unbekannte .htaccess

[Mitleser 2.0]

Mit PHP hat das nichts zu tun.

Nur weil Tom paranoid ist, heißt das nicht, dass keiner hinter ihm her ist.

Was Tom's Paranoia mit PHP zu tun hat, verstehe ich auch nicht ;-)

Und wenn man Let's Encrypt misstraut, dann könnten sie diverse böse Dinge anrichten mit den Dateien, die sie einem auf den Server schreiben.

Ich kenne den Ablauf von ACME nicht. Wenn der Ordner, in den let's encrypt schreibt, einer ist, der auch vom Web gelesen werden kann, DANN besteht die Gefahr, dass sie eine spy.php hochladen und laufen lassen, wenn die Script-Ausführung erlaubt ist.

Naja, wenn man beispielsweise das von Tom erwähnte "getssl" verwendet, dann führt man auf der Shell ein Script aus, was auch jede Menge Unsinn machen kann.

Das würde ich dann aber als einen Designfehler im Let's Encrypt Ablauf ansehen, der bei heise oder CCC schon längst zu Aufregung hätte führen müssen.

Das sehe ich anders. Es gibt mehrere Möglichkeiten, die Challenge zu absolvieren, die alle Ihre Vor- und Nachteile haben. Auf der verlinkten Seite siehst Du auch welche, die bereits wieder abgeschafft wurden. Daraus lässt sich IMHO ablesen, dass die Mädels und Jungs sich durchaus viele Gedanken machen und selbst immer auf der Suche nach der „besten“ Lösung sind. Gäbe es ein verfügbares Konzept für die eierlegende Wollmichsau, die nur Vor- und keine Nachteile hat, dann hätten die die bereits implementiert.

Du kannst die komplette Nummer auch manuell fahren. Dann bist Du Safe. Klitzekleiner Nachteil: dann musst Du alle paar Monate ran zur Erneuerung des Certs.

Ich persönlich präferiere die Variante, die Sache über einen vorgeschalteten Proxy laufen zu lassen. Das vereint eine Menge Vorteile. Das Setup steht aber nicht jedem zur Verfügung.

Das Ziel von Let's Encrypt war von Anfang an: möglichst viel verschlüsselte Verbindungen im Web. Sich da auf unterschiedlichste Begebenheiten einzulassen scheint mir eine gute Idee.