EN

Start / Acmefyer / IIS-Zertifikat

AcmefyerAgentenbasierter Zertifikatsmanager

IIS-Zertifikat automatisch erneuern, mit Let’s Encrypt.

Auf jedem Windows Server mit IIS dasselbe: Zertifikat besorgen, als PFX importieren, die HTTPS-Bindung umstellen, und das auf jedem Server. Acmefyer holt das Zertifikat per ACME, zum Beispiel kostenlos von Let’s Encrypt, und ein Agent auf dem IIS-Server spielt es ein und bindet es an die Website.

Acmefyer ansehen Dokumentation
01Von HandWas bei jedem Tausch zu tun ist

So tauschen Sie das SSL-Zertifikat im IIS von Hand.

Das neue Zertifikat kommt als PFX-Datei in den Zertifikatsspeicher des Computers, zum Beispiel per PowerShell:

Import-PfxCertificate -FilePath C:\certs\www.pfx -CertStoreLocation Cert:\LocalMachine\My -Password (Read-Host -AsSecureString)

Danach im IIS-Manager die Website wählen, Bindungen öffnen, die HTTPS-Bindung bearbeiten und das neue Zertifikat auswählen. Teilen sich mehrere Websites eine IP-Adresse, braucht jede Bindung ihren Hostnamen und Servernamenanzeige erforderlich (SNI).

Jeder Server
Import und Bindung wiederholen sich auf jedem IIS-Server und für jede Website.
Prüfung
Für HTTP-01 muss die Zertifizierungsstelle eine Datei unter /.well-known/acme-challenge/ auf Port 80 abrufen können, ohne Umleitung ins Leere.
Fernzugriff
Skripte, die das zentral erledigen, brauchen WinRM oder Dateifreigaben auf jedem Server und Administrator-Kennwörter an einer Stelle.
Wie oft
Seit März 2026 gelten öffentliche Zertifikate höchstens 200 Tage, ab 2029 nur noch 47 Tage. Dann steht der Tausch etwa jeden Monat an.
02Mit AcmefyerWas der Agent übernimmt

Ein Agent je IIS-Server, ein Zertifikat für viele.

Der Acmefyer-Server holt das Zertifikat bei Let’s Encrypt oder einer anderen ACME-Zertifizierungsstelle und erneuert es 30 Tage vor Ablauf. Auf jedem IIS-Server läuft der Acmefyer-Agent als Dienst. Er holt das neue Zertifikat ab, importiert es in den Windows-Zertifikatsspeicher und stellt die Bindung der Website um.

Dasselbe Zertifikat kann an viele Ziele gehen: mehrere IIS-Server hinter einem Load Balancer, dazu Exchange, eine FortiGate oder NGINX. Der IIS-Server braucht dafür keinen offenen Port und keinen Internetzugang.

IIS
Zertifikat in den Windows-Zertifikatsspeicher importieren und an die gewählte Website binden, mit Hostname und Port.
Erkennung
Der Agent findet die IIS-Websites mit ihren Bindungen und dem Zertifikat, das dort gerade steckt, und schlägt das passende Deployment vor. IIS auf einem SCCM-Server, die Web-Registrierung einer internen PKI und Bindungen an den zentralen Zertifikatspeicher lässt er aus.
Prüfung
HTTP-01 über den IIS selbst: Der Agent legt die Prüfdatei in den Ordner der Website. Ohne Erreichbarkeit von außen geht es per DNS-01.
HTTP.sys
Für Windows-Anwendungen, die HTTPS ohne IIS über HTTP.sys ausliefern, etwa Reporting Services: Bindung des Ports umstellen, prüfen und sonst zurückstellen.
Zertifikatsspeicher
Ohne Bindung nur in einen Speicher einspielen, zum Beispiel für Remotedesktop oder SQL Server.
03EinrichtenEinmal einrichten, danach läuft es von selbst
  1. 01

    Domain anlegen

    Zum Beispiel www.example.com, mit Let’s Encrypt und Prüfung per HTTP-01 oder DNS-01.

  2. 02

    Agent installieren

    Das Setup-Paket auf dem IIS-Server starten, oder per PDQ Deploy oder Softwareverteilung verteilen.

  3. 03

    Deployment anlegen

    Der Agent zeigt die erkannten Websites. Ein Klick legt das Deployment an.

  4. 04

    Fertig

    Acmefyer erneuert das Zertifikat ab jetzt rechtzeitig und meldet jedes Ergebnis.

04FragenHäufige Fragen zum IIS-Zertifikat

Funktioniert Let’s Encrypt mit IIS?

Ja. IIS nimmt jedes Zertifikat aus dem Windows-Zertifikatsspeicher. Let’s Encrypt stellt es per ACME kostenlos aus, und Acmefyer spielt es ein und bindet es an die Website.

Muss Acmefyer auf dem IIS-Server laufen?

Nein. Der Acmefyer-Server läuft auf einem eigenen Windows- oder Linux-Server. Auf dem IIS-Server läuft nur der kleine Agent als Dienst. Er verbindet sich ausgehend zum Acmefyer-Server.

Welche Windows-Server-Versionen werden unterstützt?

Der Agent läuft auf Windows x64, ARM64 und 32 Bit und richtet sich als Windows-Dienst ein. Er bedient IIS und die HTTP.sys-Bindungen des Systems.

Mein IIS-Server ist von außen nicht erreichbar. Geht das trotzdem?

Ja, mit DNS-01. Acmefyer legt den Prüfeintrag bei Ihrem DNS-Anbieter an, der IIS-Server muss dafür weder aus dem Internet erreichbar sein noch selbst ins Internet. Damit gehen auch interne Server mit öffentlichem Namen.

Kann ich ein Zertifikat für mehrere IIS-Websites verwenden?

Ja. Ein Zertifikat kann mehrere Namen enthalten oder ein Wildcard-Zertifikat sein. Je Website und je Server legen Sie ein Deployment an; nach jeder Erneuerung spielt Acmefyer es überall neu ein.