Einen Eintrag, der bereits woandershin zeigt und nicht von Vimonto Deploy angelegt wurde, überschreibt ein Feature wie Reverb nie: Der Task sagt dir, dass du ihn selbst ändern sollst. Nur das Hinzufügen einer Domain ändert bestehende Einträge, nachdem du Diese Einträge ändern angehakt hast.

HTTPS mit einem kostenlosen Let's-Encrypt-Zertifikat aktivieren#

1. Stelle sicher, dass deine Domains auf den Server zeigen.
2. Klicke unter Zertifikate auf Hinzufügen, wähle Let's Encrypt und klicke auf Weiter.
3. Hake die Domains an, die enthalten sein sollen. Bei jeder siehst du, ob sie auf diesen Server zeigt.
4. Klicke auf Anfordern.

Vimonto Deploy installiert bei Bedarf certbot und fordert das Zertifikat mit der Webroot-Challenge an: Let's Encrypt ruft über http:// eine Datei aus /.well-known/acme-challenge/ ab, das jede Site aus /var/www/letsencrypt ausliefert. Nichts muss angehalten werden, und der Passwortschutz blockiert die Challenge nicht.

Sobald das Zertifikat ausgestellt ist, wechselt die Site auf HTTPS:

• Nginx lauscht auf Port 443 mit HTTP/2, TLS 1.2 und 1.3 und sendet einen Strict-Transport-Security-Header.
• Einfache http://-Requests werden auf https:// weitergeleitet.
• Der Site-Header zeigt HTTPS, und jede Domain auf dem Zertifikat zeigt in der Liste HTTPS.

Let's-Encrypt-Zertifikate zeigen verlängert sich automatisch. Der certbot-Timer auf dem Server verlängert sie vor Ablauf und lädt Nginx neu.

Nach dem Hinzufügen einer Domain#

Ein Zertifikat gilt für die Namen, für die es ausgestellt wurde. Fügst du einer Site mit HTTPS eine Domain hinzu, erinnert dich Vimonto Deploy mit Neues Zertifikat anfordern daran: Fordere ein neues Let's-Encrypt-Zertifikat an, das den neuen Namen enthält. Es ersetzt das alte als aktives Zertifikat.

Ein eigenes Zertifikat verwenden#

Klicke unter Zertifikate auf Hinzufügen und wähle eine dieser Optionen:

• Vorhandenes Zertifikat: Füge das Zertifikat im PEM-Format ein, gefolgt von den Zwischenzertifikaten, sowie seinen Privaten Schlüssel. Vimonto Deploy prüft, ob der Schlüssel zum Zertifikat gehört, bevor Nginx es verwendet, und liest Domains und Ablaufdatum aus dem Zertifikat.
• Certificate Signing Request (CSR): Wähle die Domains und fülle Land, Bundesland oder Provinz, Stadt, Organisation und Abteilung aus. Vimonto Deploy erstellt einen privaten Schlüssel (verschlüsselt gespeichert) und einen Request, den du bei deiner Zertifizierungsstelle einreichst. Sobald er signiert ist, wählst du im Menü des Zertifikats Signiertes Zertifikat installieren und fügst es ein.
• Zertifikat klonen: Verwende ein Zertifikat, das für eine andere Site in deiner Organisation hochgeladen wurde, zum Beispiel ein Wildcard-Zertifikat, das sich mehrere Sites teilen. Let's-Encrypt-Zertifikate lassen sich nicht klonen.

Hochgeladene Zertifikate zeigen gültig bis und ihr Ablaufdatum. Sie verlängern sich nicht: Installiere vor diesem Datum ein neues.

Ein aktives Zertifikat pro Site#

Eine Site kann mehrere Zertifikate haben, aber Nginx liefert genau eines aus: das aktive, markiert mit Aktiv. Ein neues Zertifikat wird aktiv, sobald es installiert ist. Im Menü eines Zertifikats kannst du:

• ein installiertes, nicht aktives Zertifikat Verwenden.
• HTTPS deaktivieren: Die Site wechselt zurück auf http://. Das Zertifikat bleibt erhalten, sodass du HTTPS später wieder aktivieren kannst.
• das Zertifikat Löschen. Löschst du das aktive, wird HTTPS ebenfalls deaktiviert.

Hat die Site eine eigene Nginx-Konfiguration, wird das Zertifikat zwar installiert, aber nicht in die Konfiguration eingetragen: Das Log der Aufgabe nennt dir die Dateipfade, die du selbst ergänzen musst.

Häufig gestellte Fragen#

Ist SSL kostenlos?#

Ja. Let's-Encrypt-Zertifikate sind kostenlos und verlängern sich automatisch. Vimonto Deploy berechnet dafür nichts.

Wie lange dauert es, bis meine Domain funktioniert?#

Die Nginx-Änderung dauert Sekunden. DNS-Änderungen bei deinem Anbieter kommen meist innerhalb von Minuten an, manchmal dauert es länger. Der Dialog Einrichten zeigt, wann jeder Eintrag auf deinen Server zeigt. Mit einer DNS-Integration wartet Vimonto Deploy bis zu 10 Minuten auf die Einträge und aktiviert HTTPS dann von selbst.

Kann Vimonto Deploy meine DNS-Einträge anlegen?#

Ja, wenn die Domain von einem verbundenen Account bei Hetzner Cloud, DigitalOcean, Vultr, Akamai, AWS, Google Cloud oder Cloudflare verwaltet wird. Verbinde ihn unter Integrationen, füge dann die Domain hinzu und wähle Automatisch mit … einrichten. Domains bei anderen DNS-Anbietern verweist du selbst.

Kann ich die on-deploy.link-Adresse mit HTTPS nutzen?#

Ja. Eine Site, die unter ihrer generierten Adresse angelegt wird, bekommt während der Einrichtung automatisch ein Let's-Encrypt-Zertifikat. Ansonsten ist die generierte Adresse einer der Namen der Site. Sie erscheint also, wenn du ein Let's-Encrypt-Zertifikat anforderst, und ihr DNS-Eintrag zeigt bereits auf deinen Server.

Was, wenn das automatische Zertifikat fehlschlägt?#

Die Site funktioniert weiter über http://, und du bekommst eine Benachrichtigung, dass das Zertifikat fehlgeschlagen ist. Fordere unter Zertifikate mit Hinzufügen und Let's Encrypt erneut eines an.

Warum zeigt eine Domain „Nur HTTP“?#

Die Domain ist noch nicht im aktiven Zertifikat enthalten. Fordere ein neues Zertifikat an, das sie einschließt.

Kann ich mehrere Domains über eine Site ausliefern?#

Ja. Füge jede als Alias hinzu; Nginx liefert die Site unter allen aus, jeweils mit den eigenen Wildcard- und www.-Optionen der Domain. Nimm sie alle in ein Zertifikat auf.