10
10. April 2014
Kategoriebild allgemein.png
Heartbleed Bug – Neuausstellung von Zertifikaten

In diesem Blogartikel hatten wir bereits über die Sicherheitslücke in OpenSSL, den sogenannten “Heartbleed Bug”, berichtet.

Für alle Administratoren, die bis zur Aktualisierung auf die gepatchte Version eine der betroffenen Versionen (1.0.1 bis einschließlich 1.0.1f) genutzt haben, wird ein Austausch des SSL-Zertifikats dringend empfohlen.

WICHTIG: Da unsere Webhosting-Server von dem Bug nicht betroffen sind, ist ein Austausch der bei uns genutzten SSL-Zertifikate nicht notwendig.

Allen Kunden, die ein SSL-Zertifikat von uns nutzen und von dem „Heartbleed Bug“ betroffen sind, bieten wir gerne einen kostenfreien Austausch des SSL-Zertifikats für die aktuelle Laufzeit an.

Kontaktieren Sie dafür bitte unseren Kundenservice in Ihrem Kundenmenü über den Menüpunkt “Kundenservice” (Bereich “Technik”).

Bitte beachten Sie dazu folgende Hinweise:

  • Sobald das neue Zertifikat ausgestellt wurde, wird das bislang genutzte Zertifikat ungültig. Sie sollten es also auf Ihrem Server direkt tauschen.
  • Bei dem Zertifikatstyp “GeoTrust TrueBusinessID mit erweiterter Validierung” kann die Neuausstellung einige Tage dauern.
  • Ein Zertifikat kann auf mehreren Servern genutzt werden (Multiserverfähigkeit). Haben Sie das Zertifikat auf mehreren Servern im Einsatz, müssen Sie es auf allen Servern tauschen, da das alte Zertifikat umgehend mit der Neuausstellung ungültig wird.

Hinweis: Über die Webseite von Geotrust besteht für Sie die Möglichkeit, Ihr SSL-Zertifikat selbst zu erneuern. Wir möchten Sie jedoch bitten, dies nicht zu tun, da es sonst bei künftigen Zertifikats-Verlängerungen zu Problemen kommen kann.

6
12. November 2012
Kategoriebild allgemein.png
Sicherheit auf dem Webserver erhöhen

In der vergangenen Woche haben wir mit dem Beitrag “Skript-Sicherheit mittels PHP.INI erhöhen” einige Optionen genannt, mit der Sie als Kunde Ihre eingesetzten Skripte etwas eindämmen und die Sicherheit auf dem Webspace erhöhen können. Heute möchten wir Ihnen weitere Möglichkeiten und Hinweise geben, um es Angreifern schwerer zu machen und deren Schaden zu verringern.

Alle beschriebenen Optionen bieten keinen 100-prozentigen Schutz und sind nur als zusätzliche Maßnahmen anzusehen. Bitte prüfen Sie im Einzelfall, ob die genannten Maßnahmen für Sie überhaupt sinnvoll nutzbar sind.

  1. Nutzen Sie wo immer möglich eine Quota zur Abtrennung einzelner Verzeichnisse/Bereiche, so dass im schlimmsten Fall nur dieser Bereich betroffen ist und nicht Ihr kompletter Webserver. Die Einrichtung von Quotas nehmen Sie bitte im Kundenmenü in der Rubrik “Für Profis” unter dem Menüpunkt “Verzeichnisse/Quotas” vor.
  2. Setzen Sie in der php.ini-Datei Ihrer Domain(s) die sicheren PHP-Einstellungen, sofern Sie keine eigene PHP.INI verwenden möchten/können. IM Kundenmenü finden Sie Option bei der PHP-Versionsauswahl über den Menüpunkt “Allgemeines” -> “PHP-Version”.
  3. Sichern Sie sensible Bereiche zusätzlich mit einem Passwortschutz per .htaccess ab. Beispielsweise die URL bzw. den Pfad für die Administrationsoberfläche. (Wie Sie einen solchen Passwortschutz erstellen, beschreiben wir in unseren FAQ: Wie kann ich einen geschützten Bereich für meine Homepage einrichten?

  4. Nutzen Sie für sensiblere Bereiche wie den Login zusätzlich eine sichere Verbindung mittels SSL. Auch ohne eigenes Zertifikat kann beispielsweise über unseren SSL-Proxy “https” genutzt werden. Alle Informationen dazu finden Sie ebenfalls in unseren FAQ: Wie rufe ich meine Seite mit SSL-Verschlüsselung auf?

  5. Falls Sie selbst entwickelte PHP-Skripte einsetzen, sollten Sie bestimmte Grundregeln zur sicheren Entwicklung von PHP-Skripten beachten. Hierzu gehört es vor allem:- sämtliche Benutzereingaben zu validieren, um ein Einschleusen von ungültigen und ggf. schadhaften Werten/Parametern zu verhindern.
    • Zugangsdaten (z. B. zu Admin-Backends oder Datenbanken) nicht im Klartext auf dem Webserver zu speichern, sofern dies möglich ist. Häufig ist hier ein Abgleich mit einem Hash-Wert des Passwortes ausreichend.- sichere Passwörter zu verwenden, ab 10 Stellen und mit Buchstaben- und Zahlenkombinationen sowie Sonderzeichen.
    • Bitte verwenden Sie nach Möglichkeit die jeweils aktuellste der angebotenen PHP-Version (z.B. PHP 5.2.17 oder PHP 5.3.10), um auszuschließen, dass durch in PHP vorhandene Fehler und Sicherheitslücken Schadcode auf Ihrem Webspace ausgeführt wird. Selbes gilt für die MySQL-Datenbanken.
  6. Besitzen Sie bei uns einen Managed- oder ResellerDedicated-Server, so können Sie über das Kundenmenü mittels einer Anfrage an unsere Technikabteilung für den Webserver nachfolgende Werte setzen lassen:
    • ServerTokens ProductOnly (Diese Einstellung gilt für den gesamten Server und veranlasst den Webserver nur seinen Namen auszugeben, nicht jedoch die genaue Versionsnummer oder eingesetzte Module)
    • ServerSignature Off (Der Webserver erzeugt keine Informationsfußzeile mehr unter ausgelieferte Dokumente)
    • Für beide Einstellungen gilt: Es gibt Anwendungen, die die zurückgegebenen Werte auswerten und ohne vollständige Informationen Fehler verursachen. Ebenfalls gelten diese Optionen für den kompletten Server, einzelne Domains können davon nicht ausgenommen werden.
5
23. April 2012
Kategoriebild allgemein.png
SSL-Zertifikate mit neuem Design

Auch die Leistungsbeschreibung der SSL-Zertifikate wurde auf heute überarbeitet und auf das aktuelle Layout umgestellt, das Sie bereits von den Seiten für ManagedServer, MyHome Plus oder ManagedHosting Pro kennen.

Optisch gibt es nur wenige sichtbare Unterschiede; durch das Ersetzen einiger Grafiken durch Text und den Umbau der Seite kommt es aber zu einer deutlichen Reduzierung der Ladezeit :)

Unsere SSL-Zertifikate finden Sie hier.

24
24. November 2010
Kategoriebild allgemein.png
SSL-Zertifikate: Fix und fertig in einer Minute

Seit heute ist unser neues SSL-Zertifikate Angebot online. Dabei richten wir uns nicht nur an Kunden, die ihren Webspace bei uns haben. Sondern an alle Domaininhaber, die bei ihrem Provider oder Server eigene SSL-Zertifikate installieren und nutzen können.

Für unsere Kunden haben wir den neuen Service jedoch besonders unkompliziert konzeptioniert. Denn die Bestellung erfolgt Schritt für Schritt über einen komfortablen Assistenten, an dessen Ende die Ausstellung und automatische Installation des neuen Zertifikates im Normalfall innerhalb einer Minute erfolgt.

Wie dies genau geht, zeigen die folgenden Screenshots:

Hier ist die Übersicht der neuen “SSL-Zertifikate” Seite im Kundenmenü zu sehen. Dort bereits bestellte Zertifikate werden angezeigt und natürlich ist auch eine Neubestellung möglich.

Bei der Neubestellung eines Zertifikates startet der Assistent mit der Abfrage des Domainnamens. Dabei ist das Textfeld anfangs leer, sobald man jedoch Zeichen eingibt erscheinen die passenden vorhandenen (Sub-)Domains. Natürlich kann auch eine Domain eingegeben werden, die nicht bei uns registriert ist.

Wurde eine (Sub-)Domain ausgewählt, ist auf der Folgeseite noch die Entscheidung über den zu bestellenden Zertifikattyp erforderlich. Am günstigsten und schnellsten geht es natürlich mit den “Geotrust RapidSSL” und “GeoTrust RapidSSL Wildcard” Zertifikaten. Diese beinhalten keine Identifizierung des Antragstellers und können somit vollautomatisch ausgestellt werden. Wer z.B. aufgrund sensibler Einsatzbereiche oder aus anderen Gründen ein Zertifikat mit Inhaberüberprüfung möchte, wählt eine der TrueBusinessID-Varianten. Hier soll nun jedoch ein “GeoTrust RapidSSL” Zertifikat bestellt werden.

Im Anschluss an die Wahl des Zertifikattyps gelangt man zur Abfrage, ob das Zertifikat bei uns (mit automatischer Installation) eingesetzt werden oder bei einem anderen Provider/Server genutzt werden soll. In letzterem Fall werden weitere Optionen eingeblendet. Da das neue Zertifikat im Beispiel jedoch bei uns eingesetzt werden soll, spielen diese hier keine Rolle.

Schritt vier widmet sich der Abfrage der Zertifikatinhaberdaten. Es ist – insbesondere für die TrueBusinessID Zertifikate – wichtig, dass die Angaben richtig und überprüfbar sind.

Zu guter Letzt stellt der Bestellassistent alle eingegebenen Daten nochmals da und ermöglicht ggf. eine Korrektur. Wenn alles passt, heißt es: Auftrag absenden!

Hier nun die Übersichtsseite mit dem neue bestellten Zertifikat, welches nun erstellt und installiert wird:

Unmittelbar nach dem Abschluss der Bestellung versenden wir eine Auftragsbestätigung. In diesem Fall um 08:25 Uhr.

Mit einer weitere E-Mail informieren wir unsere Kunden, sobald wir die Bestellung abgeschlossen und das neue Zertifikat für den Kunden installiert haben. Hier war dies um 08:26 Uhr der Fall.

Wie lange hat es nun gedauert, bis das Zertifikat automatisiert erstellt und installiert worden ist? Vergleichen wir die E-Mailzeiten, dann sehen wir: höchstens eine Minute. :-)

Und was hat unser Kunde nun noch zu tun?

Nichts. :-D

Das Zertifikat wurde erstellt und installiert, der Vorgang ist damit abgeschlossen. Abhängig von eventuellen Nameserveraktualisierungen ist eine Nutzung sofort oder spätestens in ca. 30 Minuten möglichen.

Im Kundenmenü sieht die Anzeige der SSL-Zertifikate nun dementsprechend auch so aus:

Übrigens: Natürlich informieren wir rechtzeitig vor Ablauf des bezahlten Nutzungsjahres über die erforderliche Neubestellung. Dadurch bleiben unsere Kunden vollständig flexibel.

:-)

5
Kategoriebild allgemein.png
Neue SSL-Zertifikate bei domainFACTORY

Es freut uns, Sie hiermit über die Einführung neuer SSL-Zertifikate bei domainFACTORY informieren zu können. Dabei haben wir ein besonderes Augenmerk vor allem auf die Erweiterung des Produktportfolios und die providerunabhängige Nutzbarkeit gelegt.

So bieten wir zukünftig neben den Produkten

  • “Geotrust RapidSSL” (19,95 €*) mit automatischer Verifizierung und Aktivierung
  • “Geotrust RapidSSL Wildcard” (89,95 €*) für mehrere Subdomains einer Domain

zusätzlich die folgenden SSL-Zertifikate an:

  • GeoTrust TrueBusinessID (99,95 €*) mit Validierung des Inhabers. Das Zertifikat eignet sich somit vor allem für mit einem höheren Bedürnfis an Vertrauenswürdigkeit einhergehenden Webseiten/Onlineshops, bei denen die vereinfachte automatische Prüfung der RapidSSL-Zertifikate nicht ausreicht.
  • GeoTrust TrueBusinessID mit erweiterter Validierung (199,95 €*). Hierbei handelt es sich um als besonders sicher geltende Zertifikate, die z.B. häufig bei Onlinebanking- und anderen sehr sensiblen Webseiten eingesetzt werden. Der große Vorteil bei diesen Zertifikaten ist die in vielen Browsern grün gehaltene Adressleiste, welche auf den ersten Blick Vertrauenswürdigkeit und Sicherheit signalisiert.
  • GeoTrust TrueBusiness ID Wildcard (399,95 €*) – für alle Subdomains einer gewählten Domain gültiges SSL-Zertifikat mit Inhabervalidierung. “Wildcard”-Zertifikate eignen sich dann, wenn sehr viele Subdomains gleichzeitig (und damit unterm Strich kostengünstig) über das gleiche Zertifikat abgesichert werden sollen. Im Normalfall kann ja jedes Zertifikat nur mit einer ganz bestimmten (Sub-)Domain genutzt werden.

Während die bisher angebotenen SSL-Zertifikate nur für bei uns gehostete Webseiten eingesetzt werden konnten, ist nun erstmalig auch alternativ die Nutzung mit nicht bei uns registrierten Domainnamen möglich. Einzige Voraussetzung dafür ist, dass Ihr Provider die entsprechende Installation aktiv unterstützt bzw. Sie als Serverbetreiber die entsprechenden technischen Schritte selbst ausführen können. Für bei uns genutzte Zertifikate übernehmen wir natürlich die Installation und Aktivierung, so dass Ihnen als Kunde kein Mehraufwand entsteht. :-)

Übrigens: Die SSL-Zertifikatbestellung im Kundenmenü haben wir vollständig erneuert und dabei umfangreich verbessert. So führt nun z.B. ein übersichtlicher Assistent Schritt für Schritt durch die Bestellung und erlaubt auch den Download der nötigen Dateien für den Einsatz des Zertifikates bei einem anderen Provider.

Sofern Sie noch kein Kunde sind und nur SSL-Zertifikate bestellen müssen, ist dies natürlich jederzeit in Verbindung mit dem an sich kostenfreien “DomainManager” Tarif möglich. Verfügen Sie bereits über einen domainFACTORY-Tarif, ist eine Bestellung im Kundenmenü (Link “SSL-Zertifikate”) möglich.

Weitere Informationen finden Sie auch…

*) Jahrespreis inkl. ges. Mehrwertsteuer

0
23. April 2010
Kategoriebild interna.png
SSL-Zertifikate

Aufgrund einer kurzfristigen Änderungen bei unserem Provider für SSL-Zertifikate kam es gestern zu (für Kunden zum Glück nicht spürbaren) Verzögerungen bei der Bearbeitung von entsprechenden Bestellungen unserer Kunden. Der Grund dafür findet sich hier. Das Problem wurde zwischenzeitlich behoben und die Bearbeitung geht, nachdem wir uns auf die geänderte Verfahrensweise eingestellt haben, wieder ihren gewohnten Gang.

3
12. August 2009
Kategoriebild interna.png
Die Qual der Wahl

Aufgrund der neu eingeführten SSL-Zertifikate standen wir vor der Frage, wie mit bereits beauftragten Verlängerungen der nun nicht mehr angebotenen Zertifikatstypen verfahren werden soll. Auf den ersten Blick wäre es am naheliegensten gewesen, einfach das neue Zertifikat für 19,95 € Jahrespreis zu nutzen. Damit hätten wir manchen Kunden aber unter Umständen einen Bärendienst erwiesen. Zum Beispiel, weil sie bewusst ein “QuickSSL Premium” Zertifikat (mit anderem Root-Zertifikat, welches manche ausgefallenen Browser wohl besser erkennen) gewählt haben oder nicht auf das bisherige, gewohnte “Site Seal” verzichten wollen. Die einfache Bearbeitung aller bereits vorliegenden Bestellungen zum alten Preis hätte jedoch aus Kundensicht einen üblen Beigeschmack gehabt.

Wir haben daher alle betroffenen KundInnen angeschrieben und ihnen die Wahl überlassen. Die Rückmeldungen haben uns angenehm überrascht. Waren Sie doch mit einer ganzen Menge Lob und netter Worte verbunden. Anscheinend ist es immer noch zu ungewöhnlich, dass Firmen sich über solche Dinge Gedanken machen und nicht einfach sagen “Pech gehabt”. Gut für uns, aber ein Armutszeugnis für den Servicestandort Deutschland.

Nachtrag:  Hier noch ein paar Kundenkommentare diesbezüglich.

“Vielen lieben Dank für die Aufmerksamkeit und blue skies (wie sich die Fallschirmspringer wünschen)”

“…na das ist doch mal eine gute Nachricht! Kaum zu glauben, dass es sowas noch gibt…”

“wir sind immer wieder beeindruckt von dem fairen Service von Domainfactory :-)”

8
6. August 2009
Kategoriebild interna.png
Dienstag

Am kommenden Dienstag, den 11. August 2009 start unser neue überarbeitetes Angebot für SSL-Zertifikate. Die beiden bisher angebotenen Produkte werden dabei durch ein neues, reguläres Zertifkat (für eine exakte, bestimmte Subdomain nutzbar, z.B. www.domain.tld oder shop.domain.tld) und ein “Wildcard-Zertifikat”  (für alle Subdomains einer Domain nutzbar) ersetzt. Die Preise: für das normale Zertifikat unter 30 €, für das Wildcard-Zertifikat unter 100 €. :-)

10
29. Juli 2009
Kategoriebild interna.png
SSL Zertifikate

Während die Preise im IT-Bereich stetig gefallen sind, müssen auch heute noch für  SSL-Zertifikate beachtliche Summen bezahlt werden. Selbst, wenn diese vollautomatisch erstellt werden und nicht die Identität einer Person sondern z.B. nur die Existenz einer bestimmten E-Mailadresse garantieren.  Durch Verhandlungen ist es uns nun endlich möglich geworden, zukünftig SSL-Zertifikate deutlich günstiger anbieten zu können. Dafür haben wir nicht nur einen niedrigen EK-Preis realisiert, sondern unsere eigene Marge gesenkt. Wir setzen darauf, dies durch ein steigendes Verkaufsvolumen einerseits und eine höhere Kundenzufriedenheit andererseits kompensieren zu können. Die interne Abstimmung für die Umsetzung läuft jedenfalls bereits und wir hoffen, diesbezüglich zeitnah einen Termin nennen zu können.