WordPress-Installation & SSL – Website Setup Series II

Ich habe eine Domain und Webspace. Jetzt muss ich dafür sorgen, dass es auf meiner Domain mehr zu sehen gibt als die Meldung: Hier entsteht eine neue Webseite. Dafür garantiere ich mit der Installation des WordPress CMS und der Einrichtung von SSL.

Zurzeit prägt diese triste Meldung meine neue Domain generation-beta.net:

Außerdem gilt meine Seite in den Augen meines Browser als „unsicher“, wie er mich wissen lässt:

Da muss ich also Hand anlegen! Entsprechend werde ich in diesem Schritt die Domain so weit entwickeln, dass WordPress mindestens die Startseite darstellt und dass die gesamte Domain sicher ist.

Status Quo: Website Setup Series

In der letzten Episode Domain & Hosting – Website Setup Series I habe ich Webspace bei einem Webhoster bestellt und eine Domain reserviert. D.h. ich habe jetzt Zugriff auf meinen Vertrags- bzw. Kundenbereich (bei netcup heißt das customercontrolpanel / ccp) und auf die Server-Verwaltung (läuft bei netcup über die Standard-Software Plesk). In diesen beiden Interfaces kann ich nun also WordPress installieren und meiner neuen Domain ein SSL-Verschlüsselungszertifikat hinzufügen. Auch wenn es verlockend ist, zuerst das WordPress-CMS zu installieren, werde ich mit der SSL-Einrichtung beginnen. Denn: nichts ist schlimmer als nachträgliche serverseitige Umleitungen einzurichten!

SSL via Let’s Encrypt einrichten

Als kleines Vorwort würde ich vorweg schicken, dass ich niemandem mehr empfehlen würde eine Domain ohne SSL-Verschlüsselung (https://) zu betrieben – auch wenn es nur ein Onepager mit einem Profilbild ist. Die Nachteile sind mittlerweile zu groß geworden:

• Es hat negative Auswirkungen auf Google Suchmaschinen Rankings und Traffic
• Deine User bekommen in modernen Browsern neben deiner URL immer den Hinweis „nicht sicher“ angezeigt
• Macht man auf einer Non-SSL-Domain dann doch mal eine kleine Form der Interaktion (z.B. ein Kontaktformular), ist die Domain dann wirklich beim Klick des Senden-Button nicht sicher!

Es gibt im Bereich Verschlüsselung für Websites normalerweise zwei Optionen. Zum einen kann man mit einem kommerziellen Anbieter eines Zertifikats gehen. Das kostet meistens so ab 69€ pro Jahr. Oder man nimmt ein kostenloses Zertifikat von der Initiative Let’s Encrypt. Let’s Encrypt ist ein Zusammenschluss mehrer Web-Unternehmen, um das Internet einen Schritt weit sicherer zu machen. Wer mehr darüber erfahren möchte, kann die Seite mal besuchen: https://letsencrypt.org/.
Ich bin als alter Pfennig-Fuchser natürlich immer mit der kostenlosen Variante am Start!

Zertifikat bestellen

In meiner Webhosting-Verwaltung ist die Let’s Encrypt Bestellung der zweite Punkt in meiner Website-Verwaltung-Übersicht. Es ist quasi eine One-Click-Bestellung …

… wäre da nicht das Mini-Bestellformular. Hier muss ich lediglich meine E-Mail-Adresse angeben und anhaken Für die Domain und jeden ausgewählten Alias die „www“-Subdomain einschließen. Es ist normal, dass Webhoster eine Auto-Erneuerung anbieten, was auch gut ist, weil die Zertifikate eine sehr kurze Laufzeit haben.

http:// zu https:// & www.-Weiterleitungen einrichten

Eine Sache, die ich – aus Erfahrung – im gleichen Zug gerne machen ist die Weiterleitung der non-SSL-URL-Eingabe und die Weiterleitung bei Eingaben von www.generation-beta.net zu generation-beta.net einzurichten. D.h.

• Gibt ein User die unsichere Webadresse http://generation-beta.net ein, soll er automatisch (auf jeder Unterseite) auf https://generation-beta.net weitergeleitet werden.
• Gibt ein User (z.B. aus Nostalgie) die Adresse www.generation-beta.net ein, soll er automatisch auf https://generation-beta.net weitergeleitet werden.

So schaffe ich eine sichere Nutzererfahrung und erzeuge keine doppelten Inhalte / Unterseiten für SEO und Tracking. In meiner Administration konfiguriere ich das unter Websites & Domains > Hosting-Einstellungen in diesen beiden Boxen:

1. Bevorzugte Domain = generation-beta.net
2. Dauerhafte, für SEO geeignete 301-Weiterleitung von HTTP zu HTTPS

Das Resultat …

Am Ende sehen wir das Resultat: Wir finden unter generation-beta.net noch immer eine shitty Platzhalter-Seite – aber sie ist immerhin sicher!

WordPress 1-Klick-Installation

Glücklicher Weise habe ich einen Webhoster gewählt, der eine WordPress-Installation aus dem Hosting-Interface anbietet. Alternativ müsste ich einen FTP-Zugang einrichten, WordPress-Dateien auf den Server laden, eine Datenbank aufmachen und die wp-config.php bearbeiten. Mit der 1-Klick-Installation und einem User Interface ist die WordPress-Installation in den vergangenen Jahren aber idiotensicher deutlich einfacher geworden.
In meiner Domain-Übersicht schreit mich die Insallation zumindest schon 3 bis 5 mal an:

Der nächste Screen sieht etwas komplexer aus als er ist. Weiter unten mache ich noch ein paar Anmerkungen zu den jeweiligen wichtigen Feldern.

Hier ein paar Überlegungen zu einigen der konfigurierbaren Felder:

• Installationspfad – Es wichtig, dass hier https:// vorbelegt ist.
• Website-Titel – Kann im Nachgang noch geändert werden
• Plugin-/Theme-Paket – Sehe ich nicht, was sich hinter WordPress Classic verbirgt, ist aber auch nicht gefährlich. Ich will aber eine leere WordPress-Instanz.
• Sprache der Website – Hier nehme ich aus Erfahrung niemals „Englisch“ obwohl ich englische Interfaces mag. Das führt irgendwo zwischen System und Frontend immer zur Verwirrung.
• Version – Immer die aktuellste WordPress Version nehmen!
• Benutzername – Hier niemals etwas generisches wie „Admin“ oder „Login“ verwenden – das macht es zu einfach die Seite zu hacken!
• E-Mail-Adresse – Ich empfehle eine Adresse außerhalb der Domain (z.B. @generation-beta.net). Vielleicht eure Gmail-Adresse oder ähnliches. Sonst ist nämlich im Falle von Serverzugang-weg auch WordPress-Recovery-weg.
• Datenbank-Namen & -Benutzer – Hier nehme ich gerne die kryptischen Versionen, weil sie sicherer sind.
• WordPress Updates – Weil ich womöglich nicht jeden Tag im Backend bin, hätte ich gerne automatisch Feature- und Sicherheitsupdates (Haupt- und Nebenversionen)
• Plugin Updates – Hier möchte ich die Auto-Update Funktion gerne mal testen obwohl ich weiß, dass dies meine Site auch zerschießen kann!

Das ging schnell! Es wird schon gearbeitet:

Das war es schon! Bei einem Blick auf generation-beta.net, sehe ich jetzt: Der shitty Platzhalter-Screen ist weg und die Startseite wird von WordPress generiert! Awesome!

Was ich hier jetzt sehe, ist eine nicht-konfigurierte Version von WordPress. Das Theme ist twenty-twenty und Beiträge und Sample Page sind Dummy-Inhalte, die das System immer automatisch einfügt. Aber ich erkenne oben links meinen Titel: generation-beta.net | Digitaler Service Lifestyle!

Da gibt es also in den nächsten Episoden jede Menge Dinge zu konfigurieren innerhalb des WordPress Interface!

Über die Website Setup Series

Die Website Setup Series ist eine Serie von Blog-Beiträgen, in denen ich die Entstehung einer neuen Website, die mit dem WordPress-CMS und anderen Open Source Tools aufgesetzt wird, dokumentiere. Dabei wird besonders viel Wert darauf gelegt, dass jeweils nur kleine Arbeitspakete pro Beitrag beschrieben werden, damit auch Anfänger der Serie gut folgen können. Des Weiteren ist die Serie mit einer gesunden Portion Pragmatismus und Unterhaltungswert versehen, um die Casual Reading Experience aufrecht zu erhalten.

Die Serien-Inhalte sind ein Resultat der Learnings aus knapp 10 Jahren Website-Erstellung und ca. 8 verschiedenen nebenberuflichen und zahlreichen beruflichen Web-Projekten!