- Konu sahibi
- #1
“Invalid SSL Certificate” hatası, tarayıcının HTTPS bağlantısında sunulan TLS sertifikasını doğrulayamadığı anlamına gelir. Sertifikanın süresi dolmuş, ziyaret edilen alan adıyla eşleşmiyor, güvenilen bir sertifika makamına bağlanamıyor veya sertifika zinciri eksik olabilir. Hata çözülmeden parola, ödeme veya yönetim paneli bilgilerini girmek güvenli değildir.
Bu uyarı tek başına sitenin saldırıya uğradığını kanıtlamaz; ancak tarayıcı, bağlantının beklenen sunucuya ait olduğunu doğrulayamadığı için güvenli bağlantı garantisi veremez. Site sahibiyseniz sertifika ve sunucu yapılandırmasını, ziyaretçiyseniz alan adını ve cihaz ayarlarını kontrol etmelisiniz.
HTTPS bağlantısı kurulurken tarayıcı, sunucunun sunduğu sertifikayı birkaç açıdan denetler:
Sertifika zinciri, ziyaretçiye sunulan alan adı sertifikasıyla sınırlı değildir. Gerekli ara sertifikalar da sunulmalıdır; tarayıcı bu zinciri kendi güven deposundaki kök sertifikaya kadar doğrular. Zincirin eksik olması bazı cihazlarda veya tarayıcılarda güven hatasına neden olabilir.
Başka bir senaryoda sertifika yenilenmiş olabilir; fakat Nginx, Apache, kontrol paneli veya CDN hâlâ eski sertifikayı sunuyor olabilir. Bu durumda sertifika dosyasını yenilemek tek başına yeterli değildir; ilgili servis yeni dosyayı kullanacak şekilde yeniden yüklenmelidir.
Cloudflare kullanılıyorsa ziyaretçiye sunulan edge sertifikası ile Cloudflare'ın origin sunucusuna bağlanırken doğruladığı sertifika birbirinden ayrılmalıdır. Full (strict) modunda origin sertifikasının süresi geçmemiş olmalı, istenen alan adıyla eşleşmeli ve Cloudflare tarafından güvenilebilir olmalıdır. Cloudflare Origin CA sertifikaları, doğrudan ziyaretçi tarayıcılarına sunulmak için değil, Cloudflare ile origin sunucusu arasındaki bağlantı için tasarlanmıştır. Proxy devre dışı bırakılır veya Cloudflare duraklatılırsa bu sertifika ziyaretçilerde güven uyarısı oluşturabilir.
Aşağıdaki tablo, incelemeye hangi bileşenden başlanacağını hızlıca gösterir.
Geçici olarak sertifika denetimini kapatmak veya tarayıcıdaki “devam et” seçeneğini kalıcı çözüm gibi kullanmak doğru değildir. Bu yöntem, gerçek sertifika hatasını gizler ve kullanıcıların yanlış sunucuya bilgi gönderme riskini artırabilir.
Adres çubuğundaki alan adını harf harf kontrol edin ve cihazın tarih-saat ayarını doğrulayın. Uyarı bankacılık, ödeme, e-posta veya yönetim panelinde görünüyorsa devam etmeyin. Hata yalnızca bir Wi-Fi ağında oluşuyorsa captive portal, proxy veya güvenlik yazılımı etkili olabilir; yine de sertifika doğrulanmadan bağlantıyı güvenli kabul etmeyin.
Sertifika dosyasını yenileyip web sunucusunu yeni dosyayla yeniden yüklememek, ara sertifikaları kurmamak ve alt alan adlarının otomatik olarak kapsandığını varsaymak en yaygın sorunlardır. Cloudflare Origin CA sertifikasını doğrudan ziyaretçiye sunmak veya Full (strict) hatasını çözmek için doğrulama seviyesini rastgele düşürmek de doğru yaklaşım değildir.
Kesin olarak söylenemez. Cihazın saati, eski kök sertifika deposu, kurumsal proxy veya güvenlik yazılımı yerel doğrulamayı etkileyebilir. Ancak başka cihazlarda açılması, uyarıyı görmezden gelmek için tek başına yeterli kanıt değildir.
Hayır. HTTP, sertifika doğrulamasını ortadan kaldırır; HTTPS sertifika sorununu çözmez. Özellikle giriş ve ödeme işlemlerinde site yöneticisi geçerli HTTPS bağlantısını düzeltmelidir.
Bu uyarı tek başına sitenin saldırıya uğradığını kanıtlamaz; ancak tarayıcı, bağlantının beklenen sunucuya ait olduğunu doğrulayamadığı için güvenli bağlantı garantisi veremez. Site sahibiyseniz sertifika ve sunucu yapılandırmasını, ziyaretçiyseniz alan adını ve cihaz ayarlarını kontrol etmelisiniz.
Hata nasıl oluşur?
HTTPS bağlantısı kurulurken tarayıcı, sunucunun sunduğu sertifikayı birkaç açıdan denetler:
- Sertifikanın geçerlilik tarihi içinde olup olmadığını kontrol eder.
- Sertifikanın Subject Alternative Name (SAN) alanındaki uygun adın ziyaret edilen alan adını kapsayıp kapsamadığını denetler. Güncel kimlik doğrulamasında yalnız eski Common Name alanına güvenilmez.
- Sertifikanın güvenilen bir sertifika makamına kadar izlenebilen bir zincire sahip olup olmadığını kontrol eder.
- Tarayıcıya ve güvenlik politikasına göre iptal bilgileri ve diğer TLS koşulları da değerlendirilir; her tarayıcının her bağlantıda aynı çevrimiçi iptal sorgusunu yaptığını varsaymayın.
- Sunucunun, ilgili alan adı için doğru sanal host sertifikasını gönderip göndermediği belirlenir.
Sertifika zinciri, ziyaretçiye sunulan alan adı sertifikasıyla sınırlı değildir. Gerekli ara sertifikalar da sunulmalıdır; tarayıcı bu zinciri kendi güven deposundaki kök sertifikaya kadar doğrular. Zincirin eksik olması bazı cihazlarda veya tarayıcılarda güven hatasına neden olabilir.
Somut örnek
example.com ve www.example.com aynı sunucuda barınıyor olsun. Sertifika yalnızca example.com adını kapsıyor, fakat kullanıcı https://www.example.com adresine gidiyorsa sertifika teknik olarak süresi geçmemiş olsa bile alan adı uyuşmazlığı oluşur.Başka bir senaryoda sertifika yenilenmiş olabilir; fakat Nginx, Apache, kontrol paneli veya CDN hâlâ eski sertifikayı sunuyor olabilir. Bu durumda sertifika dosyasını yenilemek tek başına yeterli değildir; ilgili servis yeni dosyayı kullanacak şekilde yeniden yüklenmelidir.
Site sahibiyseniz kontrol sırası
- Hatanın hangi tam alan adında çıktığını belirleyin.
example.com,www.example.comve alt alan adları sertifika açısından ayrı değerlendirilebilir. - Sertifikanın başlangıç ve bitiş tarihlerini kontrol edin. Süresi dolmuşsa yenileme sürecini düzeltin. Henüz geçerli değilse sunucu/cihaz saatini ve sertifikanın başlangıç tarihini kontrol edin; yanlış saati düzeltmeden yeni sertifika istemek sorunu çözmeyebilir.
- Sertifikanın Subject Alternative Name alanında kullanılan alan adının bulunduğunu doğrulayın. Bir alan adının kapsanması, tüm alt alan adlarının otomatik olarak kapsandığı anlamına gelmez.
- Sunucunun alan adı için doğru sertifikayı ve gerekli ara sertifikaları birlikte sunduğunu kontrol edin.
- Aynı IP üzerinde birden fazla site varsa sanal host, SNI ve ters proxy yapılandırmasını inceleyin. Yanlış sanal host, başka siteye ait sertifikanın gönderilmesine yol açabilir.
- Sertifika yenilendikten sonra web sunucusunu veya ilgili proxy katmanını yeni sertifikayı kullanacak şekilde yeniden yükleyin.
- Sorunu farklı bir tarayıcı, cihaz ve ağ üzerinden test edin. Sadece tek cihazda görülüyorsa cihazın tarih-saat ayarını, işletim sistemi güven deposunu, proxy'yi ve güvenlik yazılımını inceleyin.
Cloudflare kullanılıyorsa ziyaretçiye sunulan edge sertifikası ile Cloudflare'ın origin sunucusuna bağlanırken doğruladığı sertifika birbirinden ayrılmalıdır. Full (strict) modunda origin sertifikasının süresi geçmemiş olmalı, istenen alan adıyla eşleşmeli ve Cloudflare tarafından güvenilebilir olmalıdır. Cloudflare Origin CA sertifikaları, doğrudan ziyaretçi tarayıcılarına sunulmak için değil, Cloudflare ile origin sunucusu arasındaki bağlantı için tasarlanmıştır. Proxy devre dışı bırakılır veya Cloudflare duraklatılırsa bu sertifika ziyaretçilerde güven uyarısı oluşturabilir.
Belirtiye göre ilk karar
Aşağıdaki tablo, incelemeye hangi bileşenden başlanacağını hızlıca gösterir.
| Belirti | Olası neden | İlk kontrol |
|---|---|---|
| Alan adı uyuşmazlığı | Yanlış sertifika veya eksik SAN kaydı | Sertifika kapsamını ve sanal host ayarını kontrol edin |
| Sertifika süresi dolmuş | Yenileme veya servis yükleme işlemi başarısız | Yenileme görevini ve aktif sertifikayı kontrol edin |
| Güvenilmeyen sertifika makamı | Kendinden imzalı veya yalnızca origin için kullanılan sertifika | Ziyaretçiye açık uçta güvenilen bir sertifika kullanın |
| Cloudflare 526 | Cloudflare origin sertifikasını doğrulayamıyor | Origin sertifikası, zincir, alan adı ve Full (strict) ayarını inceleyin |
Geçici olarak sertifika denetimini kapatmak veya tarayıcıdaki “devam et” seçeneğini kalıcı çözüm gibi kullanmak doğru değildir. Bu yöntem, gerçek sertifika hatasını gizler ve kullanıcıların yanlış sunucuya bilgi gönderme riskini artırabilir.
Ziyaretçiyseniz ne yapmalısınız?
Adres çubuğundaki alan adını harf harf kontrol edin ve cihazın tarih-saat ayarını doğrulayın. Uyarı bankacılık, ödeme, e-posta veya yönetim panelinde görünüyorsa devam etmeyin. Hata yalnızca bir Wi-Fi ağında oluşuyorsa captive portal, proxy veya güvenlik yazılımı etkili olabilir; yine de sertifika doğrulanmadan bağlantıyı güvenli kabul etmeyin.
Sık yapılan hatalar
Sertifika dosyasını yenileyip web sunucusunu yeni dosyayla yeniden yüklememek, ara sertifikaları kurmamak ve alt alan adlarının otomatik olarak kapsandığını varsaymak en yaygın sorunlardır. Cloudflare Origin CA sertifikasını doğrudan ziyaretçiye sunmak veya Full (strict) hatasını çözmek için doğrulama seviyesini rastgele düşürmek de doğru yaklaşım değildir.
Sık sorulan sorular
Bu hata yalnızca bilgisayarımda görünüyorsa site kesin olarak bozuk mudur?
Kesin olarak söylenemez. Cihazın saati, eski kök sertifika deposu, kurumsal proxy veya güvenlik yazılımı yerel doğrulamayı etkileyebilir. Ancak başka cihazlarda açılması, uyarıyı görmezden gelmek için tek başına yeterli kanıt değildir.
HTTP üzerinden siteye devam etmek çözüm müdür?
Hayır. HTTP, sertifika doğrulamasını ortadan kaldırır; HTTPS sertifika sorununu çözmez. Özellikle giriş ve ödeme işlemlerinde site yöneticisi geçerli HTTPS bağlantısını düzeltmelidir.
