Subdomains, PHP, SSL und Firewall

Die Websites einer Domain

Der Reiter „Subdomains“ einer Domain zeigt alle Websites darunter:

• Die Hauptdomain (example.com) steht an erster Stelle.
• Subdomains (blog.example.com, shop.example.com und so weiter) sind eigene Websites mit eigenen Ordnern.

Jede Website hat ihre eigene PHP-Version und ihre eigene SSL-Einstellung. Eine Subdomain übernimmt die Einstellungen der Hauptdomain nicht.

Eine Subdomain hinzufügen

1. Öffnen Sie den Reiter „Subdomains“ und klicken Sie auf „Subdomain hinzufügen“.
2. Geben Sie den kurzen Namen ein, zum Beispiel blog. Erlaubt sind lateinische Kleinbuchstaben, Ziffern und Bindestriche.
3. Wählen Sie eine PHP-Version und ein SSL-Zertifikat.

Die Subdomain ist innerhalb weniger Minuten erreichbar. Verwendet die Domain unsere Nameserver, wird ihr DNS-Eintrag automatisch angelegt.

Wie viele Subdomains Sie haben können, hängt von Ihrem Hosting-Tarif ab.

Zusätzliche Namen (Aliase)

Eine Website kann auch unter anderen Namen erreichbar sein, zum Beispiel www.example.com für die Hauptdomain. Fügen Sie sie in den Einstellungen der Website unter „Zusätzliche Hostnamen (Aliase)“ mit „+ Namen hinzufügen“ hinzu, einen pro Zeile – nur das Label (www), die Domain der Website wird von selbst angefügt. Dafür brauchen Sie keine eigene Subdomain.

• Der Name liegt immer in der Domain der Website und kann nur zu einer Website gehören.
• Liegt die Domain auf unseren DNS-Servern, erhält der Name automatisch seinen DNS-Eintrag (und verliert ihn, wenn Sie ihn entfernen).
• Eine ganze andere Domain (z. B. example.bg soll die Website von example.com zeigen) ist kein Alias – sie hat ihre eigene Website. Richten Sie in deren Einstellungen eine Weiterleitung auf https://example.com ein (siehe „Website weiterleiten“).

PHP-Version

Wir bieten die Versionen an, die PHP noch mit Sicherheitskorrekturen unterstützt:

• 8.4 – Standard für neue Websites, Unterstützung bis 31.12.2028;
• 8.5 – die neueste, Unterstützung bis 31.12.2029.

Ältere Versionen bieten wir nicht an – eine Website auf einem PHP ohne Sicherheitskorrekturen ist der häufigste Weg für Angreifer. Vor dem Ende der Unterstützung einer Version bitten wir Sie, auf eine neuere zu wechseln.

Die Version wird in den Einstellungen jeder Website geändert und gilt nach wenigen Minuten. Prüfen Sie vor dem Wechsel bei einer laufenden Website, ob Ihre Anwendung (WordPress, Joomla und so weiter) die Version unterstützt.

Eine Website kann auch ohne PHP laufen – für eine statische Website (nur HTML, CSS, JavaScript und Dateien). Dann läuft für sie kein PHP, und ihre .php-Dateien werden nicht geöffnet (sonst würde ihr Quelltext Besuchern angezeigt). Anwendungen wie WordPress brauchen PHP; die KI-Website ist statisch und funktioniert auch ohne.

PHP-Einstellungen der Website

Die PHP-Standardeinstellungen sind: 512 MB Speicher pro Skript, Datei-Uploads bis 128 MB. Eine Website kann sie selbst mit einer Datei .user.ini in ihrem Ordner ändern (über den Dateimanager oder SFTP), zum Beispiel:

memory_limit = 256M
upload_max_filesize = 64M
post_max_size = 64M
max_execution_time = 120
display_errors = Off

• Die Datei gilt für den Ordner, in dem sie liegt, und seine Unterordner; meist kommt sie in den Hauptordner der Website.
• PHP liest sie innerhalb von 5 Minuten nach einer Änderung neu ein.
• Ändern lassen sich die Einstellungen, die PHP einer Website erlaubt (memory_limit, upload_max_filesize, post_max_size, max_execution_time, max_input_vars, display_errors u. a.). Die Sicherheitsgrenzen (open_basedir, die gesperrten Funktionen, das Fehlerprotokoll) lassen sich nicht ändern.
• Die Obergrenzen des Tarifs bleiben: Wie hoch memory_limit auch ist, das PHP des Kontos zusammen kann nicht mehr Speicher nutzen als der Tarif; Uploads über etwa 140 MB stoppt die Firewall.
• display_errors = On – nur solange Sie einen Fehler suchen: Es zeigt Besuchern Pfade und Details. Fehler werden ohnehin in /logs/php/error.log geschrieben.
• Besucher können .user.ini nicht öffnen.

Firewall (WAF)

Jede Website hat eine Web Application Firewall – ModSecurity mit den Standardregeln von OWASP (Core Rule Set). Sie erkennt typische Angriffe (SQL-Injection, XSS, Zugriffsversuche auf Systemdateien u. a.) und stoppt sie, bevor sie die Website erreichen. Die Wahl gilt je Website (beim Bearbeiten der Website):

• Ein (Standard) – eine verdächtige Anfrage erhält eine Seite „Forbidden“ (403) mit einer Referenz. Auf einem neuen Server protokolliert die Firewall zunächst nur, bis Daten aus echtem Verkehr gesammelt sind.
• Nur protokollieren – nichts wird gestoppt, aber alles, was gestoppt würde, wird protokolliert.
• Aus – keine Firewall.

Jeder Treffer steht im Fehlerprotokoll der Website (logs/<Website>-error.log) mit der Referenz und der Nummer der Regel. Für WordPress, Drupal und Nextcloud, die über das Panel installiert wurden, sind die Ausnahmen der Regeln für sie eingeschaltet.

Stoppt die Firewall etwas, das Ihre Website braucht, wählen Sie „Nur protokollieren“ und schreiben Sie uns mit der Referenz von der Fehlerseite – wir können die betreffende Regel nur für Ihre Website abschalten.

SSL-Zertifikate (HTTPS)

Wählen Sie für jede Website eine der folgenden Möglichkeiten:

• Let's Encrypt. Ein kostenloses Zertifikat, dem die Browser vertrauen. Wir empfehlen es für jede Website. Es wird automatisch ausgestellt und verlängert.
• Kein SSL. Die Website ist nur über einfaches HTTP erreichbar.
• Selbstsigniert. Wird nur angezeigt, wenn wir es für Ihr Konto auf Anfrage freigeschaltet haben, zum Beispiel für eine Website hinter Cloudflare im Modus „Full“. Browser vertrauen ihm nicht.

Mit einem Let's-Encrypt-Zertifikat werden Besucher, die über HTTP kommen, automatisch auf HTTPS umgeleitet.

Damit Let's Encrypt ein Zertifikat ausstellen kann, muss der Name der Website bereits auf unseren Server zeigen. Mit unseren Nameservern geschieht das automatisch. Bei anderen Nameservern muss der A/AAAA-Eintrag dort auf uns zeigen. Das gilt auch für jeden Alias der Website.

Die Spalte „SSL-Status“ zeigt:

Bleibt ein Zertifikat länger als ein paar Stunden auf „Wird bearbeitet“, liegt es fast immer am DNS. Prüfen Sie, ob alle Namen der Website auf unseren Server zeigen.

Eigenes SSL-Zertifikat

Wenn Sie ein Zertifikat eines anderen Anbieters haben (z. B. mit erweiterter Validierung des Unternehmens), laden Sie es unter „Eigenes Zertifikat…“ in der Liste der Websites oder in den Einstellungen der Website hoch. Fügen Sie ein:

• das Zertifikat der Website, gefolgt von den Zwischenzertifikaten (der Kette), im PEM-Format (-----BEGIN CERTIFICATE-----);
• den privaten Schlüssel, ebenfalls in PEM, ohne Passwort (RSA oder ECDSA).

Wir nehmen das Zertifikat nur an, wenn der Schlüssel dazugehört, die Kette zu einem Aussteller führt, dem Browser vertrauen, es alle Namen der Website (und die Aliase) abdeckt und noch mindestens einen Tag gültig ist. Nach dem Speichern gilt es innerhalb einer Minute, und Besucher über HTTP werden zu HTTPS weitergeleitet. Der Schlüssel wird nicht mehr angezeigt – bei der Verlängerung laden Sie einfach das neue Zertifikat an derselben Stelle hoch.

Ein eigenes Zertifikat wird nicht automatisch verlängert. Wir schreiben Ihnen 30 und 7 Tage vor dem Ende. Um zum kostenlosen Let's Encrypt zurückzukehren, wählen Sie es in den Einstellungen der Website.

Website weiterleiten

Eine Website kann Besucher einfach zu einer anderen Adresse weiterleiten – z. B. eine alte Domain zur neuen. Füllen Sie in den Einstellungen der Website „Weiterleiten zu“ aus (https://www.example.com) und wählen Sie:

• Dauerhaft (301) – für Suchmaschinen hat sich die Adresse endgültig geändert; vorübergehend (302) – für eine Weile.
• Pfad beibehalten – alte-website/seite?x=1 geht zu neue-adresse/seite?x=1; ohne das geht alles zur Adresse selbst.

Die Dateien der Website bleiben, werden aber nicht angezeigt, solange sie weiterleitet. Die Weiterleitung funktioniert auch über HTTPS – die Website behält ihr Zertifikat. Leeren Sie die Adresse, um wieder eine normale Website zu haben.