SSL Türleri: DV, OV ve EV Sertifika Türleri

Bir web sitesinin güvenilirliği büyük ölçüde kullandığı SSL/TLS sertifikasının türüne bağlıdır. Ziyaretçinin tarayıcısı ile sunucu arasındaki trafiği şifreleyen bu sertifikalar, aynı zamanda sitenin arkasındaki gerçek dünyadaki kimliğin ne ölçüde doğrulandığını da ortaya koyar. Bu nedenle sertifikaları yalnızca fiyat ya da şifreleme algoritması üzerinden karşılaştırmak yanıltıcıdır; asıl ayrım, sertifika otoritesinin başvuru sahibi hakkında hangi düzeyde inceleme yaptığıyla ilgilidir.

Sektörde kabul gören sınıflandırma üç başlık altında toplanır: Domain Doğrulamalı (DV), Kuruluş Doğrulamalı (OV) ve Genişletilmiş Doğrulamalı (EV). Her üç tür de aynı şifreleme altyapısını kullanır ve tarayıcı ile sunucu arasındaki veriyi benzer biçimde korur. Fark, sertifikayı talep eden tarafın kimliğinin ne kadar derinlemesine kontrol edildiğinde ve bu kontrolün sonucunda sertifika içinde hangi bilgilerin yer aldığında belirginleşir.

Aşağıda üç doğrulama seviyesinin işleyişini, hangi senaryolarda hangisinin daha uygun olduğunu ve kurumsal karar süreçlerinde dikkate alınması gereken ölçütleri ele alıyoruz.

Doğrulama Düzeyi Neden Belirleyicidir?

Sertifika otoriteleri çalışmalarını büyük ölçüde CA/Browser Forum tarafından belirlenen ortak standartlara göre yürütür. Bu standartlar, hangi doğrulama seviyesinde hangi belgelerin ve kontrollerin zorunlu olduğunu ayrıntılı biçimde tanımlar. DV sertifikası için alan adı üzerindeki kontrolün kanıtlanması yeterliyken, OV seviyesinde başvuru sahibi kuruluşun yasal varlığının ve adres bilgilerinin resmi kayıtlardan doğrulanması gerekir. EV seviyesinde ise bunlara ek olarak daha kapsamlı kimlik, yetki ve operasyonel kontroller devreye girer.

Bu fark yalnızca bürokratik bir ayrıntı değildir. Doğrulama düzeyi arttıkça, sahte bir kuruluşun güvenilir bir marka gibi görünerek kullanıcıyı yanıltma olasılığı azalır. Kimlik avı ve marka taklidi saldırılarında saldırganlar genellikle hızlı ve kolay edinilebilen sertifikaları tercih eder. Kurumsal alıcılar için sertifika seçimi bu nedenle hem teknik hem de itibar yönetimiyle ilgili bir karardır. Bazı sektörel düzenlemeler ve denetim çerçeveleri de işlem güvenliği veya kişisel veri aktarımı söz konusu olduğunda doğrulanmış kurumsal kimlik taşıyan sertifikaları dolaylı olarak teşvik eder.

Domain Doğrulamalı (DV) Sertifikalar

DV sertifikaları, doğrulama zincirinin en hızlı ve en az belge gerektiren halkasını oluşturur. Sertifika otoritesi bu seviyede yalnızca başvuru sahibinin ilgili alan adı üzerinde teknik kontrol yetkisi bulunduğunu tespit etmeye odaklanır. Kuruluşun ticari varlığı, faaliyet adresi veya sektörü araştırılmaz.

Doğrulama Süreci Nasıl İşler?

Alan adı kontrolü birkaç yöntemle yapılabilir. Yaygın yaklaşımlardan biri, alan adının DNS kayıtlarına sertifika otoritesinin verdiği özel bir doğrulama değerinin eklenmesidir. Alternatif olarak sunucuda belirtilen yola geçici bir doğrulama dosyası yüklenebilir veya alan adıyla ilişkili belirli e-posta adreslerine gönderilen bağlantının onaylanması istenebilir. Bu yöntemler otomasyona uygun olduğu için doğrulama genellikle dakikalar içinde tamamlanır ve sertifika neredeyse anında düzenlenebilir.

Hangi Durumlarda Tercih Edilir?

DV sertifikaları, kurumsal kimliğin ön planda olmadığı ve hızın belirleyici olduğu yapılandırmalarda mantıklı bir seçimdir. Kişisel bloglar, geliştirme ve test ortamları, dahili servisler, API uç noktaları, geçici kampanya sayfaları ve çok sayıda alt alan adının merkezi olarak yönetildiği DevOps akışları bunlara örnek gösterilebilir. Bu tür senaryolarda amaç, trafiğin şifrelenmesi ve tarayıcının güvenlik uyarısı vermemesidir; kurumsal kimlik kanıtı ikincil kalır.

Beraberinde Getirdiği Sınırlamalar

DV sertifikasında kuruluş adı yer almaz. Ziyaretçi sertifika ayrıntılarını incelediğinde yalnızca alan adını görür; sertifikayı kimin aldığına dair bir bilgiye ulaşamaz. Bu durum, güvenin kritik olduğu finans, sağlık veya e-ticaret senaryolarında yetersiz kalabilir. Ayrıca denetim süreçlerinde doğrulanmış kurumsal kimlik kanıtı isteyen gereksinimler DV ile karşılanmaz. Marka taklidi açısından bakıldığında, DV sertifikaları saldırganlar için de kolay erişilebilir bir araç olduğundan, kurumsal alan adlarının izlenmesi ayrı bir güvenlik başlığı olarak öne çıkar.

Kuruluş Doğrulamalı (OV) Sertifikalar

OV sertifikaları, alan adı kontrolünün yanına kuruluş kimliğinin doğrulanmasını ekler. Bu seviye, kurumsal kullanım için dengeli bir çözüm olarak değerlendirilir; hem teknik doğrulama hem de tüzel kişilik teyidi tek sertifikada birleşir.

Kurumsal Kimlik Doğrulaması Nasıl Yapılır?

Sertifika otoritesi bu seviyede şirketin resmi kayıtlardaki adını, ticaret sicil bilgilerini, vergi numarasını ve kayıtlı adresini kontrol eder. Bağımsız bir kaynaktan telefonla teyit alınabilir; başvuruyu yapan kişinin şirket adına işlem yapmaya yetkili olduğu doğrulanır. Bu kontroller manuel adımlar içerdiği için süreç genellikle birkaç iş günü sürer. Elde edilen kuruluş bilgileri sertifika içine işlenir.

Kurumsal Kullanımda Sağladığı Avantajlar

OV sertifikasında kuruluş adı görünür olduğundan, kullanıcılar ve iş ortakları sitenin hangi tüzel kişiliğe ait olduğunu doğrulayabilir. Bu, müşteri güvenini pekiştiren somut bir sinyaldir. Kurumsal e-posta sistemleri, intranet uygulamaları, iş ortakları arası entegrasyonlar ve ödeme adımları içeren ticari siteler OV için tipik kullanım alanlarıdır. Denetim ve uyumluluk çalışmalarında ise doğrulanmış kuruluş kimliği, teknik kontrollerin belgelendirilmesini kolaylaştırır ve denetçilere sunulabilecek bir kanıt oluşturur.

Genişletilmiş Doğrulamalı (EV) Sertifikalar

EV sertifikaları, üç seviye arasında en sıkı doğrulama prosedürlerini temsil eder. Amaç, sertifikayı alan tarafın yalnızca alan adına sahip olmadığını, aynı zamanda gerçekten faaliyet gösteren ve kimliği tartışmasız bir kuruluş olduğunu ortaya koymaktır.

En Kapsamlı Doğrulama Kriterleri

Bu seviyede şirketin yasal varlığı, fiili faaliyet yeri ve operasyonel mevcudiyeti ayrı ayrı teyit edilir. Fiziksel adresin ve telefon hattının bağımsız kaynaklardan doğrulanması, sertifikayı talep eden kişinin imza yetkisinin belgelenmesi ve alan adı sahipliğinin gösterilmesi tipik adımlardır. Doğrulama süreci birden fazla katman içerdiği için tamamlanması daha uzun sürebilir ve daha fazla belge gerektirebilir.

Tarayıcı Arayüzündeki Değişim ve Algı

Geçmişte EV sertifikaları, tarayıcı adres çubuğunda yeşil renkli bir gösterge ve kuruluş adıyla ayırt edilirdi. Tarayıcı üreticileri bu görsel ayrımı zaman içinde kaldırdı; artık tüm geçerli sertifikalar benzer bir kilit simgesiyle gösteriliyor. Buna karşın EV sertifikaları, sertifika ayrıntılarında kuruluş bilgisini sunmaya devam ediyor ve en yüksek güven sinyali olarak kabul ediliyor. Bankacılık, sigorta, sağlık ve kamu hizmetleri gibi düzenlemeye tabi alanlarda EV tercihi yaygınlığını koruyor.

Kapsam Odaklı Sınıflandırmalar

Doğrulama seviyesinden bağımsız olarak sertifikalar, korudukları alan adı sayısına göre de ayrılır. Bu ayrım, sertifikanın hangi adreslerde geçerli olacağını belirler ve mimari kararları doğrudan etkiler.

• Tek alan adı sertifikaları: Yalnızca belirtilen tek bir adres için geçerlidir; en basit ve en kolay yönetilen seçenektir.
• Wildcard sertifikalar: Belirli bir alan adının tüm alt alan adlarını tek sertifikayla kapsar; çok sayıda alt alan adı barındıran yapılarda maliyet ve yönetim yükünü azaltır.
• Çok alan adlı (SAN) sertifikalar: Tek sertifika içinde birbirinden farklı birden fazla alan adının listelenmesine olanak tanır; farklı markaları veya servisleri tek çatı altında toplayan kuruluşlar için pratiktir.
• Birleşik iletişim sertifikaları: Kurumsal posta sunucularında sık karşılaşılan çoklu ad ve alan adı kombinasyonlarını kapsayacak şekilde yapılandırılır.

DV, OV ve EV Arasında Karşılaştırma

• Doğrulanan unsur: DV yalnızca alan adı kontrolünü, OV alan adı ile birlikte kuruluş kimliğini, EV ise bunlara ek olarak kapsamlı operasyonel ve yetki kontrollerini içerir.
• Sertifika içeriği: DV sertifikasında kuruluş bilgisi yoktur; OV ve EV sertifikalarında kuruluş adı görünür.
• Edinme süresi: DV dakikalar içinde tamamlanabilirken OV ve EV süreçleri belge teminine ve teyit adımlarına bağlı olarak birkaç iş günü sürebilir.
• Şifreleme gücü: Her üç tür de aynı şifreleme standartlarını kullanır; koruma düzeyi açısından aralarında teknik bir fark yoktur.
• Tipik kullanım: DV kişisel ve teknik ortamlarda, OV kurumsal web sitelerinde, EV ise yüksek güven ve uyumluluk gerektiren sektörlerde öne çıkar.

Kurumsal Sertifika Seçiminde Ölçütler

1. Ziyaretçi beklentisi: Kullanıcıların siteye giriş yapmadan önce kuruluş kimliğini görmek isteyip istemediği belirleyicidir.
2. Uyumluluk gereksinimleri: Sektörel düzenlemeler ve denetim çerçeveleri, doğrulanmış kurumsal kimlik şartı getirebilir.
3. Alan adı mimarisi: Alt alan adı sayısı ve farklı markaların varlığı, wildcard veya çok alan adlı sertifika ihtiyacını doğurur.
4. Operasyonel kapasite: Sertifikaların yenilenmesi, izlenmesi ve son kullanma tarihlerinin takibi için ayrılan kaynak, otomasyon ihtiyacını belirler.
5. Bütçe ve risk dengesi: Sertifika maliyeti ile marka taklidi veya güven kaybı riski birlikte değerlendirilmelidir.

Sertifika Yaşam Döngüsü ve Yeniden Doğrulama

Sertifikalar kalıcı değildir; her birinin sınırlı bir geçerlilik süresi vardır ve bu süreler sektör kararlarıyla kademeli olarak kısalmaktadır. Süre dolduğunda tarayıcılar sertifikayı geçersiz sayar ve kullanıcıya güvenlik uyarısı gösterir. Bu nedenle yenileme takvimi, kesintiye yol açmayacak şekilde planlanmalıdır.

OV ve EV sertifikalarında yalnızca süre uzatımı yeterli olmayabilir; kuruluş bilgilerinin güncelliğini koruduğu düzenli aralıklarla yeniden teyit edilir. Adres değişikliği, unvan güncellemesi veya yetkili kişi değişimi gibi durumlar sertifika içeriğini etkiler. Bu süreçleri kolaylaştırmak için sertifika yaşam döngüsü yönetimi otomasyona bağlanabilir; ancak otomasyonun kimlik doğrulamasının yerini almadığı, yalnızca teknik adımları hızlandırdığı unutulmamalıdır. Kuruluşların envanterlerinde hangi alan adında hangi sertifika türünün ve hangi bitiş tarihinin bulunduğunu izlemesi, sürpriz kesintileri önlemenin en etkili yoludur.

Yaygın Yanılgılar

• EV daha güçlü şifreleme sağlar: Doğru değildir. Şifreleme düzeyi sertifika türüne değil, sunucu yapılandırmasına ve kullanılan protokole bağlıdır.
• DV sertifikaları güvensizdir: Yanıltıcıdır. DV sertifikaları trafiği aynı biçimde şifreler; eksik olan yalnızca kuruluş kimliği doğrulamasıdır.
• Yeşil adres çubuğu hâlâ EV göstergesidir: Tarayıcı üreticileri bu görsel ayrımı kaldırmıştır; kuruluş bilgisi artık sertifika ayrıntılarından incelenir.
• Sertifika almak marka güvenliği için yeterlidir: Kuruluşlar, kendi markalarına benzeyen alan adlarında düzenlenen sertifikaları izlemedikçe taklit riski sürer.

Doğru Sertifikayı Belirleme Yaklaşımı

Sertifika seçimi, tek bir kalıba uyan bir işlem değildir. Aynı kuruluş içinde farklı sistemler için farklı doğrulama seviyeleri mantıklı olabilir. Müşteriye dönük ödeme ve hesap yönetimi ekranlarında OV veya EV tercih edilirken, dahili test ortamlarında DV yeterli olabilir. Belirleyici soru şudur: Bu adrese güvenen kullanıcı, karşısındaki tarafın kim olduğunu bilmek ister mi?

Yanıt evet ise kuruluş doğrulaması içeren bir sertifika, hem kullanıcı güvenini hem de denetim uyumluluğunu güçlendirir. Yanıt hayır ise hız ve düşük yönetim yükü öne çıkar ve DV yeterli olur. Her iki durumda da sertifika, güvenliğin yalnızca bir katmanıdır; güncel protokol yapılandırması, düzenli izleme ve doğru alan adı yönetimiyle birlikte ele alındığında gerçek koruma sağlar.