- Konu sahibi
- #1
Wildcard SSL, tek bir sertifikayla bir alan adının aynı seviyedeki çok sayıda alt alan adını HTTPS üzerinden koruyan SSL/TLS sertifikasıdır. Örneğin
Sertifikanın alan adı bölümünde yıldız karakteri bulunur. Tarayıcı, bağlanılan alan adını sertifikadaki wildcard adıyla karşılaştırır. Hostname eşleşmesi denetimlerden yalnızca biridir; sertifikanın güven zinciri, geçerlilik süresi ve diğer TLS kontrolleri de başarılı olmalıdır.
Wildcard SSL, DNS wildcard kaydıyla aynı şey değildir.
Bir hosting hizmetinde şu adreslerin bulunduğunu varsayalım:
Ayrıca
Çok sayıda birinci seviye alt alan adı kullanan sitelerde sertifika yönetimini kolaylaştırır. Her alt alan adı için ayrı sertifika kurmak yerine aynı sertifika ilgili sanal sunucu yapılandırmalarında kullanılabilir.
Karar verirken aşağıdaki kapsamı kontrol edin:
Bu nedenle sertifika satın almadan veya üretmeden önce kullanılacak gerçek hostname listesini çıkarın. Liste yalnızca
Wildcard DNS kaydını SSL sanmak: DNS’te
Ana alan adını unutmak:
Derin alt alan adlarını kapsanmış kabul etmek:
Wildcard anahtarını gereksiz yere her yere kopyalamak: Aynı özel anahtar çok sayıda sunucuda bulunursa tek bir sunucu ihlali daha geniş bir kullanım alanını etkileyebilir. Sertifikayı gerçekten ihtiyaç duyan sunucularla sınırlayın ve yenileme sonrası dağıtımı otomatikleştirin.
Sertifika alan adı eşleşmesini sağlar; portların açık olması, servisin TLS desteklemesi ve ilgili portta doğru sertifikanın sunulması ayrıca yapılandırılmalıdır.
Evet, e-posta sunucusunun kullandığı hostname sertifikanın kapsamındaysa kullanılabilir. Ancak SMTP, IMAP veya POP3 servislerinin TLS ayarları web sunucusundan bağımsız olarak yapılandırılmalıdır.
*.example.com sertifikası www.example.com, api.example.com ve panel.example.com gibi alt alan adlarında kullanılabilir. Ancak example.com ana alan adını ve dev.api.example.com gibi daha derin seviyedeki adları kendiliğinden kapsamaz.Nasıl çalışır?
Sertifikanın alan adı bölümünde yıldız karakteri bulunur. Tarayıcı, bağlanılan alan adını sertifikadaki wildcard adıyla karşılaştırır. Hostname eşleşmesi denetimlerden yalnızca biridir; sertifikanın güven zinciri, geçerlilik süresi ve diğer TLS kontrolleri de başarılı olmalıdır.
Wildcard SSL, DNS wildcard kaydıyla aynı şey değildir.
*.example.com DNS kaydı ziyaretçiyi bir sunucuya yönlendirebilir; wildcard SSL ise sunucuyla tarayıcı arasındaki TLS kimlik doğrulamasını sağlar. Sertifikayı almak, alt alan adlarının DNS kaydını veya web sunucusu yapılandırmasını otomatik olarak oluşturmaz.Somut örnek
Bir hosting hizmetinde şu adreslerin bulunduğunu varsayalım:
blog.example.comshop.example.companel.example.com
*.example.com sertifikası bu alt alan adlarının her birinde kullanılabilir. Fakat ana site https://example.com için sertifikada ayrıca example.com adı bulunmalıdır. Uygulamada çoğu sertifika isteği şu iki adı birlikte içerir:example.com*.example.comAyrıca
api.example.com sertifikayla eşleşirken v2.api.example.com eşleşmez. İkinci adres için *.api.example.com gibi ayrı bir ad veya doğrudan ilgili hostname gerekir.Ne zaman tercih edilir?
Çok sayıda birinci seviye alt alan adı kullanan sitelerde sertifika yönetimini kolaylaştırır. Her alt alan adı için ayrı sertifika kurmak yerine aynı sertifika ilgili sanal sunucu yapılandırmalarında kullanılabilir.
Karar verirken aşağıdaki kapsamı kontrol edin:
| İhtiyaç | Uygun yaklaşım | Dikkat edilecek nokta |
|---|---|---|
| Ana alan adı ve birkaç sabit alt alan adı | Tekil adları içeren normal sertifika | Wildcard kullanmak zorunlu değildir |
| Çok sayıda birinci seviye alt alan adı | *.example.com wildcard sertifikası | Ana alan adı ayrıca eklenmelidir |
| Birden fazla alt alan adı seviyesi | Her seviye için ayrı wildcard veya tekil adlar | *.example.com, a.b.example.com adresini kapsamaz |
*.example.com seviyesindeyse wildcard yeterli olabilir; daha derin yapı varsa ek sertifika adları gerekir.Wildcard SSL nasıl alınır ve kurulur?
- Kapsanacak alan adlarını belirleyin. Ana alan adı kullanılacaksa
example.comadını, alt alan adları için de*.example.comadını sertifika isteğine ekleyin. - Sertifika sağlayıcısının doğrulama yöntemini uygulayın. Let’s Encrypt wildcard sertifikalarında DNS-01 doğrulaması kullanılır; bu işlemde DNS bölgesine geçici bir TXT kaydı eklenir.
- Sertifika ve özel anahtarı, HTTPS hizmeti sunan web sunucusuna veya ters proxy’ye yükleyin. Aynı sertifika birden fazla sunucuda kullanılacaksa özel anahtarın güvenli biçimde dağıtılması gerekir.
- Her ilgili sanal host için sertifika dosyalarını tanımlayın ve web sunucusunu yeniden yükleyin. DNS kayıtlarının ayrıca doğru sunucuya yöneldiğini kontrol edin.
- Ana alan adı, birinci seviye alt alan adı ve varsa derin alt alan adıyla HTTPS bağlantısını ayrı ayrı test edin. Başarılı sonuç, adres çubuğunda sertifika hostname eşleşmesi ve sertifika hatası görülmemesidir.
_acme-challenge adını ve beklenen TXT değerini karşılaştırın. TXT kayıtlarında MX gibi öncelik yoktur; yanlış token, hatalı ad veya önbellek görünürlüğü sorun olabilir. Sertifika alınsa bile özel anahtar yüklenmezse ya da ilgili sanal hostta kullanılmazsa ziyaretçi sertifikayı göremez.Sık yapılan hatalar
Wildcard DNS kaydını SSL sanmak: DNS’te
* kaydı oluşturmak HTTPS sertifikası sağlamaz.Ana alan adını unutmak:
*.example.com, example.com için geçerli değildir. İkisini sertifikada ayrı adlar olarak bulundurun.Derin alt alan adlarını kapsanmış kabul etmek:
*.example.com yalnızca bir alt alan adı seviyesini kapsar. dev.api.example.com için ayrıca kapsam tanımlanmalıdır.Wildcard anahtarını gereksiz yere her yere kopyalamak: Aynı özel anahtar çok sayıda sunucuda bulunursa tek bir sunucu ihlali daha geniş bir kullanım alanını etkileyebilir. Sertifikayı gerçekten ihtiyaç duyan sunucularla sınırlayın ve yenileme sonrası dağıtımı otomatikleştirin.
Sık sorulan sorular
Wildcard SSL tüm portları korur mu?
Sertifika alan adı eşleşmesini sağlar; portların açık olması, servisin TLS desteklemesi ve ilgili portta doğru sertifikanın sunulması ayrıca yapılandırılmalıdır.
Wildcard SSL e-posta servisinde de kullanılabilir mi?
Evet, e-posta sunucusunun kullandığı hostname sertifikanın kapsamındaysa kullanılabilir. Ancak SMTP, IMAP veya POP3 servislerinin TLS ayarları web sunucusundan bağımsız olarak yapılandırılmalıdır.
Bir wildcard sertifikasını farklı alan adlarında kullanabilir miyim?
*.example.com adı tek başına başka bir alan adını kapsamaz. Ancak sağlayıcı izin veriyorsa aynı sertifikada başka alan adları da ayrı SAN adları olarak bulunabilir; her biri için doğrulama gerekir. Her durumda ayrı sertifika zorunlu değildir.