Let's Encrypt artık sertifikanın süresi dolmadan önce e-posta göndermiyor

Ne değişti

Let's Encrypt, 2025'in başında süre sonu bildirim e-postalarını göndermeyi bırakacağını duyurdu ve hizmeti 4 Haziran 2025'te sonlandırdı. Gösterdiği gerekçeler şunlardı: abonelerin çoğu otomatik yeniliyor, milyonlarca e-posta adresini saklamak bir gizlilik maliyeti doğuruyor ve bildirimleri işletmek pahalıya geliyor.

Sertifikaların kendisinde hiçbir şey değişmedi. Hâlâ doksan gün geçerliler ve ACME istemcileri onları genellikle otuz gün kala yenilemeyi sürdürüyor.

Yenilemeler neden kimse fark etmeden başarısız olur

Otomatik yenileme, değişen şeylere bağlıdır. İki yıl boyunca çalışmış bir yenileme, sertifikalarla ilgisi olmayan bir nedenle durabilir.

1. Doğrulama için kullanılan DNS kaydı değiştirildi ya da domain farklı bir DNS sağlayıcısına taşındı.
2. Bir güvenlik duvarı ya da CDN kuralı artık HTTP doğrulama yolunu engelliyor.
3. Sunucu taşındı ve zamanlanmış yenileme görevi onunla birlikte taşınmadı.
4. DNS doğrulaması için kullanılan bir API belirtecinin süresi doldu ya da belirteç yenilendi.
5. Sertifika otoritesini yetkilendirmeyen bir CAA kaydı eklendi.
6. Sertifika doğru biçimde yenilendi ama web sunucusu hiç yeniden yüklenmedi, bu yüzden hâlâ eskisini sunuyor.

Denetimlerin kaçırdığı durum sonuncusudur

Başarılı yazan bir yenileme günlüğü kanıt değildir. Önemli olan, ziyaretçiye gerçekte sunulan sertifikadır. Tek güvenilir denetim siteye dışarıdan bağlanır ve el sıkışmadaki sertifikanın süre sonu tarihini okur.

Aynısı web sitesi dışındaki servisler için de geçerlidir: bir posta sunucusu, bir API ana makinesi ya da bir alt domain, her biri farklı süre sonuna sahip farklı bir sertifika sunabilir.

Süre sonunu kendiniz nasıl izlersiniz

Sunucunun dışından, belirli aralıklarla denetleyin ve harekete geçmeye yetecek kadar süre kala uyarı verin.

1. Alt domainler ve posta ana makineleri dahil, sertifika sunan her ana makine adını listeleyin.
2. Her birini en az günde bir kez dışarıdan denetleyin ve sunulan sertifikanın süre sonunu okuyun.
3. On dört günden az kaldığında uyarı verin. Otuz gün kala yenilemede bu, yenilemenin iki haftadır başarısız olduğu anlamına gelir.
4. Uyarıyı bir insanın okuduğu bir yere gönderin, eskiden Let's Encrypt bildirimlerini alan posta kutusuna değil.
5. Yalnızca tarihi değil, sertifikanın ana makine adını kapsadığını ve zincirin eksiksiz olduğunu da denetleyin.

Müşteri sitelerini yöneten ajanslar için

Müşteri siteleri genellikle ajansın denetiminde olmayan bir barındırma hizmetinde durur ve yenilemeyi çoktan ayrılmış biri kurmuştur. Süre sonu e-postası çoğu zaman ajansa ulaşan tek sinyaldi. Bütün müşteri domainlerini kapsayan dış izleme bu sinyalin yerini alır ve müşterinin bildirdiği bir kesintiyi, kesinti yaşanmadan düzeltilmiş bir yenilemeye dönüştürür.

E-posta eskiden sizin için ne yapıyordu

Bildirim, bir sertifikanın süresi dolmaya yaklaştığında ve yenilenmediğinde gelirdi. Sağlıklı bir sistemde hiç gelmezdi, çünkü yenileme daha önce gerçekleşirdi. Asıl işlevi, başarısız olan otomasyon için bir alarm olmaktı: çoğu kişinin sertifika kurulumundan aldığı tek ileti, bir şeylerin ters gittiğini söyleyen iletiydi.

Geride kalan boşluk budur. Sertifika düzenleme ya da yenileme konusunda hiçbir şey değişmedi. Ortadan kalkan şey, yenileme sessizce durduğunda bir insana ulaşan tek bağımsız sinyaldir.

Elinizde ne olduğunu öğrenin

İlk iş, sertifikaları ve her birinin nasıl yenilendiğini listelemektir. Certbot kullanan bir sunucuda istemci bunu kendisi bildirebilir. Deneme çalıştırması (dry run) ise hiçbir sertifika düzenlemeden, yenilemenin bugün başarılı olup olmayacağını gösterir.

certbot certificates
certbot renew --dry-run
systemctl list-timers | grep -i certbot

Dosyayı değil, sunulan sertifikayı okuyun

Web sunucusu bellekteki eski sertifikayla çalışmayı sürdürüyorsa, diskteki yenilenmiş sertifika bir işe yaramaz. Önemli olan denetim dışarıdan bağlanır ve TLS el sıkışmasındaki sertifikayı okur. Onun süre sonu tarihini diskteki dosyayla karşılaştırın. Farklıysa sunucu yenilemeden sonra yeniden yüklenmemiştir.

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -enddate

notAfter=Feb  8 11:42:05 2027 GMT

Yenilemenin sunucuyu yeniden yüklediğinden emin olun

En sık görülen sessiz hata, hiç yürürlüğe girmeyen başarılı bir yenilemedir. ACME istemcileri her başarılı yenilemeden sonra bir komut çalıştırabilir ve bu komut sertifikayı sunan her neyse onu yeniden yüklemelidir: web sunucusu, posta sunucusu, vekil sunucu.

Bunu yalnızca web sitesi için değil, sertifikayı kullanan her servis için denetleyin. Aynı dosyaları okuyan bir posta sunucusu ya da veritabanı dinleyicisi, yeniden başlatılana kadar eski sertifikayı kullanmayı sürdürür.

certbot renew --deploy-hook "systemctl reload nginx"

Daha kısa süreli sertifikalar geliyor

Let's Encrypt artık tümüyle otomatikleştirilmiş ortamlar için tasarlanmış, yaklaşık altı gün geçerli sertifikalar da sunuyor. Sektörün tamamı da önümüzdeki birkaç yıl içinde aşamalı olarak daha kısa geçerlilik sürelerine geçiyor. Kısa süreler, çalınan bir anahtarın verebileceği zararı azaltır ve iptalin önemini düşürür.

Aynı zamanda bir yenileme hatası ile kesinti arasındaki süreyi de daraltırlar. Altmışıncı günde yenilenen doksan günlük bir sertifikada, bozuk bir yenileme fark edilmesi için otuz gün bırakır. Daha kısa sertifikalarda bu pay günlerle ölçülür. Haftada bir denetleyen izleme artık yeterli değildir. Asgari sıklık günlüktür.

ACME Renewal Information

Bir değişiklik sizin lehinize işliyor. ACME Renewal Information adlı bir protokol uzantısı, istemcinin sabit bir gün sayısına göre karar vermesi yerine, sertifika otoritesinin istemciye ne zaman yenilemesi gerektiğini söylemesini sağlar. Otoritenin sertifikaları erken iptal etmesi gerekirse, uzantıyı destekleyen istemciler kimse müdahale etmeden iptalden önce yeniler.

Destek, istemciye ve sürümüne bağlıdır. ACME istemcisini güncel bir sürüme yükseltmek buna kavuşmanın en basit yoludur ve her durumda yapmaya değer: eski istemciler, otorite eski bir protokol özelliğini kullanımdan kaldırdıktan sonra yaşanan yenileme hatalarının yaygın bir nedenidir.

İkinci bir sinyal olarak sertifika şeffaflığı

Herkese açık olarak güvenilen her sertifika, herkesin arayabildiği sertifika şeffaflığı (certificate transparency) günlüklerine kaydedilir. Bu günlükler iki açıdan yararlıdır. Unuttuğunuz alt domainler için olanlar ve bir platformun sizin adınıza istedikleri dahil, domaininiz için düzenlenen her sertifikayı gösterirler. Ayrıca bir ad için son sertifikanın ne zaman düzenlendiğini gösterirler. Bu da yenilemenin hâlâ gerçekleşip gerçekleşmediğini söyler.

Kullanmadığınız bir otoriteden domaininiz için düzenlenmiş bir sertifika araştırmaya değer. Sizin adınıza hareket eden bir barındırma ya da CDN platformu olabilir, ya da bir adın denetiminin başka birinde olduğu anlamına gelebilir.

Alarmın yerine yenisini koymak

E-postanın yerini alacak çözümün üç özelliği vardır: dışarıdan çalışır, sık çalışır ve bir insana ulaşır.

1. Posta ana makineleri ve alt domainler dahil, sertifika sunan her ana makine adını listeleyin.
2. Her birini en az günde bir kez dışarıdan denetleyin ve kalan gün sayısını kaydedin.
3. On dört gün kala, ardından yedi, üç ve bir gün kala yeniden uyarı verin.
4. Uyarıları tek bir kişiye değil, bir ekip adresine ya da kanalına gönderin. Eskiden Let's Encrypt bildirimlerinin gittiği adrese de göndermeyin.
5. Uyarıya sertifikayı hangi sistemin yenilediğini ve sorumlusunun kim olduğunu ekleyin.
6. Bildirimi gerçekte kimin aldığına bakarak uyarı yolunu bir kez sınayın.

Bir barındırma platformuna güveniyorsanız

Birçok site hiç ACME istemcisi çalıştırmaz: barındırma şirketi, site oluşturucu ya da CDN sertifikaları arka planda düzenler ve yeniler. Platformun yenilemesi de aynı nedenlerle başarısız olabilir. En sık neden, bağlı olduğu bir DNS kaydının değiştirilmiş olmasıdır. Platformlar size her zaman haber vermez. Haber verecekleri adres de çoğu zaman hesabı yıllar önce oluşturan kişinin adresidir.

Dış izleme, yenilemeyi kim yaparsa yapsın aynıdır. Platforma erişim gerektirmez ve önemli olan tek şeyi bildirir: ziyaretçinin bugün aldığı sertifika ve kaç günü kaldığı. CloudSpex izlenen her ana makine ve önemli alt domainler için bu sertifikayı okur, süresi dolmadan önce uyarı verir. Sertifika yenilemez ve sunucunuz için kimlik bilgisi gerektirmez.

Bu hafta ne yapmalı

E-postalar kesildiğinden beri bu konuya bakmadıysanız, üç denetim riskin çoğunu karşılar ve bir saatten az sürer.

1. ACME istemcisi kullanan her sunucuda bir yenileme deneme çalıştırması yapın ve bildirdiği her şeyi düzeltin.
2. Her ana makine adında sunulan sertifikayı dışarıdan okuyun ve kalan gün sayısını not edin. Otomatikleştirilmiş bir kurulumda otuz günün altındaki her değer, yenilemenin zaten başarısız olduğu anlamına gelir.
3. Paylaşılan bir adrese uyarı gönderen bir dış süre sonu denetimi kurun ve uyarıları kimin aldığını doğrulayın.