Ausstellung SSL-Zertifikate // Dauer

[wecotec]

Hallo an DF,

lässt sich die Ausstellungsgeschwindigkeit von SSL-Zertifikaten irgendwie beschleunigen?

Gerade eins bestellt:

Um 11:22 wurde bestellt

Um 11:22 kam dann auch von Starfield die Mail an den Kunden er möge doch eine Domainkontroll-Verifizierung durchführen. Anruf vom Kunden wer Starfield ist und was das für eine Verifizierung sei. Ich "alles okay, in wenigen Minuten geht es"

13 Minuten (!) später Mail von Starfield an den Kunden: Zertifikat ausgestellt, man könne es gleich nutzen

11 Minuten später dann von Domainfactory es sei installiert.

Das ganze hat 24 Minuten gedauert. Vielleicht lege ich die Messlatte auch zu hoch, da ich es inzwischen gewohnt bin, dass der Vorgang eigentlich keine 30 Sekunden dauert. Ärgerlich ist natürlich wieder die Mail von Starfield mit falschen Informationen (idR braucht es die Verifizierung von Kundenseite nicht, das schient ja irgendwie (wie ?) bei DF automatisiert zu sein).

Noch ärgerlicher ist es, dass man für sowas Geld hinlegen muss. Manuelle Verlängerung, die sehr viel Zeit raubt. Zjm Glück trifft es bei mir kein Dutzend Zertifkate mehr. Und nein, dass ist kein Einzelfall, vor ein paar Tagen war es auch so.

Hier wurde mal von Herrn Dornblut argumentiert, dass DF mit den Zertifikaten Geld verdient. Alles okay, soll DF auch. Dann aber auch bitte mit einem qualitativ hochwertigen Ablauf. So wie oben beschrieben ist das mehr als unglücklich....aber leider auch bekannt und vermutlich nicht zu ändern.

[Nils Dornblut]

Hallo wecotec,

ich lasse das intern prüfen, ob es da Verzögerungen oder Erklärungen gibt.

Mit freundlichen Grüßen

Nils Dornblut

[wecotec]

Hallo wecotec,

ich lasse das intern prüfen, ob es da Verzögerungen oder Erklärungen gibt.

Mit freundlichen Grüßen

Nils Dornblut

Vielen Dank. Wie gesagt, es ist keine Momentaufnahme....wir haben zwar nicht mehr viel SSL bei DF, aber es ist jedes mal ein zeitlicher "krampf", gerade wenn man noch viel auf seiner ToDo hat....

[Nils Dornblut]

Hallo wecotec,

der Prozess ist unsererseits automatisiert. Hierbei greifen wird auf verschiedene Schnittstellen zurück. Diese Schnittstellen arbeiten jeweils asynchron und es kann nicht in Echtzeit der Gesamtprozess erfolgen. Insbesondere die Vorgänge auf den Nameservern hier entscheidend. Die Validierung erfolgt per automatischer DNS-Validierung bei Verwendung unserer Nameserver, indem das System den nötigen TXT-Eintrag setzt, prüfen lässt und wieder entfernt, was über die API gesteuert wird. Keiner der Schritte kann in Echtzeit vollzogen werden, sodass jeder Schritt für sich jeweils mindestens 1-2 Minuten brauchen kann, um so einen verfrühten Timeout wie auch ansonsten eine Überlastung der jeweiligen Schnittstellen zu verhindern.

In Summe der einzelnen Schritte und der hierbei durchgeführten Checks durch die API, ist eine Ausstellzeit von ca. 15-20 Minuten im Normalbereich. Eine Beschleunigung des Verfahrens ist so nicht direkt möglich und ergibt sich aus den technischen Zusammenhängen.

Natürlich ist es ärgerlich, wenn es nicht quasi von einer Sekunde auf die andere geht. Aber der Prozess muss sicher gestaltet werden und sollte zu möglichst wenig Fehler führen. Von daher bitten wir um Verständnis für die nötige Zeit der Erstellung und Integration in die Systeme.

Mit freundlichen Grüßen

Nils Dornblut

[wecotec]

Wie ich gestern schon in einem anderen Thread angemerkt habe hat sich leider an dem Verhalten nichts geändert. Heute wieder das selbe "Timing". Das war früher wesentlich besser (auch nach dem Wechsel zu Starfield).

[Gast]

Mir wurde am Telefon vom (Standard-)Support vor kurzem gesagt, dass das Ausstellen eines Zertifikats insgesamt ziemlich genau eine Stunde dauert. Kam bei dem Paket auch hin.

[wecotec]

Mir wurde am Telefon vom (Standard-)Support vor kurzem gesagt, dass das Ausstellen eines Zertifikats insgesamt ziemlich genau eine Stunde dauert. Kam bei dem Paket auch hin.

Interessante Aussage....ich habe heute 2 Zertifikate bestellt: das erste Zertifikat hat von 10:01 bis 11:46 Uhr gedauert, das zweite von 10:05 bis 11:43 Uhr

Wenn nur ich es bin den das stört bin ich ab sofort ruhig

[Gast]

Interessante Aussage....ich habe heute 2 Zertifikate bestellt: das erste Zertifikat hat von 10:01 bis 11:46 Uhr gedauert, das zweite von 10:05 bis 11:43 Uhr

Wenn nur ich es bin den das stört bin ich ab sofort ruhig

Es nützt ja nix, wenn niemand daran etwas ändern kann oder will. Ich habe bei vielen dieser Punkte einfach aufgegeben, gibt Wichtigerers im Leben und auch sooo viele andere Anbieter, falls es hier zu nervig wird.

[wecotec]

Es nützt ja nix, wenn niemand daran etwas ändern kann oder will. Ich habe bei vielen dieser Punkte einfach aufgegeben, gibt Wichtigerers im Leben und auch sooo viele andere Anbieter, falls es hier zu nervig wird.

Stimmt auch wieder. Es waren auch die letzten die hier verlängert werden mussten.

[zzet]

Markus, Du sprichst das Thema ja immer wieder mal an und ja, die Ausstellung der Zertifikate dauert hier länger als bei anderen Anbietern und auch der Prozess (Starfield-Mails, ...) ist - gerade für Reseller - alles andere als optimal.
Aber ehrlich gesagt, habe ich die Kritik an der Dauer nie wirklich verstanden.
Wenn Du mal den Vergleich zu den anderen Anbietern weg lässt. Wo genau ist das Problem, wenn Du 1-2 Stunden zwischen Bestellung und Verfügbarkeit des Zertifikats warten musst? Also bei welchen Prozessen entsteht hierbei ein Nachteil gegenüber z.B. 10min Ausstelldauer?
Versteh das nicht als Kritik an Deiner Kritik - ich möchte es nur wirklich verstehen.

[wecotec]

Versteh das nicht als Kritik an Deiner Kritik - ich möchte es nur wirklich verstehen.

Früher hatte ich hier ca. 450-550 SSL-Zertifikate. Das hieß, dass es auch sehr mühselig gewesen ist alles manuell zu verlängern. Entweder jeden Tag 2-3 Stück oder an einem Tag in der Woche entsprechend mehr. Damals war es eine Sache von ca. 2 Minuten bis so ein Zertifikat ausgestellt gewesen ist und man konnte den Fall abhaken.

Heute bestellt / verlängert man ein Zertifikat (oder wie ich diese Woche 2 parallel) und es ist nicht wirklich planbar zu prüfen ob die Installation richtig erfolgt ist, da man bis zu 2 Stunden einplanen muss. Dazu kommt noch, dass ab und an noch eine Mail kommt dass für die Installation ggf ein DNS-Eintrag manuell gesetzt werden müsse. Das verunsichert.

Hier der Gegenentwurf wie es aktuell woanders läuft: Man klickt bei der Domaineinrichtung an, dass man SSL haben möchte, wartet ca. 10 Sekunden und es ist installiert. Alle 2-3 Monate erfolgt automatisch ohne Zutun eine Auffrischung des Zertifikates. Hakt es dabei (ja, das kann vorkommen) bekommt man direkt beim Login auf den Server entsprechende Warnungen. Ach ja, das ganze ohne Mehrkosten.

[zzet]

Danke Dir.

Wie gesagt - dass der aktuelle Prozess hier alles andere als optimal ist, würde ich sofort unterschreiben: keine automatische Verlängerung, zum Teil Versand von Info- und Validierungsnachrichten an Endkunden, die dann aber doch nichts tun müssen, ggf. manuelles Setzen von DNS-Einträgen etc.
Mir war nur nicht klar, warum der Zeitfaktor da für Dich - neben den gerade erwähnten Problemen - so erheblich ist. Das ist ehrlich gesagt das geringste, was mich hier im Bezug auf SSL-Zertifikate stört.
Jetzt verstehe ich, dass Dich das blockiert, da Du die Überprüfung der korrekten Ausstellung im Blick behalten musst und das erst mit deutlichem Abstand zur Bestellung/Verlängerung erfolgen kann. Auf der anderen Seite ist die Überprüfung aber meiner Meinung nach nur erforderlich, weil die Prozesse rund um die Zertifikatsbestellung oder Verlängerung hier eben so "wackelig" sind.

[Gast]

Jetzt verstehe ich, dass Dich das blockiert, da Du die Überprüfung der korrekten Ausstellung im Blick behalten musst und das erst mit deutlichem Abstand zur Bestellung/Verlängerung erfolgen kann. Auf der anderen Seite ist die Überprüfung aber meiner Meinung nach nur erforderlich, weil die Prozesse rund um die Zertifikatsbestellung oder Verlängerung hier eben so "wackelig" sind.

Das kann ich nur unterschreiben. Bei anderen Anbietern muss ich da nix überprüfen oder werde aktiv benachrichtigt (und nur dann), falls die Verlängerung bei beim dritten Mal nicht geklappt hat.

[Nils Dornblut]

Das kann ich nur unterschreiben. Bei anderen Anbietern muss ich da nix überprüfen oder werde aktiv benachrichtigt (und nur dann), falls die Verlängerung bei beim dritten Mal nicht geklappt hat.

Gab es denn hier einen Fall in letzter Zeit bei SSL-Zertifikaten, wo es Probleme gab, die wir nicht direkt selbst gemerkt haben? Der Prozess dauert etwas, das ist richtig, ich habe das an anderer Stelle schon erklärt warum. Daraus sollte im Regelfall aber keine Blockierung entstehen. Sollte es hierbei zu Problemen kommen, werden wir automatisch informiert und kümmern uns direkt darum.

Mit freundlichen Grüßen

Nils Dornblut

[Gast]

Gab es denn hier einen Fall in letzter Zeit bei SSL-Zertifikaten, wo es Probleme gab, die wir nicht direkt selbst gemerkt haben?
Nils Dornblut

Ja, gibt es. Mehfach (drei Fälle kenne ich direkt) wurde das Zertifikat nicht ausgestellt. Es war einmal eine Verlängerung (=Anschlusszertifikat), zwei Mal ein neues nach Umzug des Kunden von mir als Reseller direkt zu dF. Einmal (Verlängerung) kam dazu immerhin eine Meldung an den Kunden "Das Zertifikat wurde storniert". Die anderen Male habe ich es dann in meinem Monitoring gemerkt, als die Seiten per SSL nicht mehr aufrufbar waren.
Laut Support kommt das schon mal vor, im Log (welches auch immer) war nichts zu sehen, ein neues Anstoßen der Verlängerung war dann nach etwas mehr als einer Stunde erfolgreich.

Ach und natürlich konnte der Kunde weder mit der Starfield E-Mail, bitte die DNS Einträge zu setzen (was aber nicht nötig ist, wird ja von dF gemacht) noch mit der Stornierungs E-Mail etwas anfangen. Immerhin gehen die ersten auch (manchmal) an mich als technischem Ansprechpartner. Löst aber dennoch einen nötigen Erklärungskontakt mit dem Kunden aus.