Website auf einem VPS: Nginx und ein Let's-Encrypt-Zertifikat (HTTPS)

Nginx ist ein schneller Webserver. Wir nutzen ihn, um eine statische Website auszuliefern oder ihn als Reverse Proxy vor Ihre App zu setzen, und schalten HTTPS mit einem Let's-Encrypt-Zertifikat ein, das sich selbst erneuert.

So funktioniert es#

Der Browser verbindet sich mit Port 80 (HTTP) oder 443 (HTTPS) Ihres VPS. Anhand der Domain in der Anfrage wählt Nginx den passenden Server-Block (die Konfiguration einer Website) und sendet entweder eine Datei von der Festplatte (statische Website) oder reicht die Anfrage an eine App weiter, die auf einem anderen Port läuft (Reverse Proxy).

Das HTTPS-Zertifikat stellt Let's Encrypt kostenlos aus. Das Programm Certbot prüft, dass Sie die Domain kontrollieren (Let's Encrypt verbindet sich mit Port 80 und lädt eine Prüfdatei herunter), lädt das Zertifikat herunter, richtet es in Nginx ein und erneuert es danach von selbst.

Voraussetzungen: DNS und Ports#

1. Prüfen Sie, dass die Domain auf den VPS zeigt. Führen Sie auf dem VPS aus:

   getent hosts example.cz

   Sie sehen die IP-Adresse Ihres VPS (aus der Registerkarte Netzwerk). Falls nicht, korrigieren Sie das DNS und warten Sie, bis sich die Änderung verbreitet hat.

2. Öffnen Sie die Ports 80 und 443:

   • Firewall im Kundenbereich (wenn Sie den Modus Alles blockieren außer Erlaubtem verwenden): Regel Eingehend · Erlauben · TCP · Port 80,443. Anleitung: Firewall im Kundenbereich.
   • UFW auf dem VPS (wenn Sie es verwenden): ufw allow 80/tcp und ufw allow 443/tcp.

Nginx installieren#

Funktioniert unter Ubuntu 24.04 und Debian 13:

apt update
apt -y install nginx

• apt -y install nginx – installiert Nginx. Der Dienst startet sofort und ist beim Booten des VPS aktiviert.

Prüfung: Öffnen Sie http://<VPS_IP_ADRESSE> in Ihrem Browser. Ersetzen Sie <VPS_IP_ADRESSE> durch die IPv4-⁠Adresse aus der Registerkarte Netzwerk (zum Beispiel http://203.0.113.10). Sie sehen die Seite „Welcome to nginx!“.

Wie die Konfiguration aufgebaut ist#

Eine Website aktivieren Sie also, indem Sie eine Datei in sites-available und einen Link darauf in sites-enabled erstellen. Sie deaktivieren sie, indem Sie den Link löschen.

Statische Website#

Eine statische Website ist eine Sammlung fertiger HTML-, CSS-, JavaScript- und Bilddateien.

1. Legen Sie das Website-Verzeichnis und eine Testseite an:

   mkdir -p /var/www/example.cz/html
   echo '<h1>Es funktioniert</h1>' > /var/www/example.cz/html/index.html

   • mkdir -p – legt das Verzeichnis einschließlich übergeordneter an.
   • echo '…' > …/index.html – schreibt eine einfache Seite in index.html.

   Laden Sie später Ihre eigenen Website-Dateien per SFTP (Anleitung) oder in der Registerkarte Dateien in dieses Verzeichnis hoch.

2. Erstellen Sie die Website-Konfiguration:

   nano /etc/nginx/sites-available/example.cz

   server {
       listen 80;
       listen [::]:80;
       server_name example.cz www.example.cz;
   
       root /var/www/example.cz/html;
       index index.html;
   
       location / {
           try_files $uri $uri/ =404;
       }
   }

3. Aktivieren Sie die Website, deaktivieren Sie die Standard-Willkommensseite, testen Sie die Konfiguration und laden Sie sie:

   ln -s /etc/nginx/sites-available/example.cz /etc/nginx/sites-enabled/
   rm /etc/nginx/sites-enabled/default
   nginx -t
   systemctl reload nginx

   • ln -s … /etc/nginx/sites-enabled/ – erstellt den Link, sodass Nginx die Website lädt.
   • rm /etc/nginx/sites-enabled/default – deaktiviert die Standard-Website (die Datei bleibt in sites-available).
   • nginx -t – prüft die Syntax aller Konfigurationen. Es muss mit syntax is ok und test is successful enden.
   • systemctl reload nginx – lädt die neue Konfiguration, ohne Verbindungen abzubrechen.

Prüfung: http://example.cz zeigt die Überschrift „Es funktioniert“ von der Testseite.

Reverse Proxy für eine App#

Eine App (Node.js, Python, Java, ein Docker-Container) läuft in der Regel auf einem eigenen Port, zum Beispiel 3000. Sie setzen Nginx als Reverse Proxy davor: Er nimmt Anfragen auf Port 80/443 entgegen und leitet sie an die App weiter. Vorteile: Nginx übernimmt HTTPS, die App muss nicht aus dem Internet sichtbar sein, und ein VPS kann mehrere Apps unter verschiedenen Domains betreiben.

Konfiguration (statt der statischen Website oder als weitere Datei für eine andere Domain, zum Beispiel app.example.cz):

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

server {
    listen 80;
    listen [::]:80;
    server_name app.example.cz;

    client_max_body_size 20m;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;

        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
        proxy_read_timeout 300s;
    }
}

Das Aktivieren funktioniert wie bei der statischen Website:

ln -s /etc/nginx/sites-available/app.example.cz /etc/nginx/sites-enabled/
nginx -t
systemctl reload nginx

Damit die App dauerhaft läuft und nach einem Neustart des VPS automatisch startet, richten Sie sie als Dienst ein: Eine App rund um die Uhr mit systemd betreiben.

HTTPS mit Certbot#

Certbot installieren#

apt -y install certbot python3-certbot-nginx

• certbot – der Let's-Encrypt-Client.
• python3-certbot-nginx – ein Plugin, das die Domain über Nginx prüfen und dessen Konfiguration selbst bearbeiten kann.

Zertifikat holen#

certbot --nginx -d example.cz -d www.example.cz

• --nginx – Prüfung über Nginx und automatische Bearbeitung seiner Konfiguration.
• -d example.cz -d www.example.cz – die Domains, für die Sie das Zertifikat möchten. Jede muss einen auf den VPS zeigenden DNS-Eintrag haben und im server_name einer Website stehen.

Beim ersten Lauf stellt Certbot diese Fragen:

Ergebnis: Successfully deployed certificate for example.cz to /etc/nginx/sites-enabled/example.cz und Congratulations! You have successfully enabled HTTPS….

Was Certbot in der Konfiguration geändert hat#

Öffnen Sie die Website-Konfiguration (nano /etc/nginx/sites-available/example.cz). Zeilen mit der Markierung # managed by Certbot hat Certbot hinzugefügt:

Bearbeiten Sie diese Zeilen nicht von Hand, es sei denn, Sie wissen genau, warum. Certbot verlässt sich bei der Erneuerung darauf.

Automatische Erneuerung#

Ein Let's-Encrypt-Zertifikat ist 90 Tage gültig (Stand Oktober 2026; Let's Encrypt verkürzt die Gültigkeit schrittweise). Das Certbot-Paket hat einen Timer installiert, der die Zertifikate zweimal täglich prüft und diejenigen erneuert, die noch etwa ein Drittel ihrer Gültigkeit haben. Das Nginx-Plugin lädt Nginx nach einer Erneuerung von selbst neu.

Prüfen Sie, dass der Timer existiert und die Erneuerung funktioniert:

systemctl list-timers | grep certbot
certbot renew --dry-run

• systemctl list-timers | grep certbot – gibt eine Zeile mit certbot.timer und dem Zeitpunkt des nächsten Laufs aus.
• certbot renew --dry-run – probiert eine Erneuerung gegen den Staging-Server, ohne die echten Zertifikate anzufassen. Es muss mit Congratulations, all simulated renewals succeeded enden.

certbot certificates listet Ihre Zertifikate und ihre Gültigkeit auf.

Cloudflare und SSL-Modi#

Läuft Ihre Website über den Cloudflare-Proxy (orangefarbene Wolke), sind zwei Verbindungen verschlüsselt: zwischen Besucher und Cloudflare sowie zwischen Cloudflare und Ihrem VPS. Die zweite steuert der Modus SSL/TLS in Cloudflare:

Führen Sie nach dem Umschalten auf Proxied certbot renew --dry-run aus und prüfen Sie, dass die Erneuerung auch über den Cloudflare-Proxy funktioniert. Scheitert sie, stellen Sie sicher, dass Sie Port 80 nicht mit eigenen Regeln in Cloudflare blockieren. Eine dauerhafte Lösung für Fortgeschrittene ist die Domain-Prüfung über DNS mit dem Plugin python3-certbot-dns-cloudflare (siehe die Certbot-Dokumentation (öffnet sich in einem neuen Fenster)).

Grundlegende Absicherung#

1. Nginx-Version verbergen. Unter Debian 13 enthält /etc/nginx/nginx.conf standardmäßig bereits server_tokens off;. Öffnen Sie unter Ubuntu 24.04 die Datei (nano /etc/nginx/nginx.conf) und entfernen Sie im Block http das # vor # server_tokens off;. Nginx verrät seine Version dann weder in Headern noch auf Fehlerseiten.

2. Sicherheits-Header. Diese können Sie dem server-Block mit Port 443 hinzufügen:

   add_header X-Content-Type-Options nosniff always;
   add_header X-Frame-Options SAMEORIGIN always;
   add_header Referrer-Policy strict-origin-when-cross-origin always;

   • X-Content-Type-Options nosniff – der Browser rät den Dateityp nicht (Schutz vor getarnten Skripten).
   • X-Frame-Options SAMEORIGIN – die Website lässt sich nicht in einem Frame in eine fremde Seite einbetten (Schutz vor Clickjacking).
   • Referrer-Policy strict-origin-when-cross-origin – andere Websites erhalten nur die Domain, nicht die vollständige Seiten-URL.
   • always – der Header wird auch bei Fehlerantworten gesendet.

3. Führen Sie nach jeder Änderung nginx -t und systemctl reload nginx aus.

Überprüfung#

curl -I http://example.cz
curl -I https://example.cz

• curl -I – lädt nur die Antwort-Header herunter.

Der erste Befehl liefert HTTP/1.1 301 Moved Permanently mit dem Header Location: https://example.cz/, der zweite HTTP/1.1 200 OK (oder HTTP/2 200). Im Browser sehen Sie ein Schloss neben der Adresse.

Fehlerbehebung#

nginx -t meldet einen Fehler#

Die Ausgabe enthält Datei und Zeilennummer, zum Beispiel unexpected "}" in /etc/nginx/sites-enabled/example.cz:12. Meist fehlt ein Semikolon am Ende einer Direktive, oder eine geschweifte Klammer ist zu viel oder fehlt. Korrigieren Sie die Zeile und führen Sie den Test erneut aus. Starten Sie Nginx mit einer kaputten Konfiguration nicht neu; es würde nicht starten.

502 Bad Gateway#

Nginx läuft, aber die App dahinter antwortet nicht. Prüfen Sie, dass die App läuft und auf dem Port aus proxy_pass lauscht:

ss -tlnp | grep 3000

• ss -tlnp – lauschende TCP-Ports mit Programmnamen.

Wird nichts ausgegeben, läuft die App nicht oder lauscht woanders. Details stehen in /var/log/nginx/error.log (eine Zeile mit connect() failed (111: Connection refused)).

504 Gateway Time-out#

Die App hat zu spät geantwortet. Erhöhen Sie proxy_read_timeout oder finden Sie heraus, warum die App langsam ist.

413 Request Entity Too Large#

Die hochgeladene Datei ist größer als client_max_body_size (Standard 1 MB). Erhöhen Sie den Wert im server-Block und laden Sie die Konfiguration neu.

Statt Ihrer Website erscheint „Welcome to nginx!“#

Die Standard-Website ist noch aktiv, oder die Domain in server_name passt nicht zur Adresse im Browser. Löschen Sie /etc/nginx/sites-enabled/default und prüfen Sie server_name.

Nginx startet nicht: Address already in use#

Port 80 oder 443 ist von einem anderen Programm belegt, typischerweise Apache. Finden Sie heraus, von welchem: ss -tlnp | grep -E ':80 |:443 '. Stoppen und deaktivieren Sie Apache (systemctl disable --now apache2) oder deinstallieren Sie es.

Certbot: Could not automatically find a matching server block#

Keine Website hat die Domain, für die Sie ein Zertifikat anfordern, in ihrem server_name. Fügen Sie sie zu server_name hinzu, führen Sie nginx -t, systemctl reload nginx und Certbot erneut aus.

Certbot: Timeout during connect (likely firewall problem) oder Connection refused#

Let's Encrypt konnte Port 80 nicht erreichen. Prüfen Sie das DNS (getent hosts example.cz), die Firewall im Kundenbereich und UFW. Hat die Domain einen AAAA-Eintrag, muss er auf die IPv6-⁠Adresse dieses VPS zeigen, und die Website muss auch auf IPv6 lauschen (listen [::]:80;).

Cloudflare: Fehler 521, 522, 525 oder 526#

• 521 – der VPS hat die Verbindung abgelehnt: Nginx läuft nicht, oder die Firewall blockiert Port 443.
• 522 – die Verbindung ist abgelaufen: Der VPS ist unerreichbar, oder die Firewall verwirft Pakete.
• 525 – der TLS-Handshake ist fehlgeschlagen: Nginx hat keine gültige HTTPS-Konfiguration auf Port 443.
• 526 – das Zertifikat auf dem VPS ist ungültig oder abgelaufen, im Modus Full (strict). Prüfen Sie certbot certificates.

ERR_TOO_MANY_REDIRECTS#

Typischerweise Cloudflare im Modus Flexible in Kombination mit der HTTPS-Weiterleitung. Schalten Sie Cloudflare auf Full (strict).

Weiterführende Links#

• nginx: Beginner's Guide (öffnet sich in einem neuen Fenster)
• nginx: WebSocket proxying (öffnet sich in einem neuen Fenster)
• nginx: ngx_http_proxy_module (öffnet sich in einem neuen Fenster)
• Certbot: User Guide (öffnet sich in einem neuen Fenster)
• Let's Encrypt: Rate Limits (öffnet sich in einem neuen Fenster)
• Cloudflare: SSL/TLS encryption modes (öffnet sich in einem neuen Fenster)