Bir SSL sertifikasını kontrol etme

NetCheck tam olarak neyi okur

Kontrolü başlattığınızda NetCheck, bir tarayıcının yapacağı gibi siteyle şifreli bir bağlantı açar ve sunucunun sunduğu sertifikayı alır. Arada bir veritabanı yoktur: o anda gerçekten sunulan sertifikadır.

Bir sertifika ne kadar geçerlidir?

Sertifika otoritelerini ve tarayıcı üreticilerini bir araya getiren CA/Browser Forum'un kuralları bu süreyi adım adım kısaltıyor. Mart 2026'dan beri herkese açık bir sertifika en fazla 200 gün geçerli olabilir. Bu sınır Mart 2027'de 100 güne, Mart 2029'da 47 güne inecek. Let's Encrypt sertifikaları zaten 90 gün sürüyor.

Pratikte elle yenileme sürdürülemez hâle geliyor. Barındırma hizmetiniz ya da sunucunuz otomatik yenilemiyorsa (ACME protokolüyle, örneğin Certbot ile), bunu otomatikleştirmenin tam zamanı. Otomasyon başarısız olursa müdahale edebilmek için, süre dolmadan iki üç hafta önce yenilemeyi hedefleyin.

En sık görülen hatalar

• Süresi dolmuş sertifika: otomatik yenileme sessizce başarısız olmuştur, çoğu zaman bir DNS kaydı değiştiği ya da bir güvenlik duvarı doğrulamayı engellediği için.
• Kapsanmayan ad: sertifika ornek.com.tr adresini kapsar ama www.ornek.com.tr adresini kapsamaz, ya da tersi. „Ayrıca kapsar” satırına bakın: iki biçim de orada olmalı.
• Eksik zincir: sunucu sitenin sertifikasını gönderir ama otoritenin ara sertifikasını unutur. Bazı tarayıcılar onu kendileri bulur, bazıları bulamaz; bu yüzden hata yalnızca bazı cihazlarda görülür. Sunucuyu „fullchain” dosyasıyla yapılandırın.
• Kendinden imzalı sertifika: iç ağda kabul edilebilir, herkese açık bir sitede asla.
• Karma içerik: sertifika sorunsuzdur, ama sayfa görselleri ya da betikleri http:// üzerinden yükler. Tarayıcı bu durumda üstü çizili bir kilit gösterir. Bu bir sertifika sorunu değildir: sayfadaki adresleri düzeltmek gerekir.

DV, OV, EV: para ödemek gerekir mi?

Alan adı doğrulamalı (DV) bir sertifika, yalnızca başvuranın alan adını kontrol ettiğini kanıtlar. Let's Encrypt'in ücretsiz verdiği sertifika budur ve ücretli sertifikalarla tamamen aynı şifrelemeyi kullanır. OV ve EV sertifikaları şirketin kimliğini de doğrular, ancak tarayıcılar yıllardır bu farkı adres çubuğunda göstermiyor. Sitelerin büyük çoğunluğu için ücretsiz ve düzgün yenilenen bir DV sertifikası yeterlidir.

„Wildcard” sertifikalar

*.ornek.com.tr sertifikası, blog.ornek.com.tr ya da magaza.ornek.com.tr gibi tek seviyedeki tüm alt alan adlarını kapsar; ama ne ornek.com.tr adresini ne de a.b.ornek.com.tr adresini kapsar. Çok sayıda alt alan adı olduğunda yönetimi kolaylaştırır, ancak özel anahtarı sızarsa risk daha büyüktür.

Bilinmesi gereken bir sınır

Sertifikayı okumak için NetCheck bağlantıyı TLS 1.2 ile kurar; bu sürümde sertifika ilk el sıkışma sırasında şifrelenmeden iletilir. Sunucuların neredeyse tamamı bu sürümü hâlâ kabul eder. Yalnızca TLS 1.3 kullanacak şekilde yapılandırılmış bir sunucu açık bir mesaj döndürür: site çalışıyordur, ama araç sertifikasını okuyamaz.

Sık sorulan sorular

Sertifikam geçerli ama tarayıcı uyarı veriyor: neden?

Çoğu zaman: kapsanmayan bir ad (www ile ya da www olmadan), eksik bir zincir ya da http üzerinden yüklenen karma içerik. Cihazın saatini de kontrol edin: birkaç gün kaymış bir saat, tarayıcının geçerli bir sertifikayı süresi dolmuş ya da henüz etkin değil sanmasına yol açar.

Süre dolmadan kaç gün önce harekete geçmeli?

Otomatik yenilemede yapacak bir şey yok: tarihin düzenli olarak ilerlediğini kontrol etmeniz yeterli. Otomasyon yoksa iki üç hafta önceden yenileyin. Bir haftanın altında ise acil durum sayın.

Ücretsiz bir sertifika daha mı az güvenli?

Hayır. Şifreleme aynıdır. Ücretli bir sertifikayı ayıran şey kimlik doğrulama, destek ve bazen bir mali güvencedir; bağlantının güvenliği değil.

Kilit simgesi bir sitenin dürüst olduğunu mu gösterir?

Hayır. Yalnızca bağlantının şifreli olduğunu ve sertifikanın alan adıyla eşleştiğini gösterir. Bir oltalama sitesinin geçerli bir sertifikası pekâlâ olabilir. Kilide değil, alan adına bakın.