RootForum Community

Moinsen Leutz,

ich habe die Aufgabe mir neue Vertragsmodalitäten für unsere Webhosting-Kunden auszudenken. (Sind nur ne Hand voll, damit wir unseren Root-Server nicht allein finanzieren müssen).
Jetzt wollen wir mit der Server-Umstellung auch SSL-Verschlüsselung anbieten. Ich habe mich jetzt schon ein wenig eingelesen, jedoch noch die eine oder andere Frage.
Ich werd mal mein gefährliches Halbwissen zusammentragen.
Zertifizierungsklassen:
Bei der Überprüfung der Daten des Antragsstellers gibt es verschiedene Stufen.
Class 0 --> keinerlei Überprüfung (selbst erstellte Zertifikate? )
Class 1 --> geprüfte Mailadresse ( Mail an den Domainadmin laut DNS-Eintrag? )
Class 2 --> schriftliche Bestätigung, das die Angaben korrekt sind ( unterschriebenes Fax? )
Class 3 --> amtliches Dokument (z.B. Perso für Personen oder Handelsregisterauszug bei Frimen)
Zertifikatsarten:
"normale" Zertifikate --> nur für eine Subdomain+Domain gültig subdomain.domain.tld
Wildcard-Zertifikate --> für alle Subdomains einer Domain gültig *.domain.tld
Multidomain Zertifikate --> alle Subdomains mehrerer Domainnamen. Anzahl je nach Vertrag..

Soweit erstmal meine Recherche.
Jetzt habe ich gelesen, dass man pro IP nur ein Zertifikat vergeben kann. Das heißt für mich also, wenn nur unsere Firmendomain gesichert werden soll reicht ein normales Zertifikat. Wollen wir jedoch ein paar Subdomains mit reinnehmen sollte es schon ein Wildcard-Zert. sein.
Kommt nun jedoch ein Kunde (es wurde schon mit Auftrag gedroht) und möchte seine Domain sichern, muss entweder eine weitere IP + ein weiteres Normalzertifikat her oder man erweitert auf ein Multidomain-Zert., so dass man seine Domain mit unten den gemeinsamen Hut nimmt, wobei dann der Eigentümer unsere Firma und nicht der Domaininhaber ist.

Seh ich das richtig?

Greetz

Ja

Cool thx,

also wäre es wahrscheinlich am Sinnvollsten ein Multidomain-Zert. zu nehmen, da man das individuell erhöhen kann.
Z.B. erstmal eigeneDomain.tld und secure.eigeneDomain.tld, wenn dann noch ein Kunde mitmachen will, bezahlt er die Mehrkosten der angemeldeten Domain + unser Gewinn...

Greetz

Nein das macht IMHO keinen Sinn. Denn damit kann der Kunde nicht unter seiner Organisation auftreten. Ich als Kunde wuerde das nicht wollen und als Anbieter auch nicht um ehrlich zu sein.

Unterschiedliche rechtliche Entitaeten gehoeren meiner Meinung nach auch in unterschiedliche Zertifikate.

kniepbert wrote:also wäre es wahrscheinlich am Sinnvollsten ein Multidomain-Zert. zu nehmen, da man das individuell erhöhen kann.

Nein. Bei einem MDC wird genau wie bei jedem Zertifikat auch der eingereichte CSR von der Vergabestelle signiert (natürlich nach Prüfung der Angaben im CSR). Um eine weitere Domain aufzunehmen, muss ein neuer CSR erstellt werden, der dann wiederum signiert werden muss (was wahrscheinlich nicht kostenlos erfolgen dürfte ). Ein MDC hilft Dir eher darüber hinweg, wenn Du nicht für jeden CN eine IP-Adresse zur Verfügung stellen kannst - identifiziert wird im Zweifel nur die (IP-bezogene) Entität, die im CN angegeben ist. Die restlichen Einträge sind eher als "Künstlernamen" zu bewerten. Ein paranoider Client, der Reverse DNS abfragt, würde die Verbindung wieder kappen, wenn der Zielhost sich per MDC ausweisen möchte (ist mir mal bei SMTPS passiert...)

OK, individuell erhöhen meine ich auch nicht wirklich wörtlich. :)
Selbiges geschieht ja dann über die ausstellende Stelle.
Mir scheint aber nicht anderes übrigzubleiben, da unser Rootserver bei Strato steht und maximal zwei IPs haben kann.
Somit kann ich eine domain mit richtiger Zuordnung absichern, der Rest muss dann unter uneren Firmenhut schlüpfen, da keine IP mehr frei ist.

Greetz

Wenn du den Service anbieten willst dann solltest du die einen Anbieter suchen, der die entsprechenden Anforderungen erfuellt. Ansonsten biete den Service nicht an!

Naja,

unsere Kunden sind nicht gerade ein Quell an inovativen Webauftitten.
Die meisten sind nur statische Webseiten mit einigen Informationen.
Nicht gerade die anspruchvollsten quasi..
Der eine Kunde, der eine SSL-Verschlüsselung brauchen könnte, wird denke ich dann (wenn gewünscht) ein eigenes Zertifikat benutzen, oder eben bei uns mit unterschlüpfen.
SSL ist ehr für unsere Dienste (Mail, Terminplaung, etc.) ein wichtiges Thema und das könnte bestens über ein MDZ abgedeckt werden...

Thx

kniepbert wrote: [...] Webauftitten.
[...]

Woran auch immer du gedacht hast.

Zum Thema: ohne eigene IP pro Kunden wird es schwer...

:roll: Da haben die 10Jahre Klosterschule nichts gebracht...

Aber schwer wird es doch nur, wenn die Kunden ein auf sich selbst zertifiziertes Zertifikat (heut sag ich auch alles zweimal-zweimal) haben möchten.
Mit dem Multidomain-Zert. klappt es doch trotzdem, oder?

Ja aber willst du das denn haben? Willst du mit allen Seiten deiner Kunden so eng in Verbindung gebracht werden?

Hallo,

ein Multidomainzertifikat wird nicht auf eine Domain ausgestellt sondern auf einen Inhaber.

Die zusätzlich eingetragenen Domainnamen müssen dem Zertifikatsinhaber gehören, andernfalls können sie nicht eingetragen werden.

Gruß Neffe