SSL Kurulumları: Sertifika Yükleme, CSR Oluşturma ve HTTPS Yönlendirme Rehberi

SSL sertifikası kurulumu, günümüzde bir web sitesinin güvenilir kabul edilmesi için atılması gereken ilk adımlardan biridir. Tarayıcının adres çubuğunda görünen kilit simgesi, ziyaretçilere iletişimin şifreli olduğunu bildirir; arama motorları da HTTPS kullanan siteleri sıralamada avantajlı konuma taşır. Buna karşın kurulum süreci, tek bir dosyanın sunucuya kopyalanmasından çok daha fazlasını kapsar. Özel anahtarın üretilmesi, sertifika imzalama talebinin hazırlanması, ara sertifikaların zincire eklenmesi ve tüm trafiğin güvenli protokole yönlendirilmesi birbirini tamamlayan işlemlerdir. Bu adımlardan herhangi birinin eksik kalması, tarayıcı uyarılarına ya da fark edilmesi güç şifreleme hatalarına yol açabilir.

Kuruluma başlamadan önce hangi alan adlarının korunacağı netleştirilmelidir. Tek bir alan adı için standart bir sertifika yeterliyken, hem kök alan adını hem de alt alan adlarını kapsayan ihtiyaçlar için farklı seçenekler değerlendirilir. Doğru sertifika türünün baştan seçilmesi, ilerleyen aşamalarda yeniden kurulum yapma zorunluluğunu ortadan kaldırır ve yönetim maliyetini düşürür.

Sertifika Türünü ve Doğrulama Seviyesini Belirleme

Sertifikalar, sağladıkları güvence düzeyine göre temel olarak üç grupta toplanır. Alan adı doğrulamasına dayanan sertifikalar yalnızca alan adının kontrol edildiğini kanıtlar ve dakikalar içinde düzenlenebilir. Kuruluş doğrulaması içeren sertifikalar, başvuran şirketin resmi kayıtlarla teyit edilmesini gerektirir; bu nedenle belge inceleme süreci birkaç gün sürebilir. Genişletilmiş doğrulama seviyesindeki sertifikalar ise en sıkı kontrol sürecinden geçer ve tarayıcıda kuruluş adının görünmesini sağlar.

Ayrıca kapsam açısından tek alan adı, çoklu alan adı ve joker karakterli sertifika seçenekleri bulunur. Joker karakterli bir sertifika, tek bir alt alan adı seviyesindeki tüm adları kapsar; örneğin bir ana alan adının altındaki sayısız alt alan adı tek sertifikayla korunabilir. Kurumsal yapılar genellikle birden fazla alan adını yönettiği için, kapsam planlaması sertifika sayısını ve yenileme takvimini doğrudan etkiler.

CSR (Sertifika İmzalama Talebi) Oluşturma

Sertifika imzalama talebi, sunucuda üretilen özel anahtara karşılık gelen açık anahtarı ve kuruluş bilgilerini içeren bir metin bloğudur. Sertifika otoritesi, bu talep doğrultusunda imzalı sertifikayı üretir. Talebin doğru hazırlanması kritik önemdedir; çünkü ortak ad alanında yapılan bir yazım hatası, sertifikanın geçersiz sayılmasına neden olur ve süreç baştan başlatılmak zorunda kalır.

OpenSSL ile Komut Satırında CSR Üretimi

Linux tabanlı sunucularda en yaygın yöntem OpenSSL aracıdır. Önce özel anahtar üretilir, ardından bu anahtar kullanılarak talep dosyası oluşturulur. Talep oluşturulurken ülke, il, kuruluş adı, birim ve ortak ad gibi alanlar istenir. Ortak ad alanına sertifikanın koruyacağı tam alan adı yazılmalıdır. Üretim sırasında istenen parola, özel anahtarın yetkisiz kişilerin eline geçmesi durumunda ek bir koruma katmanı sağlar. İşlem sonunda oluşan talep dosyasının içeriği, sertifika otoritesinin başvuru formuna eksiksiz aktarılır.

Windows IIS Ortamında CSR Üretimi

Windows sunucularda talep oluşturma işlemi, IIS yöneticisi üzerindeki sunucu sertifikaları bölümünden yürütülür. Yeni bir sertifika talebi başlatıldığında ortak ad, kuruluş bilgileri ve şifreleme sağlayıcısı seçilir. Bit uzunluğunun en az iki bin kırk sekiz olarak belirlenmesi, güncel güvenlik beklentilerini karşılamak açısından önemlidir. Talep tamamlandığında kaydedilen dosya sertifika otoritesine iletilir.

cPanel ve Plesk Gibi Panellerde CSR Üretimi

Paylaşımlı hosting ve yönetim panellerinde talep oluşturma işlemi, ilgili SSL bölümündeki adım adım formlar üzerinden yapılır. Panel, özel anahtarı kendisi üretir ve talebi görüntüler. Bu yaklaşım teknik bilgi gerektirmez; ancak üretilen özel anahtarın panelden dışa aktarılarak güvenli biçimde saklanması ihmal edilmemelidir.

Özel Anahtarın Korunması

Özel anahtar, sertifikanın güvenliğinin temelini oluşturur. Bu dosyanın kaybedilmesi durumunda sertifika kullanılamaz hale gelir; ele geçirilmesi durumunda ise saldırganlar trafiği taklit edebilir. Bu nedenle anahtar dosyaları yalnızca sunucu yöneticisinin erişebildiği dizinlerde tutulmalı, dosya izinleri mümkün olan en dar kapsamda ayarlanmalıdır. Sürüm kontrol sistemlerine, yedekleme arşivlerine veya paylaşılan belge klasörlerine anahtar dosyası eklenmemelidir. Kurumsal ortamlarda donanım güvenlik modülleri veya anahtar yönetim servisleri, özel anahtarların merkezi ve denetlenebilir biçimde saklanmasını sağlar.

Sertifikanın Sunucuya Yüklenmesi

Sertifika otoritesinden dönen dosyalar genellikle sunucu sertifikası ve ara sertifikalar olarak ayrı ayrı gelir. Yükleme işlemi, kullanılan web sunucusuna göre farklılık gösterir; ancak ortak mantık aynıdır: sunucu sertifikası, özel anahtar ve sertifika zinciri doğru sırayla yapılandırmaya tanıtılır.

Apache Sunucusunda Yapılandırma

Apache ortamında sanal sunucu tanımına sertifika dosyası, özel anahtar dosyası ve zincir dosyası için ayrı yönergeler eklenir. Zincir dosyasının ara sertifikaları doğru sırayla içermesi gerekir. Yapılandırma tamamlandıktan sonra ayarların sözdizimi kontrol edilir ve servis yeniden başlatılır. Böylece yeni sertifika devreye girer.

Nginx Sunucusunda Yapılandırma

Nginx tarafında ilgili sunucu bloğunda sertifika ve anahtar yolları belirtilir. Zincirleme yapılırken sunucu sertifikası en üstte, ara sertifikalar altta olacak şekilde tek bir dosyada birleştirilebilir. Dinleme yönergesine güvenli protokol eklendiğinde, sunucu hem şifreli hem de şifresiz bağlantıları kabul edecek şekilde çalışır. Yapılandırma testi sonrası servisin yeniden yüklenmesi yeterlidir.

IIS Sunucusunda Yapılandırma

IIS üzerinde, tamamlanan sertifika talebi içe aktarılır ve ilgili siteye bağlanır. Bağlama işlemi sırasında güvenli yuva katmanı için doğru sertifika seçilmeli, ana bilgisayar adı eşleşmesi kontrol edilmelidir. Ara sertifikaların sunucu deposuna eklenmesi, istemcilerin zinciri doğrulayabilmesi için gereklidir.

Sertifika Zinciri ve Ara Sertifikalar

Tarayıcılar, bir sertifikanın geçerliliğini kontrol ederken güvenilir kök otoriteye kadar uzanan bir zincir arar. Ara sertifikalar eksik yüklendiğinde, sunucu tarafında herhangi bir hata görünmese bile ziyaretçiler uyarı ekranıyla karşılaşabilir. Bu sorun özellikle mobil cihazlarda ve bazı masaüstü tarayıcılarda kendini gösterir. Bu nedenle zincir dosyasının eksiksiz olduğu, kurulum sonrası çevrimiçi doğrulama araçlarıyla teyit edilmelidir.

HTTPS Yönlendirmesinin Yapılandırılması

Sertifika kurulduktan sonra şifresiz bağlantıların da güvenli protokole taşınması gerekir. Aksi halde kullanıcılar eski bağlantılarla siteye eriştiğinde trafik şifresiz kalır. Sunucu düzeyinde kalıcı yönlendirme kuralları tanımlanarak tüm istekler güvenli adrese aktarılır. Yönlendirmenin kalıcı türde yapılması, arama motorlarının yeni adresi kalıcı olarak benimsemesini sağlar.

Yönlendirme kuralları tanımlanırken sonsuz döngü oluşmamasına dikkat edilmelidir. Yük dengeleyici veya ters vekil sunucu arkasında çalışan sistemlerde, yönlendirme koşullarının iletilen protokol başlığına göre kurgulanması gerekir. Aksi halde sunucu kendisine sürekli yönlendirme yaparak siteyi erişilemez hale getirebilir. Kurumsal mimarilerde bu tür kuralların test ortamında doğrulanması, canlıya geçişte kesinti riskini azaltır.

Karma İçerik Sorunlarının Giderilmesi

Sayfa güvenli protokolle sunulsa bile, içinde şifresiz kaynaklardan yüklenen görsel, betik veya stil dosyaları varsa tarayıcı bu içerikleri engeller ve kilit simgesi görünmez. Bu duruma karma içerik denir. Sorunun çözümü için tüm kaynak adreslerinin güvenli protokole çevrilmesi gerekir. Şablon dosyalarında, veritabanı kayıtlarında ve harici entegrasyonlarda kalan eski adreslerin taranması, kalıcı bir çözüm için gereklidir. Geliştirme ortamlarında içerik güvenlik politikası başlıkları eklenerek gelecekte oluşabilecek karma içerik yüklemeleri otomatik olarak raporlanabilir.

Kurulum Sonrası Doğrulama

Kurulumun ardından yapılması gereken kontroller belirli bir sıraya oturtulmalıdır. Öncelikle sertifikanın alan adıyla eşleştiği, geçerlilik tarihlerinin doğru olduğu ve zincirin eksiksiz yüklendiği teyit edilir. Ardından farklı tarayıcılar ve işletim sistemleri üzerinden test yapılır. Şifreleme algoritmalarının ve protokol sürümlerinin güncel standartlara uygunluğu denetlenir; eski ve zayıf protokoller devre dışı bırakılır. Son olarak yönlendirmenin tüm sayfalarda çalıştığı, parametreli ve sorgu içeren adreslerin de güvenli protokole taşındığı doğrulanır.

Otomatik Yenileme ve İzleme

Sertifikaların geçerlilik süresi dolduğunda site erişilemez hale gelir; bu nedenle yenileme takvimi iş sürekliliğinin parçası olarak görülmelidir. Geçerlilik süreleri kısaldıkça manuel takip sürdürülebilir olmaktan çıkar. Alan adı doğrulamalı sertifikalar için otomatik yenileme mekanizmaları kurulabilir; yenileme betikleri yeni dosyaları indirip sunucu yapılandırmasını günceller ve servisi yeniden yükler. Kuruluş doğrulamalı sertifikalarda ise yenileme sürecinin belge kontrolü gerektirebileceği unutulmamalı ve hatırlatmalar önceden planlanmalıdır.

İzleme tarafında, sertifikanın bitiş tarihini düzenli aralıklarla kontrol eden uyarı sistemleri kurulmalıdır. Bu kontroller yalnızca ana alan adını değil, tüm alt alan adlarını ve yardımcı servisleri kapsamalıdır. Yük dengeleyici, içerik dağıtım ağı ve uygulama sunucuları gibi farklı katmanlarda sonlandırılan bağlantılar için ayrı envanter tutulması, gözden kaçan sertifikaların oluşmasını engeller. Böylece kurulum yalnızca bir kerelik bir işlem olmaktan çıkar ve yönetilebilir bir süreklilik kazanır.