So installieren Sie ein SSL-Zertifikat auf Google App Engine

Diese Anleitung zeigt Ihnen wie Sie ein SSL-Zertifikat auf Google App Engine installieren, sowohl auf die moderne Art (ein kostenloses, von Google verwaltetes Zertifikat, das App Engine automatisch für jede benutzerdefinierte Domain bereitstellt und erneuert) als auch auf die klassische Art (das Hochladen Ihres eigenen Zertifikats eines Drittanbieters, wenn Sie eine bestimmte CA, ein EV-/OV-Zertifikat oder ein Wildcard-Zertifikat benötigen). App Engine ist eine vollständig verwaltete PaaS, daher geschieht dies alles in der Google Cloud Console oder über die gcloud-CLI; Sie melden sich niemals bei einem Server an.

Voraussetzungen

Bevor Sie ein Zertifikat installieren, stellen Sie sicher, dass Folgendes vorhanden ist:

• Eine bereitgestellte App Engine-Anwendung (Standard- oder flexible Umgebung) in einem Google Cloud-Projekt.
• Eine registrierte Domain, die Sie kontrollieren, mit Zugriff auf ihre DNS-Einträge.
• Die für Ihr Google-Konto über die Google Search Console oder das Webmaster Central verifizierte Domain (App Engine liest den verifizierten Besitz von dort).
• Die installierte und authentifizierte gcloud-CLI, falls Sie die Kommandozeile der Console vorziehen.
• Die Rolle Owner, Editor oder App Engine Admin für das Projekt.

Benutzerdefinierte Domains und SSL auf App Engine funktionieren in dieser Reihenfolge: Domain verifizieren, sie Ihrer Anwendung zuordnen, DNS auf App Engine ausrichten und dann entweder Google ein verwaltetes Zertifikat bereitstellen lassen oder Ihr eigenes hochladen.

Option 1: Kostenloses, von Google verwaltetes SSL (empfohlen)

Von Google verwaltete Zertifikate sind kostenlos, werden automatisch über Let’s Encrypt bereitgestellt und automatisch erneuert, solange die Domain zugeordnet bleibt. Dies ist die Standardeinstellung für jede neue benutzerdefinierte Domain auf App Engine und die richtige Wahl für die überwiegende Mehrheit der Websites. Verwaltete Zertifikate unterstützen keine Wildcards: Jeder Hostname (zum Beispiel example.com und www.example.com) wird durch sein eigenes Zertifikat abgedeckt.

Schritt 1: Besitz Ihrer Domain verifizieren

Melden Sie sich in Ihrem Browser bei der Google Search Console mit demselben Google-Konto an, dem das Cloud-Projekt gehört, fügen Sie Ihre Domain als Property hinzu und schließen Sie eine der Verifizierungsmethoden ab (der DNS-TXT-Eintrag ist die zuverlässigste). App Engine lässt Sie keine Domain zuordnen, die Sie nicht verifiziert haben.

Schritt 2: Die benutzerdefinierte Domain in der Console zuordnen

• Öffnen Sie die Google Cloud Console und wählen Sie Ihr Projekt aus.
• Wählen Sie im Navigationsmenü App Engine > Einstellungen.
• Öffnen Sie den Tab Benutzerdefinierte Domains und klicken Sie auf Benutzerdefinierte Domain hinzufügen.
• Wählen Sie die verifizierte Domain aus dem Dropdown-Menü aus und geben Sie dann die Subdomains ein, die Sie bereitstellen möchten (typischerweise die Root-Domain example.com und www.example.com).
• Klicken Sie auf Zuordnungen speichern und befolgen Sie dann die Anweisungen auf dem Bildschirm, um die vorgeschlagenen A-, AAAA– und CNAME-Einträge bei Ihrem DNS-Anbieter hinzuzufügen.

Um dasselbe über die Kommandozeile zu tun, führen Sie aus:

gcloud app domain-mappings create www.example.com --project=YOUR_PROJECT_ID
gcloud app domain-mappings create example.com --project=YOUR_PROJECT_ID

Schritt 3: Auf das verwaltete Zertifikat warten

Sobald das DNS propagiert wurde, fordert App Engine automatisch ein Let’s Encrypt-Zertifikat für jeden zugeordneten Hostnamen an. Die Bereitstellung erfolgt normalerweise schnell, aber die DNS-Propagierung kann bis zu 24 Stunden dauern. Überprüfen Sie den Status mit:

gcloud app domain-mappings list --project=YOUR_PROJECT_ID

Jede Zuordnung zeigt einen SSL-Status von MANAGED_CERTIFICATE_STATUS: OK, wenn das Zertifikat aktiv ist. Während es ausgestellt wird, sehen Sie PROVISIONING oder PENDING_DNS; das klärt sich normalerweise selbst, sobald die DNS-Einträge auf die Google-IPs verweisen.

Schritt 4: HTTPS für Besucher erzwingen (Standardumgebung)

In der App Engine-Standardumgebung leiten Sie jede Anfrage auf HTTPS um, indem Sie secure: always zu jedem Handler in app.yaml hinzufügen:

handlers:
- url: /.*
  script: auto
  secure: always
  redirect_http_response_code: 301

Stellen Sie die Änderung mit gcloud app deploy bereit. In der flexiblen Umgebung erfolgt die HTTP-zu-HTTPS-Umleitung auf Anwendungs- oder Load-Balancer-Ebene.

Option 2: Ihr eigenes SSL-Zertifikat eines Drittanbieters hochladen

Wählen Sie diesen Weg, wenn Sie ein Wildcard-Zertifikat, ein OV- oder EV-Zertifikat von einer bestimmten Zertifizierungsstelle oder ein bereits für Ihre Domain ausgestelltes Zertifikat benötigen. App Engine akzeptiert eine einzelne PEM-Datei, die das Blattzertifikat und alle Zwischenzertifikate enthält, sowie einen unverschlüsselten, PEM-codierten RSA-Privatschlüssel. In der hochgeladenen PEM-Datei sind insgesamt bis zu fünf Zertifikate erlaubt (ein Blattzertifikat plus bis zu vier Zwischenzertifikate), und hochgeladene Zertifikate können projektübergreifend in derselben Cloud-Organisation wiederverwendet werden.

Schritt 1: CSR erstellen und das Zertifikat bestellen

Wenn Sie Ihre CSR bereits erstellt und das ausgestellte Zertifikat von Ihrer CA erhalten haben, fahren Sie direkt mit Schritt 2 fort.

Eine CSR (Certificate Signing Request) ist ein Block codierten Textes, der Ihre Kontakt- und Domaindaten enthält, die die CA zur Verifizierung und Signierung Ihres Zertifikats verwendet. Sie haben zwei Möglichkeiten, eine zu erstellen:

• Verwenden Sie unseren CSR-Generator, um die CSR und den Privatschlüssel in Ihrem Browser zu erstellen.
• Erstellen Sie sie lokal mit OpenSSL; siehe wie man eine CSR auf Google App Engine erstellt.

Reichen Sie die CSR (einschließlich der Markierungen —–BEGIN CERTIFICATE REQUEST—– und —–END CERTIFICATE REQUEST—–) bei der CA während Ihrer Bestellung ein. Speichern Sie den zugehörigen Privatschlüssel an einem sicheren Ort; Sie benötigen ihn während der Installation.

Schritt 2: Zertifikat und Kette zu einer einzelnen PEM-Datei zusammenfassen

Wenn die CA separate Dateien geliefert hat (Ihr Serverzertifikat plus ein oder mehrere Zwischenzertifikate), fügen Sie diese in der richtigen Reihenfolge zusammen (Ihr Zertifikat zuerst, Zwischenzertifikate danach). Öffnen Sie ein Terminal im Ordner mit den Dateien und führen Sie aus:

cat yourdomain.crt intermediate.crt > concat.crt

Unter Windows PowerShell lautet das Äquivalent:

Get-Content yourdomain.crt, intermediate.crt | Set-Content concat.crt

Das Ergebnis ist eine PEM-codierte Zertifikatsdatei mit der vollständigen Kette. Wenn Sie auch Formate konvertieren müssen (zum Beispiel von .pfx oder .p12 zu PEM), verwenden Sie unsere SSL-Tools.

Der Privatschlüssel muss ein unverschlüsselter, PEM-codierter RSA-Schlüssel sein (zum Beispiel myserver.key.pem). Wenn Ihrer passwortgeschützt ist, entfernen Sie die Passphrase mit:

openssl rsa -in encrypted.key -out myserver.key.pem

Schritt 3: Das Zertifikat in der Cloud Console hochladen

• Öffnen Sie die Google Cloud Console und wählen Sie Ihr Projekt aus.
• Gehen Sie zu Navigationsmenü > App Engine > Einstellungen und öffnen Sie dann den Tab SSL-Zertifikate.
• Klicken Sie auf Neues Zertifikat hochladen.
• Geben Sie dem Zertifikat einen Namen und laden Sie dann concat.crt unter PEM-codiertes X.509-öffentliches Schlüsselzertifikat und myserver.key.pem unter Unverschlüsselter, PEM-codierter RSA-Privatschlüssel hoch.
• Klicken Sie auf Hochladen.

Schritt 4: Das Zertifikat Ihren Domains zuweisen

Wählen Sie auf der Detailseite des Zertifikats die benutzerdefinierten Domains aus, die es sichern soll, und klicken Sie dann auf Speichern. Wenn eine Domain derzeit ein von Google verwaltetes Zertifikat verwendet, deaktivieren Sie zuerst den verwalteten Modus dafür; andernfalls wird der Upload nicht angewendet.

Schritt 5 (optional): Über die gcloud-CLI hochladen und zuweisen

Dieselbe Operation über die Kommandozeile:

gcloud app ssl-certificates create 
  --display-name="example.com 2026" 
  --certificate=concat.crt 
  --private-key=myserver.key.pem

Der Befehl gibt die neue Zertifikats-ID zurück. Weisen Sie diese einer zugeordneten Domain zu und deaktivieren Sie den verwalteten Modus für diese Zuordnung:

gcloud app domain-mappings update www.example.com 
  --certificate-id=CERT_ID 
  --certificate-management=manual

Um später wieder zu einem kostenlosen, von Google verwalteten Zertifikat zu wechseln, führen Sie aus:

gcloud app domain-mappings update www.example.com 
  --certificate-management=automatic

Hinweise und Einschränkungen

• Verwaltete Zertifikate decken keine Wildcards ab. Für *.example.com laden Sie ein Wildcard-Zertifikat wie in Option 2 beschrieben hoch.
• Let’s Encrypt begrenzt die Ausstellung auf 50 verwaltete Zertifikate pro Woche und Basisdomain. Diese Grenze ist selten ein Problem, ist aber relevant, wenn Sie viele Subdomains gleichzeitig zuordnen.
• Hochgeladene Zertifikate, die keiner Domain zugewiesen sind, werden nach 30 Tagen automatisch gelöscht.
• Das Maximum liegt bei einem Blattzertifikat plus vier Zwischenzertifikaten in einer einzelnen hochgeladenen PEM-Datei.
• Ein hochgeladenes Zertifikat ist projektübergreifend in Ihrer gesamten Cloud-Organisation sichtbar, sodass ein einzelnes Wildcard-Zertifikat wiederverwendet werden kann.

Die SSL-Installation testen

Öffnen Sie Ihre Website über https:// und bestätigen Sie das Schlosssymbol, dann führen Sie mit unserem SSL Checker eine tiefergehende Prüfung durch, um sofort einen Bericht über Zertifikat, Kette und Protokollunterstützung zu erhalten.

Häufig gestellte Fragen