SSL sertifikası nedir?
Günlük kullanımda SSL dediğimiz teknoloji bugün çoğunlukla TLS protokolü üzerinden çalışır. HTTPS bağlantısında tarayıcı ile sunucu arasındaki trafiğin şifreli ve kimlik doğrulamalı bir kanal üzerinden ilerlemesi amaçlanır. Sertifika ise alan adının hangi kimlik ile ilişkilendirildiğini ve bağlantının güven zincirinin kurulmasını sağlar.
Bir sitenin adres çubuğunda kilit simgesinin görünmesi tek başına bütün güvenlik kontrollerinin başarılı olduğu anlamına gelmez. Sertifikanın süresi dolmuş olabilir, zincirde eksik sertifika bulunabilir, eski TLS yapılandırmaları açık olabilir veya HTTP sürümü HTTPS adresine düzgün yönlendirmiyor olabilir.
SSL kontrolünde hangi bilgiler incelenmeli?
- Sertifikanın valid from ve valid to tarihleri.
- Sertifikanın alan adıyla eşleşmesi ve SAN kayıtları.
- Sertifikayı imzalayan sertifika otoritesi (issuer).
- Sertifika zincirinin istemci tarafından doğrulanabilmesi.
- Sunucunun desteklediği TLS protokolü ve seçilen cipher bilgileri.
- HTTPS isteğinin doğru HTTP durum koduyla cevap vermesi.
- HTTP → HTTPS yönlendirmesinin doğru ve döngüsüz çalışması.
Sertifika süresi neden kritik?
Sertifikalar sonsuza kadar geçerli değildir. Süre dolduğunda tarayıcılar bağlantıyı güvenilir kabul etmeyebilir ve kullanıcıya ciddi güvenlik uyarıları gösterebilir. Otomatik yenileme kullanan sistemlerde bile yenilemenin gerçekten başarılı olduğunu, yeni sertifikanın doğru sanal host üzerinde sunulduğunu ve CDN/origin katmanlarının senkron olduğunu kontrol etmek gerekir.
SSL Checker ile bir domainin sertifika ayrıntılarını hızlıca görebilirsiniz. Sonucu yorumlarken yalnızca bitiş tarihine değil, hostname, issuer, TLS protokolü ve sertifika zincirine birlikte bakın.
TLS 1.2 ve TLS 1.3 neden önemlidir?
TLS sürümü, istemci ile sunucu arasında güvenli bağlantının nasıl kurulacağını belirleyen protokol katmanlarından biridir. Güncel sistemlerde TLS 1.2 ve TLS 1.3 yaygın olarak tercih edilir. Çok eski TLS sürümlerini desteklemek, modern güvenlik politikalarıyla çelişebileceği gibi bazı istemcilerde uyumluluk ve güvenlik sorunları yaratabilir.
Burada amaç “en yeni sürümü açmak” kadar, kullandığınız web sunucusu, CDN, reverse proxy ve uygulamanın birlikte çalıştığından emin olmaktır. Örneğin CDN üzerinde TLS ayarı güncelken origin sunucuda farklı bir yapılandırma bulunabilir. Bu nedenle istemci → CDN → origin zincirini bir bütün olarak düşünmek gerekir.
HSTS nedir ve HTTPS ile ilişkisi nedir?
HSTS, tarayıcıya belirli bir domain için yalnızca HTTPS üzerinden bağlantı kurulması gerektiğini bildiren bir HTTP yanıt başlığıdır. Doğru uygulandığında kullanıcıların yanlışlıkla HTTP üzerinden bağlantı kurmasını azaltır. Ancak HSTS eklemeden önce tüm alt alan adlarınızın HTTPS durumunu ve yönlendirmelerini test etmek gerekir; yanlış yapılandırma erişim sorunlarını büyütebilir.
Sık görülen SSL/HTTPS hataları
- NET::ERR_CERT_DATE_INVALID: Sertifika geçersiz veya süresi dolmuş olabilir.
- Hostname mismatch: Sertifika ziyaret edilen domaini kapsamıyor olabilir.
- Incomplete chain: Sunucu ara sertifikaları eksik gönderiyor olabilir.
- Mixed content: HTTPS sayfa HTTP üzerinden kaynak çağırıyor olabilir.
- Redirect loop: CDN, proxy veya uygulama HTTPS durumunu yanlış algılıyor olabilir.
- TLS handshake error: Protokol/cipher uyumsuzluğu veya ağ katmanında problem olabilir.
SSL kontrolü yaparken tek araçla yetinmeyin
Sertifika testi için SSL Checker, HTTP yönlendirmeleri için HTTP Status Codes, yanıt başlıkları için HTTP Headers ve genel sağlık için Website Analyzer birlikte kullanılabilir. Böylece sertifikanın kendisi ile web uygulamasının HTTPS davranışını birbirinden ayırabilirsiniz.
Sonuç
Sağlıklı bir HTTPS kurulumu; geçerli sertifika, doğru hostname, eksiksiz zincir, güncel TLS yapılandırması, doğru HTTP yönlendirmesi ve güvenlik başlıklarının birlikte çalışmasıyla oluşur. Periyodik SSL kontrolü özellikle çok sayıda domain yöneten webmaster ve hosting ekipleri için basit ama yüksek değerli bir bakım adımıdır.
Wildcard sertifika ne zaman tercih edilir?
Wildcard sertifikalar belirli bir alan adının birinci seviye alt alan adlarını kapsayabilir. Ancak her alt alan adının mimari olarak aynı güvenlik sınırında olduğunu varsaymak doğru değildir. Çok sayıda servis farklı ekipler tarafından yönetiliyorsa ayrı sertifikalar operasyonel izolasyon sağlayabilir. Sertifika seçimi, yalnızca maliyet veya kurulum kolaylığına göre değil, mimariye göre yapılmalıdır.
CDN arkasındaki SSL neden kafa karıştırır?
Bir site CDN arkasındaysa tarayıcının gördüğü sertifika ile origin sunucunun sunduğu sertifika farklı olabilir. Bu nedenle yalnızca tarayıcıdaki sertifikaya bakmak origin TLS bağlantısının da doğru olduğunu kanıtlamaz. CDN ile origin arasındaki şifreli bağlantı, hostname doğrulaması ve sertifika zinciri ayrıca kontrol edilmelidir.
SSL bakımını otomatikleştirin
Çok sayıda domain yöneten ekiplerde sertifika bitiş tarihlerini manuel takip etmek risklidir. Otomatik yenileme mekanizmasının loglarını izlemek, yenileme sonrasında aktif sertifikayı doğrulamak ve kritik domainler için uyarı sistemi kurmak daha sağlıklı bir operasyondur. Böylece sertifika süresi dolmadan önce müdahale edilebilir.
Certificate Transparency neden önemlidir?
Certificate Transparency ekosistemi, sertifika issuance kayıtlarının görünürlüğünü artırır. Domain yöneten ekipler, kendi alan adları için beklenmeyen sertifikaları izlemek üzere CT loglarından yararlanabilir. Bu, TLS bakımının yalnızca “sertifika süresi dolmasın” yaklaşımından daha geniş düşünülmesini sağlar.
HTTPS testini deploy sürecine ekleyin
Yeni bir domain veya sunucu deploy edildiğinde otomatik smoke testler; HTTPS status code, certificate validity ve kritik security headerlarını kontrol edebilir. Böyle bir kontrol, kullanıcılar sorun yaşamadan önce yanlış virtual host veya eksik sertifika gibi hataları yakalayabilir.