HTTP/2: Neuer Raketenantrieb fürs Web – so gelingt Ihnen der Start

Mit HTTP/2 steht Webentwicklern eine Veränderung ins Haus, die es in sich hat. Bewährte Performance-Tricks werden über den Haufen geworfen und Workflows bei der Entwicklung von Webapplikationen dürfen angepasst werden. Wir zeigen, in welchen Bereichen ein Umdenken angesagt ist und warum das für Ihre Website gut ist.

HTTP/2: Raketenantrieb fürs Web

Die Geschichte von HTTP/2

HTTP, also das Hypertext Transfer Protocol, ist für digitale Verhältnisse uralt. Es wurde 1991 eingeführt und trägt seit 1999 die Versionsnummer 1.1. Entwickelt wurde es unter anderem von Tim Berners-Lee, dem Vater des World-Wide-Webs.

Seit 16 Jahren hat sich an dieser Technologie, die für die Übertragung von Websites genutzt wird, nicht viel verändert. Web- und Computerriesen wie Google und Microsoft begannen deshalb, eigene Nachfolger für HTTP/1.1 zu entwickeln.

Die grössten Wellen schlug dabei Google mit seinem Protokoll SPDY (ausgesprochen Speedy), welches nun auch als Basis für HTTP/2 dient. Der HTTP/2-Standard wurde von der Internet Engineering Taskforce (IETF) im Mai 2015 verabschiedet. Der Rakete HTTP/2 ist damit auch ganz offiziell der Start geglückt.

Bandbreite vs. Latenz

Quelle

Vergleich des Einflusses von steigender Bandbreite gegenüber sinkender Latenz auf Website-Ladezeiten. Quelle: Ilya Grigorik

Das Hauptziel hinter HTTP/2 ist die Vermeidung von Zeitverlusten durch Latenz. Untersuchungen haben gezeigt, dass ab einer Bandbreite von 5 Mbit/s keine grossen Geschwindigkeitsverbesserungen mehr erreicht werden.

In der Schweiz beträgt die durchschnittliche Bandbreite eines Internetanschlusses 15,6 Mbit/s. Der globale Durchschnitt liegt bei 5,1 Mbit/s.


— Quelle: Akamai’s State of the Internet

Die Verringerung der Latenz bringt hingegen linear Verbesserungen, wenn es um die Ladezeiten von Webseiten geht.

Während auch bei mobilen Verbindungen die Bandbreiten in den letzten Jahren in die Höhe geschnellt sind, sind Latenzen in mobilen 3G- und 4G-Netzwerken aufgrund des eingesetzten Radio Resource Controller (RRC) grundsätzlich höher als bei kabelgebundenen Anbindungen. Der Umschwung der Internetnutzung auf mobile Geräte macht die Verringerung von Latenzen, wie z.B. durch HTTP/2, umso nötiger.

Das macht HTTP/2 besser

Der neue Standard ist vollständig abwärtskompatibel, was die schnelle Verbreitung unterstützt. Die wichtigsten Verbesserungen gegenüber der Version 1.1 sind:

  • Kommunikation auf einem Kanal
    Bis anhin musste der Browser für jede einzelne Datei eine eigene TCP-Verbindung öffnen. Das erzeugte unnötigen Datenverkehr und drückte auf die Geschwindigkeit. Mit HTTP/2 wird die Kommunikation zwischen Browser und Server über eine einzige Verbindung abgewickelt.
  • Stream Dependency
    Die Kommunikation auf einem einzelnen Kanal benötigt eine gewisse Intelligenz im Hintergrund, damit sich die Datenpaketen nicht in die Quere kommen. Der Browser kann dem Server mitteilen, welche der zu ladenden Dateien für ihn wichtiger sind und die darum zuerst vom Server an den Browser geschickt werden sollen.
  • Kompression der Kopfzeilen
    Die sogenannten HTTP-Header beinhalten die wichtigen Zusatzinformationen zu der angeforderten Datei. HTTP/1.1 erzeugt hier viele redundante Daten, was unnötigen Datenverkehr produziert. Mit HTTP/2 lassen sich diese Header drastisch in der Grösse reduzieren. Damit müssen weniger Daten ausgetauscht werden.
  • Server Push
    Der Server kann dem Browser bereits Dateien schicken, bevor der Browser die entsprechende Dateien überhaupt angefordert hat. Das verhindert zeitintensive Roundtrips der Datenpakete zwischen dem Browser und dem Server.

Alte Hörner abstossen

HTTP/1.1. ist zwar bereits 16 Jahre alt, das Web wäre aber nicht das Web, hätten sich Webentwickler in der Zwischenzeit nicht mit Tricks beholfen.

Um die Nachteile von HTTP/1.1 zu umgehen, ist der Einsatz von Methoden wie CSS-Sprites, Code-Inlining oder Domain-Sharding gang und gäbe. Mit HTTP/2 sind solche Methoden nicht mehr nötig, um eine bessere Performance herauszuholen. In einigen Fällen sind sie sogar kontraproduktiv.

  • Concatenation und Sprites
    Das Problem des Head-of-Line-Blocking bei HTTP/1.1 wird mit Concatenation, also dem Zusammenführen von JavaScript- oder CSS-Dateien und dem Spriting von Bildern, dem Verpacken von unterschiedlichen Design-Elementen in einziges Bild, umschifft. Wer schon einmal Anpassungen an einem Sprite und dessen Ausrichtung via CSS machen musste, weiss wie mühsam diese Arbeit sein kann. Ganz zu schweigen von kleinen Änderungen an JavaScript-Code und CSS-Anweisungen, die dazu führen, dass das gesamte Dateipaket neu generiert werden und der Seitencache erneuert werden muss.

Mit HTTP/2 müssen keine Monsterdateien mehr erzeugt werden. Einzelne Dateien dürfen eigenständig bleiben, was die Entwicklung von komplexeren Webapplikationen wieder vereinfacht. Concatenation und Sprites lohnen sich mit HTTP/2 nur dann, wenn mit den Methoden spürbare Verbesserung bei der Kompression von Daten erzielt werden.

  • Resource-Inlining
    Eine weitere Methode, um das Head-of-Line-Blocking-Problem zu umgehen, ist das Resource-Inlining. Dabei werden JavaScript, CSS oder sogar Bilder (in hexadezimalem Format) Teil einer HTML-Datei. Die Dateien werden sowieso benötigt, also kann man sich die zusätzlichen Schlaufen für die Beschaffung der einzelnen Dateien damit sparen.

Mit HTTP/2 dürfen wieder granulierte Konstrukte gebaut werden, ohne dass mit Geschwindigkeitseinbussen gerechnet werden muss. Mit Server-Push lassen sich die Vorteile von Ressource-Inlining intelligenter lösen. Wie bei Concatenation und Sprites sprechen ausschliesslich Performancegewinne durch Kompression für den Einsatz der Ressource-Inlining-Technik bei HTTP/2.

  • Domain-Sharding
    Die bei HTTP/1.1 fehlende Möglichkeit des Multiplexings und die von Browsern limitierte Anzahl von möglichen gleichzeitigen Verbindungen pro Domain hat dazu geführt, dass viele Websites dem Browser vorgaukeln, statische Dateien wie Bilder seien an einem anderen Ort oder sogar in einem Content-Delivery-Network (CDN) gespeichert. Die Folge davon: Der Browser öffnet zusätzliche parallele Verbindungen zur Subdomain, wobei jede dieser Verbindungen Ressourcen wie Arbeitsspeicher, Prozessorzeit und co. kostet. Von der höheren Komplexität einer Webapplikation durch unterschiedliche Hostnamen ganz abgesehen.

Mit HTTP/2 ist Domain-Sharding nicht mehr nötig und kann sogar negative Auswirkungen auf die Performance haben.

Kann ich HTTP/2 schon nutzen?

HTTP/2 wird von den beliebtesten Browsern bereits unterstützt.

HTTP/2 wird von den beliebtesten Browsern bereits unterstützt. (Quelle: caniuse.com)

Während die populärsten Browser HTTP/2 bereits länger unterstützen, hat auf der Seite der Webserver-Hersteller die grosse Adaption erst in den letzten Monaten und Wochen stattgefunden. Die beiden Marktführer Apache und nginx unterstützen HTTP/2 in den aktuellen Versionen von Haus aus. Der von uns eingesetzte Webserver war der erste mit signifikantem Marktanteil, der HTTP/2 für seine Benutzer verfügbar gemacht hat.

Ist Ihre Website mit einem SSL/TLS-Zertifikat verschlüsselt und damit per HTTPS erreichbar, nutzen die Besucher Ihrer Website bereits HTTP/2. War der Einsatz eines SSL/TLS-Zertifikats für Sie bislang kein Thema, werden Sie spätestens mit der Lancierung von Let’s Encrypt per Mausklick und ohne zusätzliche Kosten von HTTP/2 profitieren können.

Machen Sie den Test

Ob eine Website per HTTP/2 ausgeliefert wird, lässt sich mit Browser-Plugins oder in den eingebauten Entwickler-Tools überprüfen. Wir können für Chrome und Firefox diese beiden Plugins empfehlen:

Was HTTP/2 an Geschwindigkeit bringen kann, zeigen Demo-Seiten wie diese von Akamai.

Möchten Sie sich weiter in das Thema einlesen? Dann bietet sich die HTTP/2-Website der IETF HTTP Working Group als erste Anlaufstelle an. Wenn es auch ein bisschen technischer sein darf, lohnt sich ein Blick in das Buch High Performance Browser Networking von Ilya Grigorik.

SFTP oder FTPS: Beide sicher, aber welches Protokoll soll ich wählen?

Wir unterstützen seit einigen Tagen, neben SFTP, auch FTPS als sichere Option, um Ihre Daten verschlüsselt an Ihr Webhosting oder Cloudserver zu übertragen. Nun stellt sich die Frage: Welches der beiden Protokolle soll ich nutzen?

SFTP oder FTPS? Beide sicher. (Bildquelle)

SFTP oder FTPS? Beide sicher. (Bildquelle)

SFTP und FTPS, ist das nicht das Gleiche?

Abkürzungen im Internet sind so eine Sache. Wer kann sich schon all diese Akronyme merken? Der Buchstabe «S» signalisiert meistens Sicherheit und Verschlüsselung. Und das ist auch bei FTPS und SFTP nicht anders.

Ausgeschrieben bedeuten die beiden Abkürzungen folgendes:

  • SFTP steht für «SSH File Transfer Protocol» und beschreibt das Dateitransfer-Protokoll, welches sich im Untergrund das Verbindungsprotokoll «Secure Shell (SSH)» zu Nutze macht. Damit profitiert SFTP vom verschlüsselten Kanal, der bei einer SSH-Verbindung aufgebaut wird.
  • FTPS steht für «File Transfer Protocol over SSL» und müsste heutzutage eigentlich FTPT (FTP over TLS) heissen. Wie es der Name verrät, sorgen bei FTPS SSL/TLS-Zertifikate für die Verschlüsselung. Wir unterstützen FTPS zurzeit im Modus «Explizit», bei dem die Verschlüsselung explizit vom Client (z.B. Ihrem FTP-Programm) angefordert werden muss.

Zugangsdaten verschlüsselt übertragen: immer

Sie sollten Zugangsdaten grundsätzlich immer verschlüsselt übertragen. In Sachen Sicherheit können Sie bei der Wahl zwischen SFTP und FTPS nichts falsch machen. Ihre Kommunikation ist in beiden Fällen verschlüsselt und damit vor unerwünschten Blicken sicher.

Wir empfehlen die beiden Protokolle für folgende Anwendungszwecke:

  • SFTP
    Dank SSH-Keys müssen Sie sich nicht unzählige Passwörter merken. SFTP eignet sich damit vor allem für Nutzer, die viele verschiedene Webhosting-Accounts verwalten.
  • FTPS
    FTPS sollte in jenen Fällen zum Einsatz kommen, in denen eine SFTP-Nutzung nicht möglich ist. Da SFTP nur mit dem Hauptbenutzer eines Webhosting-Accounts funktioniert, kommt für alle zusätzlichen FTP-Benutzer nur FTPS in Frage.

Mehr Sicherheit durch zusätzliche FTP-Benutzer?

Zusätzliche FTP-Benutzer haben ausschliesslich Zugriff auf das public_html-Verzeichnis bzw. einen definierten Unterordner. Systemdaten und E-Mails bleiben für den Benutzer unsichtbar. Damit eignen sich zusätzliche FTP-Benutzer perfekt, um einem beauftragten Designer oder Entwickler Zugang zu einem Website-Projekt zu geben. Doch Achtung: Wird mit einem zusätzlichen FTP-Benutzer Schadsoftware auf den Server geladen, ist dies genau so gefährlich, wie wenn dies über den Hauptbenutzer geschieht. Vergeben Sie darum auch für zusätzliche FTP-Benutzer unbedingt starke Passwörter.

Je unprivilegierter desto besser

Ein Grundsatz der Informationssicherheit lautet «Eingeschränkte Benutzerkonten verwenden». Wenn Sie Zugänge zu Ihrem Webhosting erstellen, sollten die entsprechenden Nutzer nur so viele Rechte erhalten, wie für deren Aufgaben nötig sind. Dieser Grundsatz lässt sich auch auf die eigenen Benutzerkonten anwenden. Erstellen Sie also selbst für den Eigengebrauch einen zusätzlichen FTP-Benutzer und verwenden Sie diesen, anstatt sich mit dem Hauptbenutzer einzuloggen. Sollte der Ernstfall eintreten und der Benutzer ist kompromittiert, sind die Ausmasse des Schadens meist geringer als wenn der Hauptbenutzer betroffen wäre.

.pro, die Domainendung für Profis und 3 weitere neue TLDs bis Ende 2015

Bis Ende Jahr gelangen noch vier neue Top-Level-Domains in den freien Verkauf, wobei eine davon gar nicht so neu ist. Die Domainendung .pro existiert seit 2002 und war bisher Mitgliedern von bestimmten Berufsgruppen vorbehalten. Am 16. November 2015 werden diese Restriktionen nun aufgehoben und .pro-Domains können ohne spezielle Einschränkungen registriert werden.

Nebst .pro gelangen bis Ende Jahr ausserdem die Endungen .sex, .trading und .earth in den freien Verkauf. Im Januar 2016 werden dann voraussichtlich neun neue Domainendungen an den Start gehen.

04.11.2015

Domain CHF EUR USD GBP
.sex 99.90 99.90 103.90 62.90

09.11.2015

Domain CHF EUR USD GBP
.trading 99.90 99.90 103.90 62.90

16.11.2015

Domain CHF EUR USD GBP
.pro 29.90 29.90 30.90 18.90

19.11.2015

Domain CHF EUR USD GBP
.earth 39.90 39.90 41.90 25.90

Wichtige Hinweise

Alle Preise gelten für eine Vertragsdauer von einem Jahr. Preisänderungen und Irrtum sind vorbehalten. Der verbindliche Preis wird Ihnen während einer Bestellung angezeigt.

Am angegebenen Datum beginnt die sogenannte General Availability-Phase, in der die Domains frei registriert werden können. Die meisten Domains werden um 17:00 Uhr Schweizer Zeit (CET) aktiviert. Die genaue Uhrzeit wird Ihnen am Tag der Verfügbarkeit auf unserer Domainseite angezeigt.

Bei der Registrierung gilt das Prinzip «First come – first served». Zögern Sie also nicht, Ihre Lieblings-Domains gleich ab Verfügbarkeit zu registrieren, bevor jemand anderes schneller ist.

.swiss ist da – Beantragen Sie die neue Domain jetzt für Ihre Firma

Ab heute können Sie bei uns Anträge für Ihre .swiss-Wunschdomain platzieren. Das müssen Sie wissen, wenn Sie eine .swiss-Domain während der Lancierungsphase ergattern möchten:

.swiss – nur für juristische Personen

.swiss soll zur Marke werden. Die Restriktionen, um eine der begehrten Domainnamen zu ergattern, sind darum hoch. Generell werden .swiss-Domains juristischen Personen vorbehalten bleiben.

.swiss ist da – Beantragen Sie jetzt Ihre Wunschdomain.

.swiss ist da – Beantragen Sie jetzt Ihre Wunschdomain.

Spezielle Lancierungsphase

Während der im September gestarteten Lancierungsphase werden sämtliche Anträge für .swiss-Domainnamen beim BAKOM gesammelt. Nach Ablauf der Phase am 09. November werden die beantragten Domains dann nach folgenden Kriterien vergeben:

  1. Ist der gewünschte Name im sogenannten Trademark Clearinghouse (TMCH) der ICANN eingeschrieben, erhält der Antragssteller den Zuschlag.
  2. Ist der gewünschte Domainname eine relevanten Bezeichnung einer öffentlichen-rechtlichen Körperschaft, weiterer Organisationen des öffentlichen Rechts oder ihrer öffentlichen Tätigkeit, erhält der Antragssteller den Zuschlag.
  3. Ist die gewünschte .swiss-Domain eine in der Schweiz geschützte Marke oder eine andere von der schweizerischen Gesetzgebung geschütztes Kennzeichen (Firma, kontrollierte Ursprungsbezeichnung (AOC), geschützte geographische Angabe (GGA)), erhält der Antragssteller den Zuschlag.

20 Tage, meins

Erhalten Sie für Ihre Wunschdomain den Zuschlag, wird Ihr Antrag 20 Tage lang auf der Website der Registrierungsstelle www.nic.swiss veröffentlicht. Während dieser Zeit können Dritte Anträge für Ihre .swiss-Domain stellen. So will das BAKOM sicherstellen, dass ein Domainname dort zugeteilt wird, wo er der Gemeinschaft den grössten Mehrwert bietet.

Generelle Verfügbarkeit ab Januar 2016

In den öffentlichen Verkauf wird .swiss dann am 11. Januar 2016 gelangen. Ab diesem Zeitpunkt werden auch sogenannte generische Domainnamen wie anwalt.swiss oder webdesign.swiss beantragt werden können. Generische Namen werden jedoch in einem aufwändigeren Verfahren, dem Namenszuteilungsmandat, vergeben. Dieses Verfahren wird eine zusätzliche Gebühr sowie eine höhere Jahresgebühr nach sich ziehen.

Wir nehmen Ihren Antrag für die generelle Verfügbarkeit bereits jetzt entgegen und übergeben diesen am 11. Januar 2016 automatisch der Registrierungsstelle.

Jetzt .swiss beantragen

.swiss-Domains können Sie nur im Namen einer juristischen Person bzw. einer im Handelsregister eingetragenen Firma beantragen. Sie benötigen während der Lancierungsphase Ihre Unternehmens-Identifikationsnummer (UID), die jedes in der Schweiz aktive Unternehmen besitzt. Die UID entspricht Ihrer MWST-Nummer ohne den Zusatz «MWST» und besitzt die folgende Form: CHE-123.456.789

Beantragen Sie Ihre .swiss-Domain für CHF 119.90/Jahr

Weitere Informationen zum Thema haben wir für Sie in unserem Supportcenter zusammengestellt: Häufig gestellte Fragen zur neuen Domainendung .swiss

Bald bei cyon: kostenlose SSL-Zertifikate für alle

Spätestens seit Snowden und seiner Whistleblowing-Aktion ist es Allen klar: Unsere Privatsphäre im Netz ist akut bedroht. Wir lancieren deshalb ein zuverlässiges Mittel gegen Schnüffelei: verschlüsselte Verbindungen für alle Websites mit kostenlosen SSL-Zertifikaten.

SSL à la cyon

Die Zertifikate sind nicht nur kostenlos, sie lassen sich so einfach installieren wie nie zuvor: Ein Klick im my.cyon genügt – und schon kommunizieren Besucher sicher und verschlüsselt mit Ihrer Website.

SSL für alle: Wir erklären Verschlüsselung zu einem Grundrecht.

SSL für alle: Wir erklären Verschlüsselung zu einem Grundrecht.

Ein mühseliges hantieren mit CSRs und Keys ist nicht mehr nötig, genau so wenig wie das Bestätigen irgendwelcher E-Mailadressen.

Drei Gründe, warum Sie ein SSL-Zertifikat benötigen

Vorbei sind die Zeiten, in denen SSL-Zertifikate nur für «grosse» Websites oder Online-Shops ein Muss waren. Wir haben die wichtigsten Gründe für den Einsatz eines SSL-Zertifikats für Sie zusammengefasst:

1. Vertrauen Ihrer Besucher

Verschlüsselte Verbindungen sind die neue Normalität. Unverschlüsselte Websites werden bald jedem ins Auge stechen und dann noch etwa so modern wirken wie ein Nokia 3210.

Ohne SSL-Zertifikat erfolgt die Kommunikation zwischen Ihrer Website und Ihren Besuchern vollkommen unverschlüsselt. Das bedeutet, dass Formular-Inhalte oder Login-Daten offen durch das Netz wandern und jeder darauf zugreifen kann. Und selbst wenn über Ihre Website (noch) keine «schützenswerten» Informationen ausgetauscht werden: Eine geschützte Privatsphäre ist letztendlich eine Grundsatzfrage.

Um nochmals Edward Snowden aufzugreifen: Vielleicht kennen Sie dieses berühmte Zitat von ihm?

«Wer sagt, Privatsphäre sei unwichtig, da er nichts zu verbergen habe, sagt auch, Redefreiheit sei unwichtig, da er nichts zu sagen habe.»


— Edward Snowden

2. Mehr Geschwindigkeit dank HTTP/2

Ein aus unserer Sicht noch völlig unterschätzter Grund für SSL-Zertifikate ist die neuste Version des Netzwerkprotokolls HTTP. Über dieses Protokoll kommuniziert ein Browser mit einer Website. HTTP/2 hat gegenüber seinem 16 Jahre alten Vorgänger HTTP 1.1 zahlreiche Vorteile. Der Wichtigste: HTTP/2 ist deutlich schneller und merzt Nachteile von HTTP 1.1 aus, die Webentwickler bisher mit zahlreichen Tricks umgehen mussten.

Die Zeit ist reif für HTTP/2, denn die beliebtesten Browser unterstützen das Protokoll bereits durchs Band. Bei den Webserver-Herstellern beginnen die grossen Player, das Protokoll in die stabilen Versionen einzubauen. Der von uns genutzte Webserver unterstützt HTTP/2 bereits heute.

Das fehlende Puzzleteil zur vollständigen HTTP/2-Unterstützung? Sie ahnen es: HTTP/2 kann nur über verschlüsselte Verbindungen angewendet werden. Mit einem SSL-Zertifikat ist Ihre Website bei cyon bereit für die Zukunft.

3. Weiter oben bei Google

Google mag schnelle Websites. Und Google mag verschlüsselte Websites. So hat der Suchmaschinenriese angekündigt, Verschlüsselung als positiven Ranking-Faktor zu behandeln. Mit einem SSL-Zertifikat verbessern Sie also Ihre Chance, bei Google in die vorderen Ränge zu klettern.

Möglich dank Let’s Encrypt

Ermöglicht werden diese guten Nachrichten durch «Let’s Encrypt», eine neue gemeinnützige Zertifizierungsstelle, hinter welcher Schwergewichte wie Mozilla, Cisco oder die Electronic Frontier Foundation (EFF) stehen. Let’s Encrypt hat sich zum Ziel gesetzt, allen Menschen kostenlose SSL-Zertifikate zur Verfügung zu stellen und bringt damit gehörig Wind in die SSL-Zertifikate-Branche.

Als Let’s Encrypt an die Öffentlichkeit trat, war für uns sofort klar: Diese Zertifikate werden wir allen cyon-Kunden zur Verfügung stellen. Nicht zuletzt passen auch die sechs Prinzipien von Let’s Encrypt hervorragend zu unseren eigenen Werten.

Let's Encrypt und cyon

Let’s Encrypt und cyon, da haben sich zwei gefunden.

So haben wir uns also hingesetzt und umgehend mit dem Einbau begonnen. Inzwischen sind die Arbeiten abgeschlossen und wir werden ab dem öffentlichen Start von Let’s Encrypt beginnen können, kostenlosen Zertifikate auszustellen.

Verfügbar ab Mitte November Anfang Dezember

Ursprünglich war der Start der neuen Zertifikatsstelle für Mitte September geplant gewesen, wurde dann aber kurzfristig auf Mitte November verschoben und ist nun für Anfang Dezember geplant.

Bis dahin fiebern wir gespannt dem Start entgegen und freuen uns, Ihre Website bald nicht nur schneller, sondern auch sicherer machen zu dürfen.

Seite 6 von 96« Erste...45678...203040...Letzte »