SSL Sertifikası Ayrıntılı İncelemesi: Sıfırdan Başlayarak Yayına Alma Sürecine Kadar Tam Kılavuz ve Uygulamalar

SSL Sertifikasının Temel Kavramları ve İlkeleri

İnternet iletişiminde, verilerin güvenli bir şekilde aktarılması temel bir öneme sahiptir. SSL sertifikası, bu amacı gerçekleştirmede kullanılan kilit bir teknolojidir ve temel işlevi, istemci (örneğin bir tarayıcı) ile sunucu arasında şifreli ve güvenilir bir iletişim kanalı oluşturmaktır. Bu kanal, aktarılan verilerin gizliliğini, bütünlüğünü ve doğruluğunu sağlar. Basitçe söylemek gerekirse, tarayıcınızın adres çubuğunda küçük bir kilit simgesi ve “https://” ön ekini gördüğünüzde, bu web sitesinin SSL sertifikası kullanıldığı anlamına gelir ve bu web sitesi ile aranızdaki veri aktarımı güçlü bir şekilde şifrelenerek korunmaktadır.

SSL sertifikalarının çalışması, asimetrik şifreleme ve simetrik şifrelemenin birleşimine dayanır. El sıkma (handshake) aşamasında, sunucu kendi kamu anahtarını içeren SSL sertifikasını istemciye gönderir. İstemci (genellikle bir tarayıcı), sertifikanın veren kuruluşun (CA – Certificate Authority) güvenilir olup olmadığını, sertifikanın geçerlilik süresi içinde olup olmadığını ve sertifikadaki alan adının ziyaret edilen alan adıyla eşleşip eşleşmediğini doğrular. Doğrulama işlemi başarılı olduktan sonra, istemci rastgele bir “oturum anahtarı” (session key) oluşturur ve bu oturum anahtarını sunucunun kamu anahtarı ile şifreleyerek sunucuya gönderir. Sunucu, bu anahtarı kendi özel anahtarı ile çözdükten sonra, her iki taraf da aynı oturum anahtarına sahip olur. Bundan sonra, her iki taraf da bu simetrik oturum anahtarını kullanarak iletilen verileri şifreler ve çözer; çünkü simetrik şifreleme, büyük miktarda veri aktarımında daha yüksek verimlilik sağlar.

Sertifika, temel bilgileri içeren dijital bir dosyadır. Bu bilgiler arasında sertifika sahibinin alan adı (Common Name), kuruluş bilgileri, sertifikanın verildiği kuruluşun (CA – Certificate Authority) adı, sertifikanın geçerlilik süresi ve en önemlisi olan asimetrik şifreleme için kullanılan kamu anahtarı ile özel anahtar bulunur. Kamu anahtarı sertifikanın içinde herkes tarafından erişilebilir durumdadır; özel anahtar ise sunucu tarafından mutlaka son derece güvenli bir ortamda saklanmalı ve kesinlikle ifşa edilmemelidir.

Tavsiye edilen okuma SSL Sertifikalarının Sırları: Satın Almadan Yerleştirmeye ve Yönetimine Kadar Kapsamlı Rehber。

SSL sertifikalarının ana tipleri ve seçimi.

Doğrulama seviyesine ve özelliklerine göre SSL sertifikaları esas olarak üç ana türe ayrılır: Alan Adı Doğrulama (Domain Validation – DV), Kuruluş Doğrulama (Organization Validation – OV) ve Genişletilmiş Doğrulama (Extended Validation – EV) sertifikaları. Bu türler arasındaki farkları bilmek, doğru sertifikayı seçmenin ilk adımıdır.

Bluehost SSL sertifikası.

BlueHost SSL sertifikaları, 1-2 yıllık uzatma süresi seçenekleri sunar, RSA veya ECC algoritmalarını destekler, 4096 bit'e kadar anahtar uzunluğu sağlar ve 1,75 milyon ABD dolarına kadar garanti tutarı sunar.

Aylık $7,49 USD'den başlayan fiyatlarla.

Bluehost SSL sertifikasına erişin →

hosting.com SSL sertifikası.

Uygun fiyatlı DV, OV, EV SSL sertifikaları, en yüksek 256 bit şifreleme, 5 milyon ila 100 milyon ABD doları tutarında garanti ve 7/24 destek.

Aylık $2.5 USD'den başlayan fiyatlarla.

Hosting.com SSL sertifikasına erişin. →

Alan adı doğrulama (Domain Validation – DV) sertifikaları, edinme süreci en basit, en hızlı ve maliyeti en düşük sertifika türlerindendir. Sertifika veren kuruluşlar (Certificate Authorities – CAs), başvuru sahibinin alan adına sahip olduğunu yalnızca belirli bir e-postayı doğrulayarak, web sitesinin kök dizinine belirli bir dosya yerleştirerek veya bir DNS çözümleme kaydı ekleyerek doğrular. DV sertifikaları, kişisel web siteleri, bloglar, test ortamları veya kurumsal kimliğin gösterilmesine gerek olmayan küçük web siteleri için çok uygundur. Aynı şiddette şifreleme sağlar; ancak sertifika detaylarında şirket adı yer almaz.

OV (Organization Validation) sertifikaları, DV (Domain Validation) sertifikalarına kıyasla daha yüksek bir güven seviyesi sunar. Sadece alan adının sahipliğini doğrulamakla kalmaz; aynı zamanda CA (Certificate Authority), başvuran kuruluşun gerçek ve yasal varlığını da titiz bir şekilde inceleyerek, örneğin kuruluşun devlet kayıt kurumlarındaki bilgilerini kontrol eder. Bu nedenle, OV sertifikalarında doğrulanmış şirket adı gibi bilgiler bulunur. Kullanıcılar tarayıcı adres çubuğundaki küçük kilit simgesine tıklayarak sertifika ayrıntılarını gördüklerinde, kuruluş hakkında net bilgiler edinebilirler; bu da kullanıcıların web sitesine olan güvenlerini artırmaya yardımcı olur. OV sertifikaları, ticari web siteleri, kurumsal web siteleri ve gerçek bir kimlik doğrulaması gerektiren çevrimiçi hizmetler için ideal bir seçenektir.

EV (Extended Validation) sertifikaları, en yüksek doğrulama seviyesine ve en katı kurallara sahip SSL sertifikalarıdır. Başvuru süreci en karmaşıktır ve CA (Certificate Authority – Sertifika Yetkilisi), kuruluşlar hakkında kapsamlı bir çevrimdışı araştırma yapar. Sertifikanın verilmesinin en belirgin özelliği, çoğu popüler tarayıcıda adres çubuğunda sadece küçük bir kilit ve “https” işareti yerine, aynı zamanda doğrulanmış kuruluş adının da yeşil renkte adres çubuğunda doğrudan görünmesidir. Bu özellik, üst düzey e-ticaret, finans kuruluşları ve büyük işletme platformları için en yüksek seviyede güven göstergesi sağlar. Ancak, tarayıcı arayüzlerinin gelişmesiyle birlikte bazı tarayıcılar artık yeşil adres çubuğunu öne çıkarmamaktadır; ancak EV sertifikalarının arkasındaki katı inceleme standartları hala değerlerinin temelini oluşturmaktadır.

Ayrıca, korunan alan adı sayısına göre sertifikalar tek alan adlı sertifikalar, joker karakterli sertifikalar ve çoklu alan adlı sertifikalar olarak da ayrılabilir. Tek alan adlı sertifikalar, belirli ve tam olarak tanımlanmış bir alan adını korur (örneğin www.example.com). Joker karakterli sertifikalar, bir ana alan adını ve tüm alt alan adlarını korumak için yıldız (*) işareti kullanır (örneğin *.example.com, blog.example.com, shop.example.com gibi alan adlarını koruyabilir). Çoklu alan adlı sertifikalar (SAN sertifikaları), tek bir sertifika içinde birden fazla farklı alan adının eklenmesine olanak tanır.

Tavsiye edilen okuma SSL Sertifikası Kullanım Kılavuzu: Başlangıçtan Uzmanlığa, Web Sitelerinin Güvenli İletişimini Kolayca Sağlayın。

Başvurudan dağıtıma kadar olan tam süreç

Bir SSL sertifikası edinmek ve dağıtmak için belirli adımların izlenmesi gerekmektedir. Bu süreç genellikle sertifika imza isteğinin oluşturulmasıyla başlar ve sonunda sertifikanın sunucuda yapılandırılıp etkin hale getirilmesiyle sona erer.

İlk adım, sunucunuzda özel anahtar ve Sertifika İstek Belgesi (Certificate Request – CSR) oluşturmaktır. Özel anahtar, mutlaka gizli tutulması gereken kritik bir dosyadır ve genellikle OpenSSL gibi araçlar kullanılarak oluşturulur. Özel anahtar oluşturulurken veya sonrasında, sistem sizi CSR oluşturmaya yönlendirir. CSR dosyasında, kamusal anahtarınızın yanı sıra CA’ya (Certificate Authority) göndereceğiniz kuruluş bilgileriniz ve alan adı bilgileriniz (ülke, il, şehir, kuruluş adı, alan adı vb.) bulunur. CSR oluşturulduktan sonra iki dosya elde edersiniz: Birisi iyi bir şekilde saklanması gereken özel anahtar dosyası (.key), diğeri ise gönderilmek üzere hazırlanan CSR dosyası (.csr)’dır.

İkinci adım, sertifika veren kuruluşa (CA – Certificate Authority) başvuruda bulunmaktır. Sectigo, DigiCert, GlobalSign gibi dünya çapında tanınmış CA’ları veya bunların yetkili bayilerini seçebilirsiniz. Seçtiğiniz sertifika türünü satın aldıktan sonra, CSR (Certificate Signing Request) dosyanızın içeriğini bu kuruluşun yönetim paneline yükleyin. Daha sonra, CA başvurduğunuz sertifika türüne (DV/OV/EV) göre ilgili doğrulama sürecini başlatacaktır. DV sertifikaları için doğrulama genellikle birkaç dakika ila birkaç saat içinde e-posta veya dosya doğrulaması yoluyla tamamlanır; OV ve EV sertifikaları için ise manuel inceleme gerekebilir ve bu süreç birkaç iş günü sürebilir.

UltaHost SSL sertifikası.

DV, EV, OV sertifikaları, en fazla $1, 750.000 ABD doları teminat tutarını destekler, sınırsız alt alan adını destekler, iOS ve Android uygulamalarını destekler ve 20%'den başlayan aylık $15,95 ABD doları fiyatla 30 günlük para iade garantisi sunar.

UltaHost'u ziyaret edin.

Üçüncü adım, doğrulamayı tamamlamak ve sertifikayı indirmektir. CA (Certificate Authority) tarafından yapılan doğrulama başarılı olduktan sonra, size verilen SSL sertifika dosyasını platformundan indirebilirsiniz. Sertifika dosyaları genellikle .crt veya .pem formatlarında olur; ayrıca ara CA (Intermediate CA) sertifikaları veya kök sertifika paketleri de bulunabilir. Bu dosyaları, daha önce oluşturduğunuz özel anahtar dosyasıyla birlikte kullanmanız gerekir.

Dördüncü adım, web sunucusunda sertifikayı yüklemek ve yapılandırmaktır. Yaygın olarak kullanılan Nginx ve Apache örneklerini ele alalım. Nginx’de, sitenin yapılandırma dosyasını düzenlemeniz gerekmektedir. server Blok içinde SSL sertifikası ve özel anahtarın yolunu belirtin:ssl_certificate /path/to/your_domain.crt; 和 ssl_certificate_key /path/to/your_private.key;Aynı zamanda dinleme portunu 80’den 443’e değiştirin ve SSL protokolünü etkinleştirin. Apache’da bunu yapmak için sanal sunucu yapılandırma dosyasında gerekli ayarları yapmanız gerekecektir. SSLCertificateFile 和 SSLCertificateKeyFile Dosya yolunu belirtmek için bir komut kullanın. Yapılandırma tamamlandıktan sonra, yapılandırmanın etkinleşmesi için sunucuyu yeniden yükleyin veya yeniden başlatın.

Son adım test etme ve doğrulamadır. Dağıtımın ardından, https adresinize bir tarayıcı aracılığıyla erişerek küçük kilit simgesinin doğru şekilde göründüğünden emin olmalısınız. Ayrıca, yapılandırmanın doğru olup olmadığını, güvenlik açıklarının (güvenli olmayan protokol sürümlerinin desteklenmesi, zayıf şifreleme paketleri vb.) olup olmadığını kontrol etmek ve rapora göre iyileştirmeler yapmak için çevrimiçi SSL denetim araçları (örneğin SSL Labs’ın SSL Server Test aracı) kullanılmasını şiddetle öneririz.

Tavsiye edilen okuma SSL Sertifikası Kılavuzu: Bir Web Sitesinin Güvenli Şifrelemesini Nasıl Seçersiniz, Kurarsınız ve Doğrularsınız?。

Dağıtım sonrası bakım ve en iyi uygulamalar.

SSL sertifikaları kalıcı çözümler değildir; bir siteye SSL sertifikası kurmak sadece başlangıçtır. Uzun vadeli güvenliği sağlamak için sürekli bakım ve yönetim çok önemlidir. En önemli konulardan biri de sertifika ömrünün yönetimidir. Her SSL sertifikasının belirli bir geçerlilik süresi vardır ve bu süre genellikle 1 ila 2 yıl arasındadır. Sertifika süresi dolmadan önce yenilenmesi veya yeniden verilmesi gerekmektedir; aksi takdirde sitenizde güvenlik uyarıları görünecek ve kullanıcılar sitenize erişemeyecektir. Yenileme işlemi için yeterli zaman sağlamak amacıyla, en az 30 gün önceden bir hatırlatma ayarlanması önerilir.

Zorunlu HTTPS (HTTP Strict Transport Security), güvenliği artırmanın önemli bir yoludur. Sunucunun yanıt başlıklarına HSTS (HTTP Strict Transport Security) politikası ekleyerek, tarayıcılara belirli bir süre boyunca (örneğin bir yıl) web sitesine yalnızca HTTPS üzerinden erişilebileceği belirtilir; kullanıcılar manuel olarak http:// adresini girdiklerinde bile otomatik olarak HTTPS adresine yönlendirilirler. Bu, SSL çıkarma (SSL stripping) saldırılarını etkili bir şekilde önler. HSTS’yi yapılandırırken, ilgili alan adının tarayıcının önceden belirlenmiş HSTS listesine eklenmesi gerekir; ancak bu işlem dikkatli bir şekilde yapılmalıdır, çünkü yanlış bir yapılandırma sonrasında bunu geri almak zor olabilir.

Şifreleme paketlerinin yapılandırmasının optimizasyonu, güvenlik ve performansı doğrudan etkiler. Sunucular, güvenliği kanıtlanmamış eski protokolleri (örneğin SSL 2.0, SSL 3.0, hatta TLS 1.0 ve 1.1) devre dışı bırakmalı ve TLS 1.2 ve 1.3 kullanılmalıdır. Aynı zamanda, şifreleme paketleri dikkatlice seçilmelidir; özellikle “İleriye Dönük Gizlilik” (Forward Secrecy) özelliğine sahip paketler tercih edilmelidir. Böylece, sunucunun uzun vadeli özel anahtarı gelecekte ifşa olsa bile, daha önce ele geçirilen iletişim verileri şifrelenmiş halde kalır. Bu, çevrimiçi değerlendirme araçları kullanılarak yapılandırmaların kontrol edilmesi ve gerekli ayarlamaların yapılmasıyla sağlanabilir.

自动化管理已成为现代运维的最佳实践。对于拥有大量证书或使用通配符/多域名证书的环境，手动管理容易出错。可以利用像Certbot这样的自动化工具，它与Let‘s Encrypt等提供免费DV证书的CA配合，可以自动完成证书的申请、验证、安装和定期续订。将自动化流程与服务器的配置管理工具（如Ansible, Puppet）相结合，可以确保配置的一致性和证书的持续有效性。

Özetle.

SSL sertifikaları, web sitelerinin HTTPS şifrelemesini sağlamak, kullanıcı güvenini oluşturmak ve güvenlik seviyesini yükseltmek için vazgeçilmez bileşenlerdir. Asimetrik ve simetrik şifreleme tekniklerinin birleştirilerek nasıl çalıştığını anlamaktan, güvenlik ihtiyaçlarına (DV/OV/EV) ve alan adı yapılarına (tek alan adı/wildcard/çoklu alan adı) göre uygun sertifika türünü seçmeye, ardından CSR (Certificate Signing Request) oluşturma, CA (Certificate Authority) doğrulama, sertifikanın indirilmesi, kurulması ve sunucu yapılandırmasını adım adım tamamlamaya kadar her adım son derece önemlidir. Sertifikanın kurulmasının ardından, sertifikanın geçerlilik süresinin, HSTS (HTTP Strict Security Transport) politikalarının ve şifreleme paketlerinin sürekli olarak bakımı ve optimizasyonu, uzun vadeli güvenli bir işletme için gereklidir. Günümüzde ağ güvenliğinin giderek daha fazla önem kazandığı bir dönemde, SSL sertifikalarının tüm yönetim sürecini doğru bir şekilde anlamak ve uygulamak, her web sitesi operatörü ve geliştiricisinin sahip olması gereken bir beceridir.

Sıkça Sorulan Sorular.

Ücretsiz SSL sertifikalarının ücretli olanlardan ne farkı var?

免费证书（如Let‘s Encrypt颁发）通常是域名验证（DV）证书，能提供与付费DV证书相同强度的加密。主要区别在于：免费证书有效期较短（通常90天），需要更频繁地自动续期；一般不含商业保险担保；在技术支持和服务级别协议（SLA）上也不及付费证书。付费证书则提供OV、EV等多类型选择，包含价值不等的保修金，并提供专业的技术支持服务。

Bir SSL sertifikası birden fazla alan adını koruyabilir mi?

Tabii ki. Bunun için çoklu alan adı sertifikası (SAN sertifikası) veya joker karakter içeren sertifika kullanılması gerekmektedir. Çoklu alan adı sertifikası, bir sertifika içinde example.com, example.net, shop.example.org gibi birbirinden farklı alan adlarını eklemenize olanak tanır. Joker karakter içeren sertifika ise bir ana alan adını ve onun tüm alt alan adlarını korur (örneğin: *.example.com).

SSL sertifikasının kurulması web sitesi hızını etkiler mi?

Başlangıçtaki TLS el sıkma (handshake) işlemi, anahtarların değiştirilmesi ve sertifikaların doğrulanması gerektiği için bir miktar gecikmeye neden olur; ancak modern TLS 1.3 protokolü bu süreci büyük ölçüde optimize etmiştir. El sıkma işlemi tamamlandıktan sonra, veriler simetrik şifreleme yöntemleriyle şifrelenir ve çözülür ve bu işlemin performans üzerindeki etkisi, modern sunucu donanımı için önemsizdir. Aslında, HTTP/2 protokolünün (ki bu protokol HTTPS kullanımını gerektirir) etkinleştirilmesi, genellikle daha hızlı sayfa yükleme süreleri ve daha iyi performans sağlar; bu da şifrelemenin kendisinin getirdiği küçük gecikmeyi telafi eder hatta aşar.

Sertifikayın süresi dolduğunda ne gibi sonuçlar doğar?

Sertifika süresi dolduğunda, kullanıcılar web sitesine erişmeye çalıştığında tarayıcı “Güvenli Değil” uyarısı verir ve kullanıcının erişimine izin vermez. Bu durum, web sitesinin işlevselliğinin durmasına, kullanıcı deneyiminin bozulmasına ve itibarın zarar görmesine neden olur. Ticari web siteleri için bu, işlemlerin kesilmesi ve gelir kaybı anlamına gelir. Bu nedenle, kapsamlı bir sertifika süresi izleme ve otomatik yenileme mekanizması kurmak, işletme yönetimi (opsiyonel mühendislik) çalışmalarının önemli bir parçasıdır.