Let's Encrypt prüft aus zwei weiteren Perspektiven: wer das merken kann

Am 15. Oktober 2026 hat Let's Encrypt angekündigt, zwei neue entfernte Perspektiven für die Domainvalidierung hinzuzufügen. Praktisch heißt das: Bevor ein Zertifikat ausgestellt wird, prüft Let's Encrypt deine Domain mit sieben statt fünf Anfragen. Das Projekt erwartet wenig bis keine Auswirkungen, und für die meisten Websites stimmt das. Bemerken könnten es Websites, die nach Land oder IP-Adresse entscheiden, wer sie erreichen darf.

Was sich ändert, in Zahlen

Wenn du ein Zertifikat anforderst, muss Let's Encrypt bestätigen, dass du die Domain kontrollierst. Dazu holt es eine Challenge-Antwort ab, und es verlässt sich dabei nicht auf einen einzigen Standort. Laut der Ankündigung gibt es künftig insgesamt sieben Anfragen: eine aus dem primären Rechenzentrum und sechs aus entfernten Perspektiven, bisher waren es vier. Damit die Validierung gelingt, müssen der primäre Server und ein Quorum der entfernten Perspektiven die richtige Antwort erhalten.

Der Grund ist Sicherheit. Laut der Ankündigung machen mehr Perspektiven Validierungsanfragen schwerer zu kapern und schützen besser vor BGP-Angriffen, bei denen jemand den Verkehr für deine IP-Adressen umleitet, sodass eine einzelne Prüfung bei ihm statt bei dir landet. Aus mehr Netzen gleichzeitig zu prüfen macht das deutlich schwieriger.

Warum jetzt: eine Regel mit Datum

Das ist nicht nur eine freie Entscheidung. Die Baseline Requirements des CA/Browser Forum, Abschnitt 3.2.2.9, legen fest, dass eine CA ab dem 2026-12-15 mindestens fünf entfernte Netzwerkperspektiven nutzen muss, dass die bestätigenden Perspektiven in den Servicegebieten von mindestens zwei verschiedenen Regional Internet Registries liegen müssen und dass ohne erfüllte Anforderungen kein Zertifikat ausgestellt werden darf. Let's Encrypt geht schon vor diesem Datum auf sechs entfernte Perspektiven.

Die Termine laut Ankündigung: Die neuen Regionen starten im Staging am Dienstag, 27. Oktober 2026, und, wenn alles gut geht, in der Produktion am Dienstag, 10. November 2026. Updates kommen in den Thread der Ankündigung.

Wer das merken kann

Die Ankündigung nennt keine betroffenen Setups, das Folgende ist also ein allgemeiner Rat. Validierung aus mehreren Perspektiven funktioniert nur, wenn jede Perspektive deine Challenge erreicht. Wenn du Verkehr nach Land blockierst oder nur bestimmte IP-Bereiche an den Webserver lässt, kann eine neue Perspektive in einer gesperrten Region scheitern. Bei genug Fehlschlägen ist das Quorum nicht erreicht, und es gibt kein Zertifikat. Eine Website ohne jeden Filter vor dem Challenge-Pfad gehört gar nicht zu dieser Gruppe.

Typische Stellen zum Nachsehen: eine Geoblocking-Regel im CDN oder in der WAF, eine Firewall, die nur bekannte IPs durchlässt, und ein Reverse Proxy, der filtert, bevor /.well-known/acme-challenge/ ausgeliefert wird. Eine DNS-01-Challenge umgeht den HTTP-Pfad, aber auch die DNS-Abfragen kommen aus mehreren Netzen, also verdient ein restriktives DNS-Setup denselben Blick.

Die leise Gefahr: Die Verlängerung scheitert Wochen später, nicht am Tag der Umstellung. Wenn deine Zertifikate automatisch verlängert werden, sorg dafür, dass ein Fehlschlag bei einem Menschen ankommt.

Nächster Schritt: Wenn dein ACME-Client die Staging-Umgebung von Let's Encrypt unterstützt, fordere dort nach dem 27. Oktober ein Testzertifikat an und prüfe, dass es durch deine echten Filterregeln kommt. Quelle: Let's-Encrypt-Community, Let's Encrypt is adding two additional remote perspectives for domain validation.