SSL Sertifikası
Herhangi bir sunucu için TLS sertifikası geçerliliğini, son kullanma tarihini, vereni, SAN'ları ve zincir derinliğini inceleyin.
SSL Sertifikası Hakkında
Bir alan adının TLS sertifikasını — geçerlilik tarihleri, veren kuruluş, konu ve köke kadar tam sertifika zincirini — tarayıcı açıp sertifika görüntüleyicisinde aramaya gerek kalmadan tek sorguda kontrol eder. Sertifika süresinin dolması, üretimdeki en yaygın kendinden kaynaklı kesintilerden biridir. Uç sertifika kendisi sorunsuz görünse bile "geçersiz sertifika" hatasının gerçek nedeni genellikle zincir sorunlarıdır — eksik bir ara sertifika, onu önbelleğe alan tarayıcılarda geçerken almayanlarda başarısız olur.
*.example.com gibi bir joker (wildcard) sertifika yalnızca tek bir alt alan adı seviyesini kapsar — sub.another.example.com gibi ikinci seviye bir alt alan adını kapsamaz; bu yaygın yanlış varsayım beklenmedik bir sertifika uyuşmazlığına yol açar.
İlgili Araçlar
Neleri kontrol etmeli
- Kalan gün. Araç 14 günün altında uyarır. Yenileme bundan çok önce otomatik olarak yapılmalıdır.
- SAN listesi. Tarayıcılar Common Name'e değil, yalnızca Konu Alternatif Adlarına (SAN) bakar. Sunduğunuz her host adı, çıplak alan adı ve
wwwdahil, listede olmalı veya bir wildcard ile kapsanmalıdır. - Sağlayıcı ve zincir derinliği. Genel bir sertifika normalde son kullanıcı sertifikası → ara sertifika → kök şeklinde zincirlenir.
Yaygın hatalar ve nedenleri
| Hata | Olağan neden |
|---|---|
| Sertifikanın süresi dolmuş | Otomatik yenileme başarısız olmuş. Zamanlayıcıyı kontrol edin (systemctl list-timers | grep certbot) ve certbot renew --dry-run çalıştırın. |
| Ad uyuşmazlığı | Host adı SAN listesinde yok veya wildcard'ın kapsadığından bir seviye daha derinde. |
| Unable to get local issuer certificate | Sunucu son kullanıcı sertifikasını ara sertifika olmadan gönderiyor. nginx'te ssl_certificate yönergesini cert.pem yerine fullchain.pem dosyasına yönlendirin. |
| Tarayıcıda çalışıyor, curl veya uygulamalarda çalışmıyor | Neredeyse her zaman aynı eksik ara sertifika: tarayıcılar onu çoğu zaman önbelleğe alır veya kendisi indirir, diğer istemciler indirmez. |
Sertifika ömürleri kısalıyor
CA/Browser Forum, genel TLS sertifikalarının azami geçerlilik süresini adım adım kısaltıyor: Mart 2026'dan itibaren 200 gün, Mart 2027'den itibaren 100 gün ve Mart 2029'dan itibaren 47 gün. Elle yenileme pratik olmaktan çıkacak; bu yüzden yenilemeyi şimdiden otomatikleştirin (certbot veya acme.sh gibi ACME istemcileri).
Kendi bilgisayarınızdan kontrol
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer -ext subjectAltName
Desteklenen protokol sürümleri ve şifreler için TLS tarayıcısını kullanın.