SSL Sertifikası Nedir? Süresi Dolunca Ne Olur

Sitenizi bir sabah açtığınızda kırmızı bir uyarı ekranıyla karşılaşmak, çoğu site sahibinin SSL sertifikasıyla ilk ciddi tanışmasıdır. Siteniz dün çalışıyordu, dosyalara kimse dokunmadı; ama sertifikanın süresi gece yarısı dolmuştur. Ziyaretçilerin çoğu o uyarıyı görünce geri döner. Bu yazıda sertifikanın ne olduğunu, hangi türünün size uygun olduğunu ve bu sabahı yaşamamak için ne yapmanız gerektiğini anlatıyoruz.

Yazıda geçen HTTPS, TLS, sunucu gibi terimlerin kısa açıklamaları internet terimleri sözlüğümüzde bulunuyor.

Sertifika iki iş yapar

Ziyaretçi https://ornek.com adresini açtığında tarayıcı ile sunucu arasında kısa bir tanışma yaşanır. Sunucu sertifikasını gösterir, tarayıcı da onu kontrol eder. Bu kontrolün iki sonucu vardır:

1. Kimlik: Tarayıcı, sertifikanın gerçekten ornek.com için verildiğini ve güvendiği bir sertifika kuruluşu (CA, sertifika veren yetkili kuruluş) tarafından imzalandığını doğrular. Böylece araya giren başka bir sunucunun kendini ornek.com gibi göstermesi zorlaşır.
2. Şifreleme: Tanışma başarılı olursa iki taraf yalnızca kendilerinin bildiği anahtarlar üretir ve bundan sonraki bütün trafik şifreli gider. Aynı Wi-Fi ağındaki biri, ziyaretçinin formda yazdığı şifreyi veya kart bilgisini okuyamaz.

Bağlantının bugünkü adı TLS'tir. SSL, onun artık kullanılmayan eski sürümünün adıdır; ama "SSL sertifikası" ifadesi yerleşmiş olduğu için hâlâ bu adla anılır.

Sertifika neyi kanıtlamaz?

Burada sık bir yanlış anlama var. Sertifika, sitenin dürüst olduğunu kanıtlamaz. Dolandırıcılar da kendi alan adları için birkaç dakikada ücretsiz sertifika alabilir. Adres çubuğundaki simge yalnızca "bu alan adıyla şifreli konuşuyorsunuz" demektir. Sahte bir bankacılık sitesi de bu simgeyle açılabilir. Ziyaretçilere verilecek en doğru tavsiye, adres çubuğundaki alan adını dikkatle okumaktır.

Bu tür saldırıların nasıl işlediğini ortadaki adam saldırıları yazımızda anlattık.

DV, OV ve EV: Sertifika türleri

Sertifikalar, kuruluşun sizi ne kadar doğruladığına göre üçe ayrılır. Şifrelemenin gücü üçünde de aynıdır.

Sertifikanın kapsamı da önemlidir. Tek bir adı kapsayan sertifika, birkaç adı (ör. ornek.com ve www.ornek.com) birlikte kapsayan sertifika ve *.ornek.com gibi bütün birinci seviye alt adları kapsayan joker (wildcard) sertifika seçenekleri vardır.

Ücretsiz sertifikalar

Birkaç yıl öncesine kadar sertifika çoğu küçük site için ek bir masraftı. Bugün Let's Encrypt gibi kâr amacı gütmeyen kuruluşlar ücretsiz DV sertifika verir ve tarayıcılar bunlara diğer sertifikalar kadar güvenir. Çoğu barındırma firmasının panelinde tek tıkla ücretsiz sertifika kurma seçeneği bulunur. Cloudflare gibi içerik dağıtım ağları (CDN) da ziyaretçiye giden bağlantı için kendi sertifikalarını sağlar.

Ücretsiz sertifikaların geçerlilik süresi kısadır; bu yüzden otomatik yenileme olmadan kullanılmaları pratik değildir. Kurulumu barındırma paneliniz yapıyorsa yenilemeyi de genellikle o üstlenir.

Sertifikanın süresi neden dolar ve neden kısalıyor?

Her sertifikanın bir başlangıç ve bitiş tarihi vardır. Süre sınırlı tutulur, çünkü bir sertifikanın anahtarı ele geçirilirse zararın süresi de sınırlı kalır. Sektörde sertifika sürelerinin giderek kısaltılması yönünde bir eğilim var. Bunun site sahibi için anlamı açık: sertifikayı elle yenilemek giderek zorlaşacak, otomatik yenileme zorunlu hale gelecek.

Süresi dolunca ziyaretçiler ne görür?

Sertifikanın süresi dolduğu anda site kapanmaz, sunucu çalışmaya devam eder. Ama tarayıcılar bağlantıyı güvenli saymaz ve sayfayı göstermek yerine tam sayfa bir uyarı açar:

• Chrome ve Edge'de "Bağlantınız gizli değil" başlığı ve altında NET::ERR_CERT_DATE_INVALID kodu,
• Firefox'ta benzer bir "olası güvenlik riski" uyarısı,
• Telefonlarda ve uygulamalarda ise çoğu zaman hiç açıklama olmadan bağlantı hatası.

Ziyaretçi "Gelişmiş" bölümünden yine de ilerleyebilir, ama çoğu kişi bunu yapmaz ve yapmamalıdır da. Sitenizde HSTS başlığı tanımlıysa tarayıcı ilerleme seçeneğini hiç göstermez. Ziyaretçi tarafında bu uyarının diğer sebeplerini "Bağlantınız gizli değil" hatası yazımızda anlattık.

Süresi dolmuş sertifika yalnızca web sitesini etkilemez. Aynı sertifikayı kullanan e-posta sunucusu, mobil uygulamanın bağlandığı adres veya ödeme sisteminden gelen bildirimler de çalışmayı durdurabilir.

Otomatik yenilemenin çalıştığından emin olun

"Otomatik yenileme açık" demek, yenilemenin başarılı olduğu anlamına gelmez. Yenileme arka planda sessizce başarısız olabilir. Sık sebepler:

• Alan adının DNS kayıtlarını başka bir firmaya taşıdınız ve sertifikayı yenileyen sistem artık alan adını doğrulayamıyor.
• Siteyi başka bir sunucuya taşıdınız; eski sunucudaki yenileme görevi hâlâ eski yerde çalışıyor.
• Alan adınızda yalnızca belirli kuruluşların sertifika vermesine izin veren bir CAA kaydı var ve yeni sağlayıcınız bu listede değil.
• Sertifika yenilenmiş ama web sunucusu yeniden başlatılmadığı için eski sertifikayı sunmaya devam ediyor.

Kontrol etmesi kolay: SSL sertifika kontrolü aracına alan adınızı yazın, bitiş tarihine ve kalan gün sayısına bakın. Bitişe birkaç hafta kala tekrar bakın; tarih ileri gitmediyse yenileme çalışmıyor demektir. Aynı araçta sertifikanın hem ornek.com hem www.ornek.com adlarını kapsadığını da görebilirsiniz. CAA kaydınızı DNS sorgulama aracıyla görüntüleyebilirsiniz.

HTTPS'e geçerken dikkat edilecekler

1. Tüm adresleri yönlendirin. http:// ile gelen ziyaretçileri tek bir kalıcı yönlendirmeyle https:// adresine gönderin. Yönlendirmeyi hem sunucuda hem CDN'de ayrı ayrı kurmak döngüye yol açabilir; bu durumu ERR_TOO_MANY_REDIRECTS yazımızda anlattık.
2. Karışık içeriği temizleyin. HTTPS sayfasında http:// ile çağrılan görsel veya betik varsa tarayıcı bunları engelleyebilir ve sayfa bozuk görünür.
3. Bitiş tarihini takvime yazın. Otomatik yenilemeye güvenseniz bile hatırlatma iyi bir yedektir.