SAN SSL sertifikası nedir?

SAN SSL sertifikası nedir?​

SAN SSL sertifikası, tek bir TLS/SSL sertifikası içinde birden fazla alan adının veya alt alan adının tanımlanmasına izin veren sertifikadır. Sertifikanın geçerli olduğu adresler, sertifikanın Subject Alternative Name (SAN) alanında listelenir. Örneğin aynı sertifika example.com, www.example.com ve api.example.com için düzenlenebilir. Kullanıcı bu adreslerden biriyle HTTPS bağlantısı kurduğunda, tarayıcı bağlanılan adın SAN listesindeki adlardan biriyle eşleşip eşleşmediğini kontrol eder.

SAN, sertifikadaki kimliklerin tutulduğu uzantıdır; tek adlı ve wildcard sertifikalar da bu alanı kullanır. “SAN sertifikası” ifadesi ürün adlandırmasında çoğunlukla birden fazla adı kapsayan sertifikayı anlatır. Aynı sertifika farklı sunucularda kullanılacaksa her hedefin kurulumu ayrıca yapılır. Ancak bu, sertifikadaki adların aynı siteye ait olduğunu veya birbirleriyle teknik olarak bağlantılı olduğunu göstermez. Sertifika sahibi, sertifika başvurusu sırasında ilgili alan adlarını kontrol ettiğini kanıtlamalıdır; sertifika otoritesinin doğrulama yöntemi ve sertifikanın türü bu süreci belirler.

Nasıl çalışır?​

Bir tarayıcı HTTPS bağlantısı kurduğunda sunucunun sertifikasını alır. Sertifikada şu kontroller yapılır:

• Bağlanılan alan adı, sertifikanın SAN alanındaki adlardan biriyle eşleşmelidir.
• Sertifika geçerli ve güvenilir bir sertifika otoritesi tarafından imzalanmış olmalıdır.
• Sertifikanın süresi dolmamış olmalı ve sertifika kullanım amacı HTTPS bağlantısını desteklemelidir.
• Sunucu, sertifikaya karşılık gelen özel anahtara sahip olduğunu TLS el sıkışması sırasında kanıtlamalıdır.

Güncel tarayıcılar alan adı eşleştirmesinde esas olarak SAN alanını dikkate alır. Bu nedenle bir alan adını yalnızca sertifikanın genel adında (Common Name) görmek yeterli değildir; kullanılacak her adın sertifikaya uygun biçimde eklenmesi gerekir.

Somut örnek​

Bir şirketin aşağıdaki adresleri kullandığını varsayalım:

• example.com: ana web sitesi
• www.example.com: kullanıcıların kullandığı alternatif adres
• api.example.com: uygulama arayüzü

SAN sertifikası bu üç adı içeriyorsa, sertifika ilgili sunucularda doğru şekilde yapılandırıldığı sürece üç ad HTTPS üzerinden çalışabilir. Sertifikaya sonradan panel.example.com eklenmesi gerekiyorsa sertifika yeniden düzenlenmeli ve yeni sertifika sunucuya kurulmalıdır. Sadece DNS kaydı eklemek, mevcut sertifikayı yeni ad için geçerli hâle getirmez.

Açık ad listesi ile wildcard kapsamı​

İhtiyaca göre sertifika biçimini seçmek, gereksiz adları aynı sertifikaya eklememek açısından önemlidir. Temel farklar şöyledir:


Sertifika adı eşleşmesinde wildcard yalnız en soldaki tam etiketi temsil eder ve tek alt alan adı seviyesini kapsar. Örneğin *.example.com, api.example.com ile eşleşir; example.com veya v1.api.example.com ile eşleşmez. Bu adlar için ayrıca uygun SAN girdileri gerekir. Bu nedenle sertifika siparişinden önce gerçek hostname listesini kontrol etmek gerekir.

SAN sertifikası seçerken ve kurarken izlenecek yol​

1. HTTPS sunulacak tüm gerçek alan adlarını ve alt alan adlarını listeleyin. Kullanılmayan veya artık yönetilmeyen adları eklemeyin.
2. Her adın aynı sertifika yaşam döngüsünde yönetilmesinin uygun olup olmadığına karar verin. Tek sertifika kullanımı kurulumu kolaylaştırabilir; fakat sertifika yenileme veya değiştirme sırasında listedeki tüm adlar etkilenir.
3. Kök alan adı, www adresi, API adresi ve gerekiyorsa diğer adların sertifika başvurusunda ayrı ayrı bulunduğunu kontrol edin. Wildcard kapsamının otomatik olarak tüm adları karşılayacağını varsaymayın.
4. Sertifikayı sunucuda kurduktan sonra her hostname için HTTPS bağlantısını ayrı ayrı test edin. Bir ad çalışırken diğerinin sertifika uyarısı vermesi, çoğunlukla SAN listesinin veya sanal host/TLS yapılandırmasının eksik olduğunu gösterir.
5. Yeni bir hostname eklenirse sertifikayı yeniden düzenleyip sunucudaki sertifika zinciriyle birlikte güncelleyin; ardından bağlantıyı ve uygulamanın beklediği alan adını tekrar doğrulayın.

Sık yapılan hatalar​

En yaygın hata, DNS kaydının oluşturulmasını sertifika kapsamına alınma ile karıştırmaktır. DNS yalnızca adın hangi sunucuya yönleneceğini belirler; o ad için geçerli sertifika gerektiğinde ayrıca sertifika düzenlenmelidir. Başka bir hata da sertifikada www.example.com bulunduğu için kök alan adının da otomatik olarak kapsandığını düşünmektir. Kök ad ve www adı ayrı hostname değerleridir.

Ayrıca SAN sertifikasındaki adların tümünü her sunucuda kullanmak zorunlu değildir; ancak bir sunucu o ad için sertifika sunuyorsa ilgili adın sertifikada bulunması gerekir. Sertifikaya gereksiz veya artık kontrol edilmeyen alan adları eklemek, yönetimi zorlaştırır ve yenileme sırasında beklenmeyen sorunlara yol açabilir.

Sık sorulan sorular​

SAN sertifikası birden fazla sunucuda kullanılabilir mi?​

Evet, teknik olarak aynı sertifika ve özel anahtar birden fazla sunucuda kullanılabilir. Ancak özel anahtarın kopyalanması, anahtarın korunması ve sertifika yenilendiğinde tüm sunucuların güncellenmesi ayrıca yönetilmelidir. Farklı sunucular için ayrı sertifikalar kullanmak bazı ortamlarda daha sınırlı etki alanı sağlar.

SAN sertifikası wildcard sertifikasının yerine her zaman geçer mi?​

Bu iki kavram birbirini dışlamaz: wildcard adı da SAN içinde bulunabilir. Açık ad listesi yalnız yazılan adları, wildcard girdisi ise eşleşme sınırları içindeki tek seviyeli adları kapsar. Çok sayıda alt alan adı dinamik olarak oluşturuluyorsa wildcard daha uygun olabilir, fakat kapsam sınırları yine ayrıca kontrol edilmelidir.