SSL sertifika süre sonu kontrol listesi

Yenilemenin kimde olduğunu bilin

Sertifikayı bir barındırma sağlayıcısının mı, CDN'in mi, yük dengeleyicinin mi, bir sertifika servisinin mi yoksa şirket içi bir platformun mu yönettiğini belgeleyin. Sorumlu kişi sertifikanın yaşam döngüsünü hangi sistemin tuttuğunu bilmiyorsa yenileme hatalarını çözmek zorlaşır.

Sertifikanın hangi ana makine adlarını kapsadığını da kaydedin. Kök domain için çalışan bir sertifika www adını ya da müşterilerin kullandığı başka bir ana makine adını kapsamayabilir.

HTTPS ve DNS'i birlikte kontrol edin

Bir sertifika bir yönetim panelinde geçerli görünebilir ama DNS yanlış uç noktayı gösteriyorsa ya da bir proxy trafiği hatalı yönlendiriyorsa ziyaretçilere ulaşmaz. Bir değişiklikten sonra herkese açık ana makine adını, HTTPS erişilebilirliğini ve varsa yönlendirme zincirini doğrulayın.

Mevcut CloudSpex SSL denetleyicisi sertifika doğrulamasını ve HTTPS erişilebilirliğini raporlar. Süre sonu tarihini ya da kalan gün sayısını göstermez. Süre sonu takvimi için sertifika sağlayıcınızı kullanın.

1. Sertifikanın sahibini ve yenileme yöntemini belirleyin.
2. Hangi herkese açık ana makine adlarının kapsandığını doğrulayın.
3. DNS'in hedeflenen herkese açık servise çözümlendiğini kontrol edin.
4. Yenilemeden ya da proxy değişikliklerinden sonra HTTPS'i doğrulayın.
5. Gelecekteki değişiklikler için bir izleme ve eskalasyon sorumlusu belirleyin.

Değişiklik pencerelerini planlayın

Yenileme yalnızca bir sertifika işi değildir. DNS doğrulaması, bir CDN ayarı, kaynak sunucuya bir dağıtım ya da bir proxy işin içine girebilir. Değişiklikleri, hemen kontrol edilebilecekleri bir zamana planlayın.

Kullanıcılar tarayıcı uyarısı bildiriyorsa ayarları değiştirmeden önce ana makine adını ve saati kaydedin. Böylece bir sertifika sorununu DNS ya da yönlendirme sorunundan ayırmak kolaylaşır.

Herkese açık bir kontrolün doğrulayamayacakları

Herkese açık bir kontrol, bir ana makine adı için o anda erişilebilen yanıtı değerlendirebilir. Yenileme takviminizi, şirket içi sertifika envanterinizi, özel anahtarın nasıl saklandığını ya da istemciye özgü her yolu doğrulayamaz.

Onu değişiklik sonrası bir sinyal olarak kullanın. Sertifika sahipliğinin ve yenileme yönetiminin yerini tutmaz.

Süre sonunu yönetmek neden eskisinden daha zor

Sertifika ömürleri giderek kısalıyor. Genel olarak güvenilen sertifikalar bir zamanlar birkaç yıl geçerliydi, sonra bu süre en çok 398 güne indi. Let's Encrypt sertifikaları doksan gün geçerlidir. Sertifika otoritelerinin kurallarını belirleyen sektör kuruluşu, azami süreyi kademeli olarak daha da düşüren ve 2029'da 47 güne indiren bir takvimi kabul etti.

Pratikteki anlamı şudur: Takvim hatırlatıcısıyla yenileme artık işe yaramaz. Birkaç haftada bir değiştirilmesi gereken bir sertifikanın otomasyonla yenilenmesi gerekir ve otomasyon sessizce bozulur. İş, yenilemeyi hatırlamaktan otomatik yenilemenin gerçekleşmediğini fark etmeye kaymıştır.

Önce envanteri çıkarın

Varlığından haberdar olmadığınız bir sertifikayı izleyemezsiniz. Süre sonu olaylarının çoğunda, kimsenin listesinde olmayan bir sunucu vardır.

1. Ana web sitesi, www ile ve www olmadan.
2. Kendi sertifikasını sunan alt domainler: shop, app, api, portal, status, docs.
3. E-posta sunucuları: MX kayıtlarındaki adlar ile IMAP ve SMTP gönderimi için kullanılan sunucular.
4. Domain bir MTA-STS politikası yayınlıyorsa mta-sts sunucusu.
5. Yönetim panelleri ve VPN ağ geçitleri gibi standart dışı portlardaki servisler.
6. Bir CDN'in, yük dengeleyicinin ya da barındırma platformunun sizin adınıza tuttuğu sertifikalar. CDN ile kaynak sunucunuz arasındaki sertifika da buna dahildir.

Sertifikayı dışarıdan okumak

Önemli olan tek sertifika, istemciye gerçekten sunulan sertifikadır. Onu sunucudaki bir dosyadan değil, ağ üzerinden okuyun. Üç alan soruların çoğunu yanıtlar: geçerlilik süresi, sertifikanın kapsadığı adların listesi ve sertifikayı veren otorite.

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -dates -subject -issuer -ext subjectAltName

notBefore=Sep  2 00:00:00 2026 GMT
notAfter=Dec  1 23:59:59 2026 GMT
subject=CN = example.com
X509v3 Subject Alternative Name:
    DNS:example.com, DNS:www.example.com

Süre sonu dışındaki sorunlar

Bir sertifika tarihleri bakımından rahatça geçerli olabilir ve yine de tarayıcı uyarısına yol açabilir. Bu hatalar aynı bağlantı üzerinden denetlenir ve birlikte izlenmeye değer.

1. Ad uyuşmazlığı: Ana makine adı sertifikanın ad listesinde yoktur. Bir alt domain eklendikten sonra ya da site paylaşılan bir varsayılan sanal sunucudan sunulduğunda sık görülür.
2. Eksik zincir: Sunucu kendi sertifikasını ara sertifika olmadan gönderir. Masaüstü tarayıcılar çoğu zaman durumu kurtarır. Mobil uygulamalar, API istemcileri ve e-posta sunucuları ise genellikle kurtaramaz.
3. Yanlış sertifikanın sunulması: Yenilenen sertifika sunucudadır ama sunucu yeniden yüklenmemiştir ya da yük dengeleyicinin arkasındaki düğümlerden biri atlanmıştır.
4. Güvenilmeyen sertifika veren: Herkese açık bir adda görünen, kendinden imzalı ya da şirket içi bir sertifika.
5. İptal edilmiş sertifika: Otorite sertifikayı geri çekmiştir, örneğin bir anahtarın ele geçirildiği bildirildikten sonra.

Otomatik yenileme nasıl bozulur

ACME istemcileri bir sertifikayı, domain üzerindeki kontrolü kanıtlayarak yeniler. Bunu ya HTTP üzerinden bir dosya sunarak ya da bir DNS kaydı oluşturarak yaparlar. Her iki kanıt da ilgisiz bir nedenle yapılan bir değişiklik yüzünden çalışmaz hale gelebilir.

Bir yönlendirme ya da güvenlik duvarı kuralı doğrulama yolunu engellemeye başlar. Domain farklı bir DNS sağlayıcısına taşınır ve istemcinin kullandığı API anahtarı artık geçerli olmaz. Sertifika otoritesini içermeyen bir CAA kaydı eklenir. Sunucu yeniden kurulur ve zamanlanmış görev yeni sunucuya taşınmaz. Art arda başarısız denemelerden sonra sertifika otoritesinin istek sınırına takılınır. Bu durumların hepsinde eski sertifika, süresinin dolduğu güne kadar çalışmaya devam eder. Bu yüzden hiçbir şey yanlış görünmez.

CAA kayıtları

Bir CAA kaydı, bir domain için hangi sertifika otoritelerinin sertifika verebileceğini listeler. Otoriteler sertifika vermeden önce bu kaydı kontrol etmek zorundadır. Yararlı bir denetimdir. Ancak bir ekip kaydı güncellemeden otorite değiştirdiğinde ya da farklı bir otorite kullanan bir barındırma platformuna geçtiğinde sık görülen bir yenileme hatası nedenidir.

example.com.  CAA  0 issue "letsencrypt.org"
example.com.  CAA  0 issue "digicert.com"
example.com.  CAA  0 iodef "mailto:security@example.com"

Harekete geçmeye zaman bırakan uyarı eşikleri

Doğru eşik, sertifikanın nasıl yenilendiğine bağlıdır. Süre sonundan otuz gün önce otomatik yenilenen bir sertifika için on dört gün kala gelen bir uyarı, yenilemenin zaten iki haftadır başarısız olduğu anlamına gelir. İstediğiniz sinyal de tam olarak budur. Elle yenilenen bir sertifika için daha erken başlayın.

1. Otuz gün: Elle yenilenen sertifikalar için bir bildirim. Satın alma ya da değişiklik talebi açmaya yetecek kadar erken gelir.
2. On dört gün: Her şey için bir uyarı. Otomatik yenileme bu noktaya kadar başarılı olmuş olmalıdır.
3. Yedi gün: Acil. Adı belli bir kişi atayın.
4. Üç gün ve bir gün: Olağan kanalın dışına eskale edin.
5. Süresi dolmuş: Bu bir uyarı değil, bir olaydır.

Uyarıyı kim alıyor

Bir uyarı ancak alıcısı kadar yararlıdır. Eski bir çalışanın adresine ya da kimsenin açmadığı ortak bir posta kutusuna gönderilen süre sonu uyarıları, kesintilerin tekrar eden bir nedenidir. Uyarıları izlenen bir ekip adresine ya da kanalına gönderin, her sunucu grubu için sorumlu bir kişi belirleyin ve her sertifikanın nasıl, hangi sistem tarafından yenilendiğini kaydedin. Böylece uyarıyı alan kişi ne yapacağını bilir.

Yenilemeden sonra

Yenileme, araç başarı bildirdiğinde değil, istemciler yeni sertifikayı gördüğünde tamamlanmış olur.

1. Sunulan sertifikayı dışarıdan okuyun ve yeni süre sonu tarihini doğrulayın.
2. Ad listesinin, sertifikayı kullanan her ana makine adını hâlâ içerdiğini doğrulayın.
3. Zincirin eksiksiz olduğunu doğrulayın.
4. Yalnızca ilk ulaştığınız düğümü değil, yük dengeleyicinin arkasındaki her düğümü kontrol edin.
5. Önde bir CDN varsa hem CDN'in sertifikasını hem de kaynak sunucudaki sertifikayı kontrol edin.

Sertifikanın süresi çoktan dolmuşsa

Önce yenileyin ya da yeniden düzenletin, sonra araştırın. Otomasyon başarısız oluyor ve hızla düzeltilemiyorsa hizmeti geri getirmek için sertifikayı elle alın. Kullanıcılara uyarıyı geçip devam etmelerini söylemeyin. Bu, onları önemli bir korumayı görmezden gelmeye alıştırır. Hizmet geri geldikten sonra yenilemenin neden başarısız olduğunu ve neden kimseye uyarı ulaşmadığını bulun. İkinci soru genellikle daha önemli olandır.

Web sitesi dışındaki sertifikalar

Web tarayıcıları sertifika hatasını hemen gösterir, bu yüzden web sitesi sertifikaları genellikle fark edilir. Diğer servisler daha az görünür biçimde bozulur. Sertifikasının süresi dolmuş bir e-posta sunucusu, sertifika doğrulamayan gönderenlerden e-posta almaya devam edebilir ve doğrulayanlardan gelen e-postayı kaybedebilir. enforce modundaki bir MTA-STS politikasına uyan her gönderen de bunlara dahildir. Sertifikasının süresi dolmuş bir API uç noktası, web sitesi sorunsuz görünürken entegrasyonları ve mobil uygulamaları bozar. Tek oturum açma ya da ödeme geri çağrısı için kullanılan bir sertifika, hiçbir sayfa hata göstermeden girişleri ya da siparişleri durdurabilir.

Bu sunuculara web sitesiyle aynı izlemeyi uygulayın ve her biri için hangi portun ve protokolün kontrol edileceğini not edin. E-posta sunucuları yaygın olarak 25 numaralı portta STARTTLS ile ve gönderim ile IMAP portlarında kontrol edilir. Her birindeki sertifika farklı olabilir.