Websites mit ISPConfig

Subdomains und Aliasdomains

Eine Website kann neben der Hauptdomain weitere Adressen haben:

• Aliasdomain: eine weitere Domain mit demselben Inhalt, z. B. IHRE-DOMAIN.com zusätzlich zu IHRE-DOMAIN.de.
• Subdomain: eine Adresse unterhalb Ihrer Domain, z. B. shop.IHRE-DOMAIN.de.

Aliasdomain anlegen

1. Öffnen Sie Sites › Aliasdomain (deutsch „Aliasdomains“) und klicken Sie auf Add new aliasdomain.
2. Tragen Sie bei Domain die zusätzliche Domain ein und wählen Sie bei Parent Website (Hauptwebseite) die Website, deren Inhalt angezeigt werden soll.
3. Soll die Aliasdomain einfach denselben Inhalt zeigen, lassen Sie die Weiterleitungsfelder auf der Vorgabe. Sollen Besucher dauerhaft auf die Hauptdomain umgeleitet werden (besser für Suchmaschinen), wählen Sie bei Redirect Type R=301,L und tragen bei Redirect Path https://IHRE-DOMAIN.de/ ein.
4. Speichern Sie.

Auch die Aliasdomain muss per DNS auf Ihren Server zeigen. Ist für die Website Let’s Encrypt aktiv, nimmt ISPConfig die Aliasdomain dann in das Zertifikat der Website auf.

Subdomain anlegen

• Mit eigenen Inhalten: Soll die Subdomain eine eigenständige Website sein, z. B. ein Shop oder ein Blog, legen Sie sie wie oben unter Sites › Website als eigene Website an. Tragen Sie bei Domain z. B. shop.IHRE-DOMAIN.de ein und wählen Sie bei Auto-Subdomain keine zusätzliche Subdomain (None). Die Subdomain bekommt so einen eigenen Ordner, eine eigene PHP-Version und ein eigenes Zertifikat.
• Als Teil einer Website: Unter Sites › Subdomain › Add new subdomain legen Sie eine Subdomain für eine bestehende Website an: Tragen Sie bei Host den Namen ein (z. B. shop), wählen Sie die Domain und leiten Sie bei Bedarf über Redirect Path in ein Unterverzeichnis weiter (z. B. /shop/).

Für jede Subdomain braucht es außerdem einen DNS-Eintrag (A-Record oder CNAME), der auf Ihren Server zeigt.

SSL mit Let’s Encrypt

Für jede Website können Sie ein kostenloses SSL-Zertifikat von Let’s Encrypt aktivieren. ISPConfig beantragt das Zertifikat und verlängert es automatisch.

1. Rufen Sie http://IHRE-DOMAIN.de auf. Es muss die Platzhalterseite oder Ihre Website erscheinen.
2. Öffnen Sie Sites › Website und klicken Sie auf die Domain.
3. Setzen Sie im Reiter Domain die Haken bei SSL und Let’s Encrypt SSL.
4. Speichern Sie. Im Reiter SSL müssen Sie nichts eintragen – lassen Sie ihn unverändert.
5. Warten Sie etwa zehn Minuten und ändern Sie in dieser Zeit nichts an der Website. Im Hintergrund prüft Let’s Encrypt, ob die Domain auf Ihren Server zeigt.
6. Rufen Sie https://IHRE-DOMAIN.de auf. Der Browser zeigt nun eine verschlüsselte Verbindung an.

Alle Besucher auf HTTPS umleiten

Damit Ihre Website immer verschlüsselt aufgerufen wird, aktivieren Sie im Reiter Redirect (Umleitung) die Option Rewrite HTTP to HTTPS, sofern sie angezeigt wird. Alternativ legen Sie im Ordner web eine Datei .htaccess mit diesem Inhalt an:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Bringt Ihre Software bereits eine eigene .htaccess mit (z. B. WordPress), fügen Sie die Zeilen ganz oben ein und lassen den übrigen Inhalt unverändert. Stellen Sie außerdem in den Einstellungen Ihres CMS die Adresse der Website auf https:// um.

Gemischte Inhalte vermeiden

Lädt eine HTTPS-Seite Bilder, Skripte oder Stylesheets noch über http://, warnt der Browser vor einer unsicheren Seite. Prüfen Sie den Seitenquelltext (Rechtsklick › „Seitenquelltext anzeigen“) auf http://-Adressen und stellen Sie diese auf https:// oder relative Pfade um.

Wenn das Zertifikat nicht ausgestellt wird

Schlägt die Ausstellung fehl, entfernt ISPConfig den Haken bei Let’s Encrypt SSL wieder. Die häufigste Ursache: Die Domain, die www-Adresse oder eine Aliasdomain zeigt noch nicht auf Ihren Server. Auch eine Weiterleitung der Website auf eine andere Adresse kann die Prüfung verhindern. Beheben Sie die Ursache und versuchen Sie es später erneut.

Datenbank und Datenbankbenutzer anlegen

CMS wie WordPress speichern ihre Inhalte in einer MySQL-Datenbank. In ISPConfig legen Sie zuerst einen Datenbankbenutzer und danach die Datenbank an. Einem Datenbankbenutzer können Sie auch mehrere Datenbanken zuordnen.

1. Datenbankbenutzer anlegen

1. Öffnen Sie Sites › Database Users (deutsch „Datenbank-Benutzer“) und klicken Sie auf Add new User.
2. Vergeben Sie einen Benutzernamen und ein sicheres Passwort oder lassen Sie eines erzeugen. Notieren Sie das Passwort – Sie brauchen es gleich für Ihre Software.
3. Speichern Sie. Den vollständigen Benutzernamen inklusive Präfix sehen Sie in der Übersicht.

2. Datenbank anlegen

1. Öffnen Sie Sites › Databases (deutsch „Datenbanken“) und klicken Sie auf Add new Database.
2. Wählen Sie die Website, zu der die Datenbank gehört.
3. Geben Sie einen Datenbanknamen ein. Auch hier ergänzt ISPConfig automatisch ein Präfix.
4. Wählen Sie bei Database user den eben angelegten Benutzer.
5. Wählen Sie als Zeichensatz (Database charset) UTF-8 bzw. utf8mb4, sofern angeboten.
6. Lassen Sie Remote Access (Zugriff von außen) deaktiviert und speichern Sie.

Für Ihre Software brauchen Sie danach vier Angaben: den Datenbanknamen und den Benutzernamen (beide inklusive Präfix), das Passwort und als Datenbank-Server (Host) localhost.

WordPress manuell installieren

WordPress installieren Sie in wenigen Schritten selbst. Sie brauchen dafür eine Website mit PHP-FPM und aktueller PHP-Version, einen FTP- oder Shell-Benutzer sowie eine Datenbank mit Datenbankbenutzer. Aktivieren Sie SSL am besten vorher, damit WordPress gleich mit https:// eingerichtet wird.

1. Laden Sie WordPress von de.wordpress.org herunter und entpacken Sie das ZIP-Archiv auf Ihrem Computer.
2. Legen Sie in ISPConfig einen Datenbankbenutzer und eine Datenbank an (siehe Datenbank anlegen) und notieren Sie Datenbankname, Benutzername und Passwort.
3. Verbinden Sie sich per FTP oder SFTP und löschen oder umbenennen Sie im Ordner web die Platzhalterseite index.html.
4. Laden Sie den Inhalt des entpackten Ordners wordpress – nicht den Ordner selbst – in den Ordner web hoch. Danach liegen dort u. a. die Ordner wp-admin, wp-content und wp-includes sowie die Datei index.php.
5. Rufen Sie https://IHRE-DOMAIN.de im Browser auf. Der WordPress-Installer startet.
6. Tragen Sie die Datenbankdaten ein: Datenbankname, Benutzername, Passwort, als Datenbank-Host localhost und ein Tabellenpräfix (die Vorgabe wp_ dürfen Sie durch ein eigenes ersetzen). WordPress legt damit die Datei wp-config.php an.
7. Vergeben Sie den Titel der Website, einen Benutzernamen (nicht „admin“), ein sicheres Passwort und Ihre E-Mail-Adresse und schließen Sie die Installation ab.
8. Melden Sie sich an und prüfen Sie unter Einstellungen › Allgemein, dass WordPress-Adresse (URL) und Website-Adresse (URL) mit https:// beginnen.

wp-config.php von Hand anlegen

Kann der Installer die Datei nicht schreiben, zeigt er ihren Inhalt zum Kopieren an. Alternativ kopieren Sie wp-config-sample.php nach wp-config.php und tragen Ihre Daten ein (Beispielwerte – verwenden Sie die vollständigen Namen aus der ISPConfig-Übersicht):

define( 'DB_NAME', 'c1wordpress' );
define( 'DB_USER', 'c1wpuser' );
define( 'DB_PASSWORD', 'IHR-DATENBANK-PASSWORT' );
define( 'DB_HOST', 'localhost' );

Ersetzen Sie in derselben Datei auch die Platzhalter der Sicherheitsschlüssel (AUTH_KEY usw.) durch eigene Werte, die Sie unter api.wordpress.org/secret-key/1.1/salt/ erzeugen lassen. Laden Sie die Datei in den Ordner web hoch und rufen Sie Ihre Domain erneut auf, um die Installation abzuschließen.

Cronjobs

Ein Cronjob führt eine Aufgabe zeitgesteuert aus, z. B. den Versand eines Newsletters, Aufräumarbeiten oder geplante Aufgaben von WordPress. Sofern Cronjobs für Ihr Paket freigeschaltet sind, legen Sie sie in ISPConfig an.

1. Öffnen Sie Sites › Cron Jobs (deutsch „Cronjobs“) und klicken Sie auf Add new cron job.
2. Wählen Sie bei Parent website die Website.
3. Legen Sie den Zeitplan fest: Minutes, Hours, Days of month, Months und Days of week. * steht für „jede“, */15 bei den Minuten für „alle 15 Minuten“.
4. Tragen Sie bei Command to run ein, was ausgeführt werden soll – z. B. eine Adresse (URL), die aufgerufen wird. Ob auch Befehle auf dem Server möglich sind, hängt von Ihrem Paket ab.
5. Achten Sie darauf, dass Active angehakt ist, und speichern Sie.

Beispiel: WordPress-Cron alle 15 Minuten

Schalten Sie anschließend in der wp-config.php den internen WordPress-Cron ab, der sonst bei Seitenaufrufen ausgelöst wird:

define( 'DISABLE_WP_CRON', true );

Sicherheitstipps

Ihre Website ist rund um die Uhr im Internet erreichbar und damit auch Angriffen ausgesetzt. Sicherheitsrelevante Updates für den Server spielen wir ein – für die Software Ihrer Website sind Sie selbst verantwortlich.

• Updates einspielen: Halten Sie CMS, Plugins und Themes aktuell und löschen Sie, was Sie nicht nutzen. Installieren Sie Erweiterungen nur aus vertrauenswürdigen Quellen.
• Unterstützte PHP-Version nutzen: Alte PHP-Versionen erhalten keine Sicherheitsupdates mehr. Wählen Sie eine Version, die noch gepflegt wird, und wechseln Sie rechtzeitig (siehe PHP-Version wählen).
• Starke, getrennte Passwörter: Verwenden Sie für ISPConfig, FTP, Datenbank, CMS-Administration und Postfächer jeweils ein eigenes, langes Passwort und keine bekannten Benutzernamen wie „admin“.
• Verschlüsselt arbeiten: HTTPS für die Website, SFTP oder FTP über TLS für die Dateiübertragung.
• Admin-Bereiche zusätzlich schützen: Unter Sites › Protected Folders (deutsch „Geschützte Ordner“) und Sites › Protected Folder Users legen Sie für einzelne Verzeichnisse einen zusätzlichen Passwortschutz an.
• Keine Fehlermeldungen im Browser: Lassen Sie display_errors im Livebetrieb ausgeschaltet. Fehlermeldungen verraten Angreifern Details über Ihre Website – Sie finden sie stattdessen in der error.log.
• Formulare absichern: Schützen Sie Kontaktformulare, Gästebücher und Foren mit einem Captcha. Lassen Sie Ihre Website E-Mails per SMTP über ein eigenes Postfach versenden statt mit der PHP-Funktion mail() – so sehen Sie, was Ihre Website verschickt.
• Aufräumen: Testdateien, alte Installationen und Sicherungskopien gehören nicht in den Ordner web.
• Backups einrichten: Mit regelmäßigen Sicherungen (siehe Backups) ist auch nach einem Angriff ein sauberer Stand schnell wiederhergestellt.