SSL sertifikası yenileme ve süre dolumu

SSL Yenileme Neden Hayati Önem Taşır ve Ne Zaman Harekete Geçmelisiniz?

SSL sertifikası, web altyapısının kesin bir son kullanma tarihine sahip birkaç bileşeninden biridir. SSL yenilemeyi kaçırırsanız, tarayıcılar kullanıcılara "güvenli olmayan bağlantı" uyarısı gösterir, sitenizin itibarı sorgulanır ve ciddi durumlarda API veya çevrimiçi ödemeye bağımlı hizmetler tamamen çalışmaz hale gelir. Önemli olan nokta, SSL yenilemenin sadece idari bir işlem olmamasıdır; aynı zamanda dikkatli ve doğru zamanda yapılması gereken teknik bir süreçtir.

SSL yenileme için en iyi zaman, süre dolumundan 30 ila 60 gün öncesidir. Modern sertifikalar genellikle 90 günlük olarak düzenlenir (Let's Encrypt gibi) ve bazı ticari sağlayıcılar bir yıllık sertifika sunar. Her durumda, altın kural şudur: asla tarayıcı uyarısını beklemeyin. Google Chrome'da "Not Secure" ifadesini görürseniz, SSL yenilemeniz en az birkaç gün gecikmiş demektir.

Yaklaşan Süre Dolumunun Uyarı İşaretleri

• Sertifika sağlayıcısından uyarı e-postası almak (genellikle 30, 14 ve 7 gün önce)
• Sunucu günlüklerinde SSL certificate expired hatasının görüntülenmesi
• Hosting yönetim panelinde veya UptimeRobot gibi izleme araçlarında uyarı
• Tarayıcı uyarıları nedeniyle trafikte ani düşüş

Bu belirtilerden herhangi birini fark ederseniz, hemen SSL yenileme sürecini başlatın. Bir günlük gecikme bile kullanıcı güveninin kaybı ve SEO sıralamasının düşmesi anlamına gelebilir.

Otomatik SSL Yenileme; Unutmayı Önlemenin En İyi Çözümü

SSL yenileme için en modern ve güvenilir yöntem, otomatik yenileme kullanmaktır. Bu yöntem özellikle ücretsiz Let's Encrypt sertifikaları için tasarlanmıştır ve çoğu hosting kontrol panelinde (cPanel, DirectAdmin ve Plesk gibi) varsayılan olarak etkindir.

Certbot ile Otomatik Yenileme Uygulaması

Özel sunucu veya VPS'niz varsa, certbot aracı otomatik SSL yenileme için altın standarttır. Aşağıdaki adımları izleyin:

1. Ubuntu veya Debian sunucusuna Certbot kurulumu:

sudo apt update
sudo apt install certbot python3-certbot-apache

1. Alan adınız için ilk sertifikayı alın:

sudo certbot --apache -d example.com -d www.example.com

1. Otomatik yenileme sürecini test edin (kuru çalıştırma):

sudo certbot renew --dry-run

Çıktıda Congratulations, all renewals succeeded mesajı görünüyorsa, otomatik yenileme doğru şekilde yapılandırılmış demektir. Certbot, varsayılan olarak systemd içinde günde iki kez sertifikanın süre dolumuna yakın olup olmadığını kontrol eden (genellikle 30 gün önce) ve gerektiğinde yenileyen bir zamanlayıcı oluşturur.

Otomatik Yenilemede Yaygın Hata

En yaygın sorunlardan biri, genellikle güvenlik duvarında 80 veya 443 numaralı portların kapalı olmasından kaynaklanan Failed to renew certificate hatasıdır. Certbot, alan adını doğrulamak için sunucunuza HTTP veya HTTPS üzerinden erişebilmelidir. Bu sorunu çözmek için güvenlik duvarında aşağıdaki portların açık olduğundan emin olun:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw reload

Ayrıca nginx kullanıyorsanız, python3-certbot-apache yerine python3-certbot-nginx paketini kurmanız gerekir.

Manuel SSL Yenileme; Tam Kontrol İstediğinizde

Ticari sertifikalar (Comodo, Sectigo veya DigiCert gibi) kullanıyorsanız, SSL yenileme genellikle manuel olarak yapılır. Bu süreç aşağıdaki adımları içerir:

Ticari Sertifika Manuel Yenileme Adımları

1. Yeni CSR oluşturma: Sunucunuzda yeni bir Sertifika İmzalama İsteği (CSR) oluşturun. Değiştirmek zorunda kalmamak için önceki Özel Anahtarı (Private Key) sakladığınızdan emin olun.

openssl req -new -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr

1. CSR'yi sağlayıcıya gönderme: example.com.csr dosyasını sertifika sağlayıcısının kullanıcı paneline yükleyin.
2. Doğrulama yapma: Genellikle standart adreslere (ör. admin@example.com) e-posta veya DNS üzerinden yapılır. DNS doğrulaması için aşağıdaki gibi bir TXT kaydı eklemeniz gerekir:

_dnsauth.example.com.  TXT  "2019123456789abcdef"

1. Yeni sertifikayı indirme: Onaydan sonra verilen sertifikayı indirin. Genellikle ana sertifika ve ara sertifikaları (Intermediate) içeren bir ZIP dosyası alırsınız.
2. Sunucuya kurulum: Sertifika dosyalarını standart konuma (ör. /etc/ssl/) yerleştirin ve web sunucusunu yeniden başlatın.

sudo systemctl restart apache2

Manuel Yenilemede Yaygın Hata

Birçok sunucu yöneticisi SSL yenilerken özel anahtarı da değiştirir. Bu yanlış değildir, ancak eski sertifika hâlâ CDN veya yük dengeleyici sunucularında kuruluysa uyumsuzluğa neden olur. En iyisi önceki özel anahtarı korumak ve yalnızca aynı anahtarla yeni bir CSR oluşturmaktır:

openssl req -new -key example.com.key -out example.com.csr

Bu, Private key mismatch hatasının oluşmasını önler.

SSL Sertifikası Süresi Dolduğunda Acil Önlemler

Sertifikanızın süresi dolduysa ve siteniz erişilemez durumdaysa panik yapmayın. Aşağıdaki adımları izleyerek sorunu 30 dakikadan kısa sürede çözebilirsiniz:

Süre Dolumunu Gidermek İçin Acil Adımlar

1. Tam süre dolum tarihini kontrol edin: Aşağıdaki komutla mevcut sertifikanın süre dolum tarihini kontrol edin:

echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null | openssl x509 -noout -dates

1. Certbot ile acil yenileme: Sertifikanız Let's Encrypt'ten ise aşağıdaki komutu çalıştırın:

sudo certbot renew --force-renewal

1. Acil manuel yenileme: Ticari bir sertifikanız varsa, sağlayıcının paneline gidin ve "Reissue" veya "Renew Now" seçeneğini seçin. Bazı sağlayıcılar hızlı DNS doğrulamasıyla acil yenileme imkânı sunar.
2. Kurulum ve yeniden başlatma: Yeni sertifikayı aldıktan sonra kurun ve web sunucusunu yeniden başlatın.

sudo systemctl restart nginx

Yenileme Sonrası Son Testler

SSL yeniledikten sonra mutlaka şu testleri yapın:

• Yukarıda belirtilen openssl komutuyla yeni süre dolum tarihini kontrol edin
• Siteyi tarayıcıda test edin (yeşil kilit veya güvenlik simgesi görüntülenmelidir)
• SSL Labs çevrimiçi aracıyla sertifika zincirini kontrol edin
• HTTPS kullanan API'leri ve web servislerini test edin

Tekrar Süre Dolumunu Önlemek İçin İzleme Araçları

Bir daha asla SSL süre dolumu sorunuyla karşılaşmamak için izleme araçları kullanın. Bu araçlar otomatik olarak süre dolum tarihini kontrol eder ve size uyarı gönderir:

• UptimeRobot: Her 5 dakikada bir SSL durumunuzu kontrol eden ve 30 gün önceden uyarı veren ücretsiz hizmet.
• Çevrimiçi SSL Kontrol Araçları: sslshopper.com veya sslchecker.com gibi süre dolum tarihini gösteren araçlar.
• Özel Betik: Her gün süre dolum tarihini kontrol eden ve sona yaklaşıldığında e-posta gönderen cronjob ile basit bir betik yazabilirsiniz:

#!/bin/bash
expiry=$(echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null | openssl x509 -noout -enddate | cut -d= -f2)
expiry_epoch=$(date -d "$expiry" +%s)
now_epoch=$(date +%s)
days_left=$(( (expiry_epoch - now_epoch) / 86400 ))
if [ $days_left -lt 30 ]; then
    echo "SSL certificate expires in $days_left days" | mail -s "SSL Expiry Warning" admin@example.com
fi

Bu betiği her gün çalışması için crontab'a ekleyin:

0 9 * * * /usr/local/bin/ssl-check.sh

SSL Yenilemeyi Akıllıca Yönetmek İçin Son İpuçları

SSL yenileme, doğru planlamayla tamamen otomatikleştirebileceğiniz tekrarlayan bir süreçtir. Temel noktaların özeti:

• Ücretsiz sertifikalar için otomatik yenilemeyi mutlaka etkinleştirin ve ayda bir certbot renew --dry-run komutunu çalıştırın.
• Ticari sertifikalar için süre dolumundan 45 gün önce takvime bir hatırlatıcı ayarlayın.
• Özel anahtarı her zaman güvenli bir yerde saklayın ve yedekleyin.
• Birden fazla alan adınız varsa, yönetimi kolaylaştırmak için Wildcard sertifikaları kullanın.
• Bulut hizmetleri kullanıyorsanız, SSL yenilemenin yük dengeleyici ve CDN ayarlarıyla uyumlu olduğundan emin olun.

Sonuç olarak, altyapınız karmaşıksa ve manuel yönetim için yeterli zamanınız yoksa, hosting sağlayıcılarının sunduğu sertifika yönetim hizmetlerinden yararlanabilirsiniz. ServerNet gibi birçok yerel sağlayıcı, yönetim panelinde otomatik SSL yenileme imkânı sunar ve bu sizi bu endişeden kurtarabilir. Ancak her durumda, SSL yenileme sürecini anlamak, acil durumlarda hızlı ve güvenli hareket etmenize yardımcı olur.