Let´s Encrypt (this blog)
Lange hat es gedauert, aber jetzt läuft auf neskaya, dem Server hinter eckenfels.net kein Apache httpd auf port 80. (Nur noch nginx in minimalkonfig um auf https und 443 umzuleiten.)
Der https content wird weiterhin von einem Apache mit mod_ssl und einem Let's Encrypt Zertifikat das von EFF certbot verwaltet wird ausgeliefert.
Es ist eine kleine Unmöglichkeit einen apache 2.4 auf port 80 und 443 gleichzeitig zu konfigurieren...
Aber damit sind jetzt alle Seiten https verschlüsselt (und ggf. müssen noch einige sites daraufhin angepasst werden).