Vertrauen.
Das bleibt.

Für ein von aethercert ausgestelltes Zertifikat wird die Erneuerung standardmäßig 30 Tage vor Ablauf eingeplant. Das bisherige Zertifikat bleibt aktiv, bis das neue installiert ist. Fehlgeschlagene Versuche werden bis zu dreimal wiederholt. Der ursprüngliche Fehlertext der CA erscheint in der Job-Historie. Bereits erkannte, aber noch nicht verwaltete Zertifikate kann aethercert nicht selbst erneuern. Sie erscheinen jedoch in derselben nach Ablaufdatum sortierten Übersicht.

Technisch handelt es sich um eine Neuausstellung. Der Agent erzeugt auf dem Server einen neuen privaten Schlüssel, fordert ein neues Zertifikat an, installiert es am konfigurierten Deployment-Ziel und lädt den Dienst neu. Das Zertifikat erhält eine neue Seriennummer und einen neuen Fingerabdruck. Konfigurationen mit Certificate Pinning müssen entsprechend angepasst werden.

Agents erfassen vorhandene Zertifikate mit ihrem Ablaufdatum und zeigen sie im Dashboard an. Für diese Zertifikate liegen jedoch weder der private Schlüssel noch die ursprüngliche Ausstellungskonfiguration vor, daher kann aethercert sie nicht direkt erneuern. Um ein Zertifikat zu übernehmen, legen Sie ein verwaltetes Zertifikat für dieselben Namen an. Künftige Ausstellungen und Erneuerungen laufen dann über aethercert.

Der ausstehende Job bleibt in der Warteschlange und wird beim nächsten Check-in des Agents übernommen. Das bereits installierte Zertifikat funktioniert währenddessen weiter. Das standardmäßige Vorlauffenster von 30 Tagen schafft ausreichend Reserve für vorübergehende Ausfälle.

Nein. Agents bauen ausschließlich ausgehende HTTPS-Verbindungen auf. Eine eingehende Firewall-Regel, ein VPN oder eine öffentliche IP-Adresse sind nicht erforderlich. Nur der optionale Connector für Active Directory Certificate Services stellt im internen Netzwerk einen Listener für die eigenen Agents bereit. Aus dem Internet muss er nicht erreichbar sein.

Der Zugriff ist auf den Host beschränkt, auf dem der Agent installiert ist. Dort läuft er mit administrativen Rechten, da diese für Änderungen am Windows Certificate Store und für das Neuladen von Diensten erforderlich sind. Er liest lokale Certificate Stores und Zertifikatsverzeichnisse zur Bestandserfassung und schreibt verwaltete Zertifikate ausschließlich an die konfigurierten Ziele. Andere Systeme im Netzwerk werden nicht untersucht.

Der Agent erzeugt bei jeder Ausstellung und Erneuerung einen privaten Schlüssel auf dem Server, der ihn verwendet. Der Schlüssel wird nicht übertragen. aethercert speichert nur Zertifikatsmetadaten wie Seriennummer, Fingerabdruck und Gültigkeitszeitraum. Verlorene Schlüssel kann die Plattform deshalb nicht wiederherstellen. Nach einem Serververlust wird das Zertifikat neu ausgestellt.

Die Control Plane mit dem Dashboard wird in Deutschland betrieben. Die Anwendung läuft bei Hetzner in Nürnberg, die Datenbank bei Supabase in Frankfurt. Cloudflare dient als TLS-terminierender Proxy und DDoS-Schutz, speichert jedoch keine Anwendungsdaten. Die Agents laufen in Ihrer eigenen Infrastruktur.

Installierte Zertifikate funktionieren ohne Verbindung zu aethercert weiter. Während eines Ausfalls pausiert lediglich die Planung neuer Jobs. Sobald die Control Plane wieder erreichbar ist, werden ausstehende Erneuerungen fortgesetzt. Das standardmäßige Vorlauffenster von 30 Tagen bietet dafür ausreichend Reserve.

Unterstützt werden Windows Server mit einem Agent als Windows-Dienst und Linux-Systeme mit systemd. Der Agent benötigt lokale Administrator- beziehungsweise Root-Rechte und ausschließlich ausgehenden HTTPS-Zugriff auf die Control Plane. Zertifikate können außerdem auf Citrix NetScaler und in laufenden Docker-Containern bereitgestellt werden.

Nein. Für die Einrichtung eines Zertifikats geben Sie den Hostnamen an, wählen eine Zertifizierungsstelle und legen das Bereitstellungsziel fest. Let's Encrypt ist bereits vorkonfiguriert. Die technische Funktionsweise ist dokumentiert, für den laufenden Betrieb ist dieses Wissen jedoch nicht erforderlich.

Ja. Im MSP-Tarif ist jeder Kunde eine getrennte Organisation mit eigenen Daten, Agents und Zugriffsrechten. Alle Kunden werden über ein zentrales Konto und eine konsolidierte Rechnung verwaltet. Mitarbeiterzugriffe lassen sich auf bestimmte Kunden und Rollen beschränken.

Ja. Free umfasst ein Let's-Encrypt-Zertifikat, einen Agent und eine Domain und erfordert keine Zahlungsdaten. Damit lässt sich der vollständige Ablauf auf einem realen Server testen. Während der Skalierungsphase ist die Registrierung nur auf Einladung möglich und beginnt mit einer kurzen Warteliste.