SSL Sertifikanız Geçerli mi, Süresi Dolmak Üzere mi? Nasıl Kontrol Edilir

Adım adım

1. 1

   Sertifikaların neden düzenli izlenmesi gerekir

   Sertifikaların süresi dolar — Let's Encrypt'te 90 gün, ticari CA'larda 1–2 yıl (süreler önce 1 yıla, sonunda da sektör genelinde 90 güne iniyor). Süresi dolmuş bir sertifika HTTPS'i bozar, tarayıcıların 'Güvenli Değil' uyarısını tetikler ve kullanıcı güvenini bir anda yerle bir eder. Büyük sertifika kesintilerinin hepsi, ayda bir 30 saniyelik kontrolle önlenebilir. Bunu operasyon takviminize ekleyin; pazartesi sabahı yaşanacak bir arızadan çok daha ucuza gelir.

2. 2

   TLS/SSL Denetleyicisi neleri gösterir

   Omnvert denetleyicisi şunları gösterir: bitiş tarihi ve kalan gün sayısı, sertifikayı veren otorite (CA) ve güven zincirinin eksiksizliği, Subject Alternative Names (sertifikanın gerçekten kapsadığı alan adları), anlaşılan TLS sürümü (1.2 mi 1.3 mü), cipher suite, ALPN protokolleri (HTTP/1.1, HTTP/2, HTTP/3) ve sunucunuzun sunduğu zincirin tam olup olmadığı. Bu sonuncusu, masaüstü tarayıcınızda her şey 'gayet iyi çalışırken' mobil kullanıcıları vuran hatadır.

3. 3

   Omnvert ile kontrolü çalıştırın

   TLS/SSL Denetleyici'yi açın, domain'inizi girin (example.com) ve sonuçları okuyun. Her seferinde doğrulanacak üç şey: bitişe kalan gün sayısı (30 gün kalaya bir takvim hatırlatıcısı kurun), zincirin geçerliliği ('untrusted' veya 'incomplete chain' görünüyorsa bazı istemciler bağlanamaz — özellikle mobil) ve alan adı kapsamı (hem www.example.com hem example.com SAN listesinde olmalı; yoksa apex trafiğiniz kesilir).

4. 4

   Zincir hatalarını anlayın

   Sunucu sertifikası bir ara CA tarafından imzalanır; ara CA da güvenilen bir kök sertifika tarafından imzalanır. Ara sertifika sunucu yapılandırmanızda eksikse bazı istemciler — özellikle eski Android ve iOS sürümleri — doğrulama yapamaz; üstelik masaüstü Chrome ara sertifikayı önceki bir ziyaretten önbelleğe aldığı için her şey yolunda görünse bile. Çözüm: sunucunuzun sertifika zincirini eksiksiz sunduğundan emin olun. nginx'te 'ssl_certificate', kendi sertifikanız ile CA'nızın ara sertifika paketini birleştiren bir dosyayı göstermelidir. Let's Encrypt'in 'fullchain.pem' dosyası bunu otomatik yapar.

5. 5

   Wildcard vs SAN — ince tuzak

   *.example.com şeklindeki bir wildcard sertifika, birinci seviye tüm alt alan adlarını (app, www, api, blog) kapsar; ama example.com'un kendisini — yani apex'i — KAPSAMAZ. SAN sertifikası ise kapsadığı her alan adını ve alt alan adını açıkça listeler; daha esnektir ve example.com ile www.example.com'u birlikte kapsayabilir. Denetleyici çıktısındaki SAN listesini okuyun ve gerçekten kullandığınız host adlarının orada olduğunu doğrulayın. 'www'de sorun yok, apex'te bozuluyor' hatası neredeyse her zaman wildcard'ın yanlış anlaşılmasından kaynaklanır.

6. 6

   Sertifikanın süresi dolmak üzereyken ne yapmalı

   Let's Encrypt (certbot ile otomatik yenilenir): certbot zamanlayıcısının çalıştığını kontrol edin — 'sudo systemctl status certbot.timer'. Zamanlayıcı çalışmıyorsa yenileme de gerçekleşmez. Cloudflare: edge sertifikaları otomatik yenilenir; yine de durumu Cloudflare panelinden teyit edin. Ticari CA: yenilemeyi süre dolmadan satın alın, yeni sertifikayı eskisinin yanına kurun ve geçişi trafiğin düşük olduğu bir saatte yapın. Her yenilemeden sonra Omnvert denetleyicisini yeniden çalıştırıp yeni bitiş tarihinin istemcilerin gerçekten gördüğü tarih olduğunu doğrulayın — yönetim panelinizin iddia ettiği tarih değil.