Let's Encrypt SSL nedir?

Let's Encrypt, web siteleri için TLS sertifikası sağlayan ücretsiz ve otomatik bir sertifika otoritesidir. Halk arasında “SSL sertifikası” denir; teknik olarak güncel bağlantı şifrelemesi TLS ile yapılır. Let's Encrypt sertifikası, alan adını kontrol ettiğinizi doğruladıktan sonra tarayıcı ile sunucu arasındaki HTTPS bağlantısının kurulmasını sağlar. Sertifikanın alınması ve yenilenmesi, ACME protokolünü kullanan istemciler veya hosting paneli üzerinden otomatikleştirilebilir.

Let's Encrypt nasıl çalışır?​

Bir ziyaretçi https://example.com adresine bağlandığında sunucu, alan adı için geçerli TLS sertifikasını gönderir. Tarayıcı sertifikayı inceler; sertifikanın güvenilir bir otorite tarafından imzalanmış, alan adıyla uyumlu ve süresi dolmamış olması gerekir. Kontroller başarılıysa bağlantı şifreli olarak kurulur. Tarayıcıdaki bağlantı bilgileri üzerinden sertifikanın kapsamı ve geçerliliği incelenebilir; arayüz simgesi tarayıcıya göre değişir.

Let's Encrypt sertifika verirken sitenin içeriğini veya işletmenin ticari kimliğini doğrulamaz. Temel doğrulama, sertifika istenen alan adının kontrol edildiğini kanıtlamaya dayanır. Bu nedenle sertifika, alan adı kontrolünü kanıtlar; şirketin güvenilirliği, sitenin güvenliği veya içerikteki bilgilerin doğruluğu hakkında tek başına garanti vermez.

Sertifika talebi ve yenileme işlemi ACME istemcisi tarafından yapılır. İstemci, alan adının kontrol edildiğini kanıtlamak için sunucuda belirli bir dosya yayımlayabilir veya DNS üzerinde özel bir kayıt oluşturabilir. Doğrulama tamamlanınca sertifika sunucuya kurulabilir. Sertifikaların ömrü sınırlı olduğu için yenileme işleminin otomatik ve düzenli çalışması önemlidir.

Somut örnek​

Varsayalım siteniz example.com alan adında ve hem kök alan adını hem de www.example.com adresini kullanıyor. Sertifika talebinde bu adlar kapsanırsa ziyaretçiler her iki HTTPS adresine de güvenli bağlanabilir. Yalnızca bir ad kapsanmışsa diğer ad HTTPS üzerinden açıldığında sertifika adı uyuşmazlığı uyarısı görülebilir.

Sertifika başarıyla kurulsa bile HTTP istekleri otomatik olarak HTTPS'ye yönlendirilmeyebilir. Bu durumda site hem şifreli hem şifresiz erişilebilir. HTTPS'yi asıl adres yapmak için yönlendirme, uygulamanın güvenli çerez ayarları ve sayfadaki sabit HTTP kaynakları ayrıca kontrol edilmelidir.

Kurulum ve kontrol için izlenecek yol​

Kullandığınız hosting paneli veya sunucu yönetimi ACME desteği veriyorsa en küçük uygulanabilir süreç şöyledir:

1. Sertifika kapsamına girecek alan adlarını belirleyin; kök alan adı ve www gibi gerçekten kullanılan adları eksiksiz seçin.
2. Doğrulama yöntemini belirleyin. HTTP-01 için adın doğru HTTP sunucusuna ulaşması ve challenge yolunun port 80 üzerinden erişilmesi gerekir. DNS-01’de yetkili DNS’e verilen TXT değeri eklenir; web sitesinin aynı makineye yönelmesi şart değildir.
3. Hosting panelindeki Let's Encrypt veya ACME sertifika seçeneğiyle alan adlarını seçip sertifika talebini başlatın.
4. Sertifika ve özel anahtarın seçtiğiniz web sunucusuna kurulmasını sağlayın; ardından HTTPS adresini tarayıcıda açın.
5. HTTP adresinin HTTPS'ye yönlendirildiğini, sayfada karışık içerik uyarısı bulunmadığını ve tüm alan adlarının doğru sertifikayı sunduğunu test edin.
6. Otomatik yenilemenin etkin olduğunu ve yenileme başarısız olduğunda panelin veya sunucu izleme sisteminin uyarı ürettiğini doğrulayın.

Doğrulama başarısız olursa en sık nedenler yanlış DNS yönlendirmesi, alan adına dışarıdan erişilememesi, HTTP doğrulama yolunun engellenmesi veya DNS doğrulamasında hatalı kayıttır. Sorun çözülmeden sertifika kurulamaz; HTTP-01’de HTTP yolunu; DNS-01’de yetkili DNS’te challenge TXT kaydı ve yayılımını inceleyin. Bu iki doğrulama yolunun önkoşulları aynı değildir.

Sertifikanın ne sağladığını doğru yorumlama​

Aşağıdaki ayrım, Let's Encrypt kullanımından beklenebilecek sonucu netleştirir:

Bu nedenle Let's Encrypt kurulumu, site güvenliğinin yalnızca bir parçasıdır. Sunucu ve uygulama güncellemeleri, güçlü hesap kimlik doğrulaması, yedekleme, erişim kayıtları ve doğru sunucu yapılandırması ayrıca ele alınmalıdır.

Sık yapılan hatalar​

Sadece sertifika kurup işi bitmiş saymak: HTTPS aktif olsa da HTTP yönlendirmesi, karışık içerik ve güvenli çerez ayarları kontrol edilmezse uygulama beklenenden daha zayıf kalabilir.

Yenilemeyi manuel bırakmak: Sertifikanın süresi dolduğunda site yeniden sertifika uyarısı gösterebilir. Otomatik yenilemeyi ve gerekli ortamlarda yenileme sonrası web sunucusunun yeni sertifikayı yüklemesini test edin.

Yanlış alan adını kapsamak: Kök alan adı, www alt alan adı veya kullanılan başka bir alt alan adı sertifikada yoksa o ad için tarayıcı uyarısı oluşur.

Sertifikayı güvenlik garantisi sanmak: HTTPS ile şifrelenen bağlantı, sunucunun ele geçirilmediğini veya kullanıcının sahte bir forma bilgi girmeyeceğini tek başına göstermez.

Sık sorulan sorular​

Joker sertifika kök adı ve bütün alt alan seviyelerini kapsar mı?​

Hayır. Örneğin *.example.com, www.example.com gibi tek seviyeli adları kapsar; example.com kökünü veya a.b.example.com adını kendiliğinden kapsamaz. Kök adı gerekiyorsa ayrıca sertifikaya ekleyin. Let's Encrypt joker ad doğrulamasında DNS-01 kullanır. Mevcut joker kapsamına zaten uyan yeni bir ad için sırf yeni diye yeniden sertifika almak gerekmez.

Sertifika yenilenince ziyaretçilerden işlem gerekir mi?​

Normal otomatik yenilemede ziyaretçinin sertifika yüklemesi beklenmez. Yenilemeyi yalnız panelde başarılı görünmesiyle değerlendirmeyin; sunucunun gerçekten yeni sertifikayı sunduğunu kontrol edin. Eski sertifika bellekte kalmışsa veya farklı uç noktaya kurulmuşsa ziyaretçi hâlâ uyarı görebilir.