Page Comparison

Funktionalitäten der TLS Zertifikate

• Garantiert die sichere Übertragung von Daten

• Zwei Optionen:

  • Zertifikatsmanagement durch PEIQ

  • Zertifikatsmanagement durch den Kundendie Kund:innen

Inhaltsverzeichnis

...

Die Beschaffung der TLS-Zertifikate für die Verschlüsselung, sowie die Wartung des Zertifikats kann

• vom Kunden von Kund:innen selbst übernommen werden.
• als kostenpflichtiger Service komplett von PEIQ übernommen werden.

Zertifikatsanlieferung durch

...

die Kund:innen

Konkret werden folgende Daten im PEM-Format benötigt:

• Zertifikat als domain.tld.crt

• Ggf. benötigte Chain-Zertifikate als domain.tld.intermediate.cabundlecrt

• Zertifikat + Chain-Zertifikat als domain.tld.chained.crt

• Private-Key (ohne Passwort) als domain.tld.key; Zum Einsatz bei AWS-Cldoufront darf der Private Key nur 2048 bit groß sein.

Es ist darauf zu achten, dass *.cabundle oder und *.chained.crt in der richtigen Zertifikats-Reihenfolge geliefert werden. Die Daten müssen auf sicherem Wege übermittelt werden! In der Regel wird hierzu einen Nextcloud-Ordner zur Verfügung gestellt, über den eine passwortgeschützte ZIP-Datei mit den Zertifikatsdaten angeliefert werden kann. Das Passwort sollte separat übermittelt werden, z. B. telefonisch.

...

Bei Bedarf kann auch ein Certificate-Signing-Request (CSR) zur Verfügung gestellt werden. Das bedeutet, dass der schützenswerte Private-Key, bei PEIQ auf den Servern generiert wird und nicht vom Kunden von den Kund:innen angeliefert werden muss. Das CSR wird daraufhin vom Private-Key erstellt. Zum Erstellen des CSR werden folgende Daten benötigt:

• C / Country Name (2 letter code) » z. B. DE

• ST / State or Province Name (full name) » z. B. Bavaria

• L / Locality Name (eg, city) » z. B. Augsburg

• O / Organization Name (eg, company) » z. B. gogol medien PEIQ Publishing GmbH & Co. KG

• OU / Organizational Unit Name (eg, section) » z. B. IT

• CN / Common Name (e. g. server FQDN or YOUR name) » *.domain.tld

• Email Address » z. B. tls@peiq.de

...

...

...

Stellen Sie sicher, dass Ihre eingebundenen Adserver TLS-fähig sind.

Unverschlüsselte Vermarktung wird nicht ausgespielt. Mehraufwände aufgrund von Abstimmungen und Testings seitens PEIQ im Falle, dass die eingebundenen Adserver mit der https-Verschlüsselung nicht umgehen können, werden Ihnen in Rechnung gestellt.

...

Stellen Sie sicher, dass angeschlossene Drittdienstleister TLS-fähig sind.

Informieren Sie an das PORTAL angeschlossene Drittdienstleister über die TLS-Umstellung und stellen Sie sicher, dass diese mit der https-Verschlüsselung umgehen können. Mehraufwände aufgrund von Abstimmungen und Testings seitens PEIQ im Falle, dass die Drittdienstleister mit der https-Verschlüsselung nicht umgehen können, werden Ihnen in Rechnung gestellt.

...

Beachten Sie die folgenden Hinweise

HSTS

PEIQ verwendet aus Sicherheitsgründen standardmäßig HSTS (HTTP Strict Transport Security) mit einem Wert von 15768000, was 6 Monaten entspricht. Browser cachen diesen Wert und verwenden für die nächsten 6 Monate immer die https://-Verbindung. Sollten Sie im Rahmen einer Migration die Verschlüsselung wieder deaktivieren wollen, wird der HSTS-Header von PEIQ entfernt. Jedoch wird für mindestens den HSTS-Zeitraum ein gültiges Zertifikat benötigt, da die Browser solange die gecachte, verschlüsselte Variante aufrufen.

Einbindungen (z. B. iFrames)

Bitte stellen Sie sicher, dass Ihre eigens implementierten Einbindungen, z. B. eigens eingebundenen iFrames, TLS-fähig sind. Ansonsten werden diese nicht ausgespielt. Mehraufwände aufgrund von Abstimmungen und Testings seitens PEIQ im Falle, dass die eingebundenen iFrames mit der https-Verschlüsselung nicht umgehen können, erhöhen den Gesamtaufwand für die Einbindung der Zertifikate.

Mitwirkungspflichten

Nähere Infos siehe Mitwirkungspflichten: TLS-Zertifikat.

Verwandte Seiten

^{Nur für PEIQ-Mitarbeiter:innen}
https://peiq.atlassian.net/wiki/x/ygShAw