- Konu sahibi
- #1
SSL sertifikası almak için alan adınızı kapsayan sertifikayı bir sertifika otoritesinden edinmeniz, alan adı kontrolünü doğrulamanız ve sertifikayı HTTPS bağlantısını karşılayan sisteme kurmanız gerekir. Hosting hizmetiniz otomatik SSL/TLS sunuyorsa bu işlemleri panel yönetebilir. Özel sunucuda ise uygun bir ACME istemcisiyle otomasyon veya manuel kurulum seçilebilir. Günlük kullanımda “SSL sertifikası” denilse de güncel HTTPS bağlantıları TLS kullanır.
Alan adı doğrulaması her yöntemde aynı yapılmaz. Let’s Encrypt’in HTTP-01 yönteminde doğrulama dosyasının ilgili alan adı üzerinden port 80’de erişilebilir olması gerekir. DNS-01 ise yetkili DNS bölgesindeki özel TXT kaydıyla doğrulama yapar; web sunucusunun internete açık olması gerekmez. Bu nedenle “sertifika almak için A kaydı mutlaka kurulumu yapacağınız sunucuyu göstermeli” kuralı her durumda doğru değildir. Site trafiğinin doğru hedefe gitmesi ayrıca kontrol edilir.
NGINX’te sertifika dosyası ile anahtar ayrı yönergelerle belirtilir. Aşağıdaki parça yalnız HTTPS dosya eşleşmesini gösterir; tamamlanmış bir site yapılandırması değildir:
Örnek yolları gerçek dosyalarla değiştirin. Ara sertifika gerekiyorsa ssl_certificate dosyasında önce sunucu sertifikası, ardından gerekli ara sertifikalar bulunmalıdır. Anahtarın erişimini kısıtlayın; NGINX’in ilgili süreci dosyayı okuyabilmelidir. Değişikliği uygulamadan önce uygun yetkiyle nginx -t kontrolünü yapın; başarılı sonuçtan sonra yapılandırmayı yeniden yükleyin.
Otomatik yenilemenin etkin olması kadar doğrulama koşullarının ileride de çalışması önemlidir. DNS yetkileri, erişim kuralları veya sunucu değişince yenileme başarısız olabilir. Sertifika süresini ve yenileme sonucunu takip edin; yalnız ilk kurulumdaki başarılı sonuca güvenmeyin.
Önce kapsamı ve doğrulama yöntemini belirleyin
Sertifika başvurusunda kullanacağınız adları listeleyin: example.com, www.example.com ve gerekli diğer alt alan adları. Bir adın sertifikada bulunması, diğerlerinin kendiliğinden kapsandığı anlamına gelmez. Sertifika, doğru sunucu kimliğini doğrulamaya yardımcı olur; TLS de bağlantıyı şifreler. Bu, sitenin içeriğine veya bütün güvenlik önlemlerine verilmiş bir onay değildir.Alan adı doğrulaması her yöntemde aynı yapılmaz. Let’s Encrypt’in HTTP-01 yönteminde doğrulama dosyasının ilgili alan adı üzerinden port 80’de erişilebilir olması gerekir. DNS-01 ise yetkili DNS bölgesindeki özel TXT kaydıyla doğrulama yapar; web sunucusunun internete açık olması gerekmez. Bu nedenle “sertifika almak için A kaydı mutlaka kurulumu yapacağınız sunucuyu göstermeli” kuralı her durumda doğru değildir. Site trafiğinin doğru hedefe gitmesi ayrıca kontrol edilir.
Hosting panelinde otomatik sertifika kurulumu
- Hosting hizmetinin desteğini kontrol edin. cPanel’de sertifika durumu SSL/TLS Status bölümünde veya birleşik SSL/TLS Certificates ekranında görülebilir. Görünüm ve kullanılabilen işlemler sağlayıcının ayarına göre değişir.
- Sertifikaya dahil edilecek adları kontrol edin. Ana alan adı ve alt alan adlarının ilgili hosting hesabına eklenmiş olduğundan emin olun.
- Panelin sertifika işlemini başlatın veya durumunu izleyin. AutoSSL etkinse otomatik doğrulama ve kurulum yapılabilir. İşlem yoksa sağlayıcınızdan hesabın AutoSSL durumunu kontrol etmesini isteyin.
- Başarısız doğrulamanın ayrıntısını okuyun. Kullanılan yönteme göre DNS yanıtını, doğrulama dosyasına erişimi veya TXT kaydını inceleyin. Varsa CAA kaydının seçilen sertifika otoritesine izin verdiğini kontrol edin.
- HTTPS bağlantısını test edin. Sertifikanın kapsadığı adı, geçerlilik süresini ve zincirini kontrol edin. HTTPS çalıştıktan sonra HTTP yönlendirmesini değerlendirin.
Hangi kurulum yolu uygundur?
| Durum | Uygun başlangıç | Kontrol noktası |
|---|---|---|
| Otomatik SSL sunan hosting | Panelin sertifika özelliği | Doğrulama ve yenileme durumu |
| Yönetilen VPS veya sunucu | Sağlayıcı ya da panel otomasyonu | Doğru alan adına ve hizmete kurulum |
| Kendi yönettiğiniz web sunucusu | ACME istemcisi veya manuel kurulum | Anahtar, sertifika zinciri ve yeniden yükleme |
| İnternete açık olmayan hizmet | Uygunsa DNS doğrulaması veya yönetilen iç güven altyapısı | İstemcinin sertifikaya güvenmesi |
Manuel kurulumda sertifika ile özel anahtarı ayırın
Manuel kurulumda sertifika, ona karşılık gelen özel anahtar ve gerekiyorsa ara sertifikalar bulunur. Dosya uzantıları sağlayıcıya göre değişebilir; yalnız .crt veya .key adına bakarak doğru dosyayı seçtiğinizi varsaymayın. Özel anahtarı herkese açık depolara veya destek mesajlarına koymayın.NGINX’te sertifika dosyası ile anahtar ayrı yönergelerle belirtilir. Aşağıdaki parça yalnız HTTPS dosya eşleşmesini gösterir; tamamlanmış bir site yapılandırması değildir:
Kod:
server {
listen 443 ssl;
server_name example.com www.example.com;
ssl_certificate /etc/ssl/example.com/fullchain.pem;
ssl_certificate_key /etc/ssl/example.com/privkey.pem;
}Örnek yolları gerçek dosyalarla değiştirin. Ara sertifika gerekiyorsa ssl_certificate dosyasında önce sunucu sertifikası, ardından gerekli ara sertifikalar bulunmalıdır. Anahtarın erişimini kısıtlayın; NGINX’in ilgili süreci dosyayı okuyabilmelidir. Değişikliği uygulamadan önce uygun yetkiyle nginx -t kontrolünü yapın; başarılı sonuçtan sonra yapılandırmayı yeniden yükleyin.
Yenileme ve bağlantı kontrolü
Ana alan adı, www ve kullanılan alt alan adlarını ayrı ayrı açın. Sertifika geçerliyken sayfadaki bazı kaynaklar HTTP kullanıyorsa karma içerik sorunu oluşabilir; kaynak adreslerini inceleyin. CDN veya ters vekil varsa ziyaretçi tarafı ile arka sunucu bağlantısının sertifikaları ayrı olabilir. HTTP yönlendirmesinin döngü oluşturmadığını da kontrol edin.Otomatik yenilemenin etkin olması kadar doğrulama koşullarının ileride de çalışması önemlidir. DNS yetkileri, erişim kuralları veya sunucu değişince yenileme başarısız olabilir. Sertifika süresini ve yenileme sonucunu takip edin; yalnız ilk kurulumdaki başarılı sonuca güvenmeyin.
