Wie man einen CSR in Plesk generiert

Diese Anleitung zeigt Ihnen, wie Sie einen CSR (Certificate Signing Request) in Plesk erzeugen. Die folgenden Schritte beziehen sich auf die aktuelle Plesk-Obsidian-Version (18.x), die derzeit unterstützte Release-Linie. Plesk erstellt sowohl den CSR als auch den passenden privaten Schlüssel für Sie und speichert den Schlüssel auf dem Server innerhalb des Zertifikatseintrags, sodass Sie nur den CSR-Text an die Zertifizierungsstelle senden müssen. Denselben Eintrag verwenden Sie später, um das ausgestellte Zertifikat hochzuladen.

In Plesk kann ein CSR an zwei Stellen angelegt werden: bei einer bestimmten Domain (der übliche Fall für ein Website-Zertifikat) oder auf Serverebene (für das Plesk-Panel selbst und die Mail-Dienste). Der Großteil dieser Anleitung behandelt den Ablauf pro Domain, den Sie für nahezu jede Bestellung benötigen. Der Ablauf auf Serverebene folgt am Ende.

CSR für eine Domain in Plesk Obsidian erzeugen

Wenn Sie Ihren CSR bereits erzeugt haben, gehen Sie direkt zu Wie man ein SSL-Zertifikat in Plesk installiert.

Die folgenden Bildschirme gelten unabhängig davon, ob Sie als Server-Administrator, Reseller oder Kunde angemeldet sind. Der einzige Unterschied ist die Bezeichnung im obersten Menü: Server-Administratoren und Reseller sehen Domains, Kundenkonten sehen Websites & Domains. Alles ab SSL/TLS-Zertifikate ist identisch.

Schritt 1: Öffnen Sie das Panel SSL/TLS-Zertifikate für Ihre Domain

• Melden Sie sich bei Plesk an.
• Klicken Sie im linken Menü auf Domains (oder Websites & Domains bei einem Kundenkonto) und wählen Sie die Domain aus, für die Sie das Zertifikat benötigen.
• Klicken Sie auf SSL/TLS-Zertifikate.
• Klicken Sie auf dem Bildschirm SSL/TLS-Zertifikate auf Erweiterte Einstellungen (dadurch öffnet sich der domainbezogene Zertifikatsspeicher, in dem manuelle Zertifikate und CSRs abgelegt werden).
• Klicken Sie auf SSL/TLS-Zertifikat hinzufügen.

Plesk bietet auf demselben Bildschirm auch ein Panel SSL It! für kostenlose, automatisch erneuerte Let’s Encrypt-Zertifikate an. SSL It! erzeugt keinen CSR, den Sie an eine öffentliche CA übergeben könnten; wenn Sie ein Let’s Encrypt-Zertifikat direkt vor Ort ausstellen lassen möchten, verwenden Sie SSL It! direkt. Um bei einer kommerziellen CA zu bestellen (DV, OV, EV, Wildcards, längere Garantie, SAN-Abdeckung), bleiben Sie beim hier beschriebenen Pfad Erweiterte Einstellungen.

Schritt 2: Füllen Sie das CSR-Formular aus

Plesk zeigt nun das Formular SSL/TLS-Zertifikat hinzufügen. Die hier eingegebenen Werte werden fest in den CSR eingebettet und von der CA signiert. Verwenden Sie daher korrekte Angaben, die zu Ihrer Domain-Registrierung und – bei OV- oder EV-Bestellungen – zu Ihrem offiziellen Unternehmensregistereintrag passen. Pflichtfelder:

• Zertifikatsname: eine beliebige Bezeichnung, die Ihnen hilft, diesen Eintrag später wiederzufinden, zum Beispiel example.com 2026. Die CA sieht diesen Wert nie; er ist ausschließlich intern in Plesk.
• Bits: wählen Sie die RSA-Schlüssellänge. 2048 ist das moderne Minimum und wird von den meisten CAs erwartet; 4096 wird ebenfalls akzeptiert und liefert einen größeren Schlüssel, allerdings mit etwas langsameren Handshakes. Vermeiden Sie 1024, das von öffentlichen CAs seit Jahren nicht mehr zugelassen wird.
• Land: der zweistellige ISO-Ländercode der Organisation, der die Domain gehört.
• Bundesland oder Region: der vollständige Name, keine Abkürzung (zum Beispiel Florida, nicht FL).
• Ort (Stadt): die Stadt, in der die Organisation registriert ist (zum Beispiel Miami).
• Organisationsname (Unternehmen): bei OV- oder EV-Zertifikaten der exakte offizielle Firmenname (zum Beispiel GPI Holding LLC). Bei einem Domain-Validation-Zertifikat (DV) können Sie Ihren vollständigen Namen oder den Namen der Website eingeben; dieses Feld wird von der CA bei DV nicht überprüft.
• Abteilung oder Organisationseinheit (OU): optional. Die meisten öffentlichen CAs drucken die OU auf ausgestellten Zertifikaten nicht mehr auf (gemäß den Regeln des CA/Browser Forums), sodass Sie dieses Feld unbedenklich leer lassen können.
• Domainname: der vollqualifizierte Domainname (Fully Qualified Domain Name, FQDN), den das Zertifikat abdecken soll, zum Beispiel www.example.com. Für ein Wildcard-Zertifikat stellen Sie der Domain ein Sternchen und einen Punkt voran: *.example.com. Dieser Wert wird zum Common Name des Zertifikats.
• E-Mail: optional und wird von öffentlichen CAs für die Domain-Validierung nicht mehr genutzt. Sie können dieses Feld leer lassen.

Das Plesk-Formular besitzt kein Feld für Subject Alternative Names (SAN). Plesk erstellt einen CSR mit nur einem Namen; zusätzliche Hostnamen, die Sie abdecken möchten (Apex plus www, eine Multi-Domain- oder Wildcard-Variante, Mail-Subdomains), werden von der CA bei der Ausstellung basierend auf Ihrer Auswahl im Bestellformular hinzugefügt. Wenn Sie einen echten CSR mit mehreren Namen lokal erzeugen müssen, erstellen Sie ihn mit OpenSSL oder mit unserem CSR-Generator und laden ihn während der Installation hoch.

Schritt 3: CSR erzeugen und kopieren

Überprüfen Sie die Werte noch einmal und klicken Sie dann auf Anfordern. Plesk erzeugt den CSR und den passenden privaten Schlüssel auf dem Server und bringt Sie anschließend zurück zur Liste der SSL/TLS-Zertifikate.

Um den CSR anzuzeigen, klicken Sie auf den Namen des soeben erstellten Zertifikatseintrags. Die Detailseite zeigt zwei PEM-Blöcke: den CSR und den privaten Schlüssel. Kopieren Sie den gesamten CSR-Block einschließlich der öffnenden und schließenden Markierungen (fünf Bindestriche auf jeder Seite, keine Gedankenstriche):

-----BEGIN CERTIFICATE REQUEST-----
MIIC...
...
-----END CERTIFICATE REQUEST-----

Fügen Sie den CSR beim Checkout in das SSL-Bestellformular ein. Die CA validiert die Anfrage und stellt Ihr Zertifikat aus; Sie müssen den privaten Schlüssel nicht separat herunterladen oder sichern, da Plesk ihn im selben Zertifikatseintrag speichert. Wenn die CA das ausgestellte Zertifikat und die CA-Kette zurückliefert, kehren Sie zu genau diesem Eintrag zurück und nutzen ihn, um das Zertifikat in Plesk zu installieren.

Überprüfen Sie den CSR, bevor Sie ihn einreichen

Ein CSR mit falschem Common Name, falschem Ländercode oder falscher Schlüssellänge führt dazu, dass die CA die Bestellung ablehnt oder ein Zertifikat ausstellt, das nicht zu dem beabsichtigten Host passt. Bevor Sie ihn in das Bestellformular einfügen, decodieren Sie den CSR und überprüfen Sie die Werte: Fügen Sie den Block in unseren CSR-Decoder ein und vergleichen Sie Common Name, Organisation, Land und Schlüssellänge mit Ihren Eingaben in Plesk.

CSR für das Plesk-Panel oder den Mailserver erzeugen

Der oben beschriebene CSR gilt für eine gehostete Website. Die URL des Plesk-Kontrollpanels (Port 8443) und die Mail-Dienste (IMAPS, POP3S, SMTPS) verwenden ein separates Zertifikat auf Serverebene. Der CSR dafür befindet sich an einer anderen Stelle:

• Melden Sie sich als Server-Administrator bei Plesk an.
• Gehen Sie zu Werkzeuge & Einstellungen und klicken Sie unter Sicherheit auf SSL/TLS-Zertifikate.
• Klicken Sie auf SSL/TLS-Zertifikat hinzufügen und füllen Sie dasselbe Formular wie in Schritt 2 oben aus. Das Feld Domainname ist der Hostname, über den Besucher Plesk erreichen (zum Beispiel plesk.example.com) oder der Mail-Hostname.
• Klicken Sie auf Anfordern. Öffnen Sie den neuen Eintrag und kopieren Sie den CSR-Block genauso wie bei einer Domain.

Reichen Sie den serverseitigen CSR auf genau die gleiche Weise bei der CA ein. Wenn das ausgestellte Zertifikat eintrifft, laden Sie es wieder in denselben Eintrag unter Werkzeuge & Einstellungen > SSL/TLS-Zertifikate hoch und binden es anschließend auf demselben Bildschirm an das Plesk-Panel und den Mailserver.

Kostenlose Alternative: SSL It! (Let’s Encrypt)

Wenn Sie kein OV, EV oder eine längere Garantie benötigen, stellt die Erweiterung SSL It!, die mit Plesk Obsidian mitgeliefert wird, kostenlose Let’s Encrypt-Zertifikate aus und erneuert sie automatisch vor Ablauf. Dabei ist kein CSR händisch zu erzeugen: Öffnen Sie die Domain in Plesk, klicken Sie auf SSL/TLS-Zertifikate, klicken Sie unter Let’s Encrypt auf Installieren, wählen Sie die gewünschten Hostnamen aus und bestätigen Sie. Plesk übernimmt Anfrage, Schlüssel, Kette und Zuweisung in einem Schritt.

Nutzen Sie den weiter oben auf dieser Seite beschriebenen manuellen CSR-Ablauf, wenn Sie ein kommerzielles Zertifikat von einer öffentlichen CA benötigen.