Let's Encrypt!
Ende letzen Jahres ist ging das Projekt Let's Encrypt endlich and den Start - und war dann gleich wieder eine Ernüchterung.
Das Python-Script um Zertifikate zu erstellen soll auch gleich die Webserver-config anpassen - ist dadurch ein ziemlicher Moloch geworden, der so nebenbei auch fast nie funktioniert. Abgesehen davon mag ich es sowieso nicht wenn irgendwas (das ich nicht selber geschrieben habe oder bis ins Detail verstehe) in den Configs rumwurschteln will. Ganz besonders böse dazu der Kommentar von Fefe.
Aber die haben auch Gutes geschaffen: Eine CA für gratis-Zertifikate, die in allen Browsern funktioniert und das Protokoll ACME um die Zertifikate automatisch signieren zu lassen. Und dafür sind inzwischen schon jede Menge alternative Implementierungen entstanden.
Nachdem ich mir etliche davon angeschaut habe bin ich bei le geblieben. Funktioniert. Code ist verständlich und übersichtlich (obwohl in bash). Tut genau das was ich will und - der wichtige Teil - nicht mehr. SSL-Vhost muß man selber anlegen, sehe ich aber absolut nicht als Nachteil.
Für die SSL-Config kann ich noch den Mozilla SSL Configuration Generator empfehlen. Damit bekommt man normalerweise ein A auf SSL Labs hin.
Und so ist robelix.com jetzt endlich auch per https erreichbar.