SSL Sorgulama

SSL sorgulama nedir, bu araç neyi kontrol eder?

SSL sorgulama, bir alan adının sunduğu sertifikayı ve bağlantı ayarlarını dışarıdan okuyup raporlamaktır. Tarayıcıdaki kilit simgesi yalnız o anki bağlantının şifreli olduğunu söyler; sertifikanın kaç gün sonra biteceğini ya da zincirin eksik olup olmadığını göstermez. Bu araç sunucumuzdan alan adınızın 443 portuna bağlanır ve tek raporda şunları verir:

• Kalan gün ve tarihler: başlangıç, bitiş ve geçen sürenin oranı.
• Ad eşleşmesi: sorguladığınız ad sertifikanın SAN listesinde var mı?
• Zincir: sunucu sertifikası, ara sertifikalar ve güvenilen kök.
• Bağlantı: TLS 1.0, 1.1, 1.2 ve 1.3 desteği, anlaşılan şifre takımı.
• Yönlendirme ve HSTS: http:// adresinin HTTPS'e gidip gitmediği ve HSTS başlığı.

Ben bu kontrolü her yeni sitenin yayın gününde ve her sunucu değişikliğinden sonra yapıyorum. Web tasarım projelerinde sertifikayı kurmak işin kolay kısmı; asıl mesele, aylar sonra yenilemenin sessizce bozulmadığından emin olmak. Üstelik araç sitenizde hiçbir şeyi değiştirmez; alan adını ve raporu saklamaz.

SSL sertifikalarının süresi neden kısalıyor?

Sertifika süreleri birkaç yıldır kısalıyor ve bu eğilim hızlanıyor. Tarayıcı ve sertifika sağlayıcılarının ortak kurulu CA/Browser Forum, 2025'te kabul ettiği SC-081v3 kararıyla azami süreyi kademeli olarak düşürdü:

• 15 Mart 2026'ya kadar: 398 gün.
• 15 Mart 2026 sonrası: 200 gün.
• Bir yıl sonra, 15 Mart 2027'den itibaren: 100 gün.
• Son adım 15 Mart 2029: 47 gün.

Let's Encrypt ise daha erken davranıyor. Varsayılan sertifikaları bugün 90 gün geçerli; 10 Şubat 2027'de 64 güne, 16 Şubat 2028'de 45 güne iniyor. Ayrıca Let's Encrypt, bitiş hatırlatma e-postalarını 4 Haziran 2025'te durdurdu. Yani sertifikanın bittiğini artık kimse size haber vermiyor.

Bu nedenle yenilemeyi elle yapmak giderek imkânsız hale geliyor. Certbot gibi bir ACME istemcisi ya da barındırma panelinizin otomatik yenilemesi şart. Otomasyonu kurduktan sonra da işiniz bitmiyor, çünkü DNS değişikliği, kapanan 80 portu veya dolan disk yenilemeyi sessizce durdurabilir. Kalan günü düzenli sorgulamak bu yüzden en ucuz sigortadır.

SSL sorgulama sonucunda güvenilmeyen zincir ne demek?

Sertifika tek başına gelmez; sunucu, sertifikanızı imzalayan ara sertifikaları da göndermelidir. Tarayıcı bu zinciri, kendi deposundaki bir kök sertifikaya kadar izler. SSL sorgulama sonucunda zincir güvenilmez çıkıyorsa araç nedeni şu sırayla arar:

• Süresi dolmuş sertifika: doğrulama tarih kontrolünde düşer.
• Kendinden imzalı sertifika: hiçbir kök deposu onu tanımaz.
• Süresi dolmuş ara sertifika: sunucu eski bir ara sertifika gönderiyordur.
• Tanınmayan kök: zincir, depoda olmayan bir köke dayanıyordur.
• Eksik zincir: ara sertifika gönderilmiyordur ya da sağlayıcı tanınmıyordur.

En sık gördüğüm neden son maddedir. Kurulumda yalnız sunucu sertifikası yüklenir, sağlayıcının verdiği tam zincir (fullchain) dosyası atlanır. Chrome gibi bazı tarayıcılar eksik ara sertifikayı kendisi indirip tamamlar; Firefox ise önceden yüklediği ara sertifika listesine güvenir. Bu yüzden site sizin bilgisayarınızda açılırken mobil uygulamalar, ödeme altyapıları ve botlar bağlantıyı reddedebilir. Veri güvenliğinin diğer katmanlarını kurumsal web sitesinde veri güvenliği rehberinde anlattım.

Alan adı uyuşmazlığı ve joker sertifika nasıl çalışır?

Tarayıcı, adres çubuğundaki adı sertifikanın SAN (Subject Alternative Name) listesinde arar. Eskiden CN alanına bakılırdı; güncel tarayıcılar artık yalnız SAN listesine güveniyor. Araç da aynı kuralı uygular ve sorguladığınız adı kapsayan kaydı SAN listesinde öne alır.

Joker sertifikalarda kural nettir. RFC 9525'e göre joker yalnız en soldaki etiketin tamamı olabilir ve tek seviye kapsar:

• *.ornek.com, www.ornek.com ve magaza.ornek.com adlarını kapsar.
• *.ornek.com, ornek.com adını kapsamaz; çıplak alan adı ayrıca SAN listesinde olmalı.
• *.ornek.com, a.b.ornek.com adını da kapsamaz; iki seviye için ayrı kayıt gerekir.

Uygulamada en çok karşılaştığım uyuşmazlık, www'lu ve www'suz adreslerden birinin sertifikada unutulmasıdır. Ziyaretçi eski bir bağlantıdan www'suz adrese gelir ve tam sayfa uyarı görür. Bu yüzden sertifikayı alırken iki adı da listeye ekleyin. Ardından iki sürümü de ayrı ayrı sorgulayın ve yönlendirme denetleyici ile hepsinin tek adreste buluştuğunu kontrol edin.

TLS 1.0 ve 1.1 hâlâ açıksa ne yapmalısınız?

TLS 1.0 ve 1.1 artık tarih oldu. IETF, 2021'de yayımladığı RFC 8996 ile iki sürümü de kullanımdan kaldırdı ve güncel tarayıcılar bu sürümlerle bağlanmıyor. Buna karşılık birçok sunucu eski ayarları yıllarca taşıyor. Araç her sürüm için ayrı bir el sıkışma dener; eski sürüm açıksa sarı uyarı verir.

Düzeltmek genellikle tek satırlık bir iştir:

• Nginx: ssl_protocols satırında yalnız TLSv1.2 ve TLSv1.3 bırakın.
• Apache: SSLProtocol satırını -all +TLSv1.2 +TLSv1.3 olarak ayarlayın.
• cPanel ve benzeri paneller: TLS ayarını barındırma firmanızdan isteyin.
• CDN kullanıyorsanız: en düşük TLS sürümünü CDN panelinden yükseltin.

TLS 1.3 kapalıysa araç yalnız bilgi notu düşer, çünkü TLS 1.2 doğru şifre takımlarıyla hâlâ güvenlidir. Yine de 1.3 el sıkışmayı kısaltır ve bağlantıyı hızlandırır. Değişiklikten sonra aracı yeniden çalıştırın ve dört kartın beklediğiniz gibi göründüğünü kontrol edin.

HTTP'den HTTPS'e yönlendirme ve HSTS nasıl kurulur?

Geçerli bir sertifika, ziyaretçi http:// adresine geldiğinde işe yaramaz. Bu nedenle araç http:// adresini ayrıca ister ve ilk yanıtı okur. Sağlıklı kurulumda http:// isteği tek bir 301 veya 308 ile doğrudan https:// adresine gider. Geçici 302, zincirli yönlendirme ya da hiç yönlendirmeme durumlarında araç uyarı verir.

İkinci katman HSTS başlığıdır. Strict-Transport-Security başlığı, tarayıcıya bu siteyi bir süre boyunca yalnız HTTPS ile açmasını söyler. Böylece ilk ziyaretten sonra http:// denemesi ağa hiç çıkmaz. Benim önerdiğim sıra şöyle:

1. Tüm alt alan adlarının HTTPS'te sorunsuz çalıştığını doğrulayın.
2. HSTS'yi kısa bir max-age ile açın, birkaç gün gözleyin.
3. max-age değerini en az bir yıla (31536000 saniye) çıkarın.
4. Preload listesi istiyorsanız includeSubDomains ve preload yönergelerini ekleyin.

Preload adımını aceleye getirmeyin. Listeye girdikten sonra geri çıkmak aylar sürebilir. hstspreload.org başvuru şartlarını açıkça yazıyor: en az bir yıllık max-age, includeSubDomains ve preload yönergesi. Alan adınızın kayıtlarını da DNS sorgulama aracıyla kontrol edebilirsiniz.

SSL sorgulama ve HTTPS, SEO'yu nasıl etkiler?

Google, HTTPS'i 2014'ten beri sıralama sinyali olarak kullanıyor. Google Search Central blogundaki duyuruya göre bu hafif bir sinyal ve içerik kalitesinden daha az ağırlık taşıyor. Yani HTTPS tek başına sizi üst sıralara taşımaz. Ancak sertifika sorunu, sıralamadan çok daha pahalı bir şeye mal olur: ziyaretçinin güvenine.

Chrome, Temmuz 2018'den beri HTTP sayfaları adres çubuğunda Güvenli değil diye işaretliyor. Süresi dolmuş ya da adı uyuşmayan bir sertifika ise tam sayfa uyarı çıkarır. Bu durumda ziyaretçilerin çoğu geri döner, reklam bütçesi boşa gider ve formlar dolmaz. Ayrıca Googlebot da güvenli bağlantı kuramadığı sayfaları tarayamaz.

Site taşırken ve alan adı değiştirirken SSL sorgulamayı kontrol listenize ekleyin. Yeni sunucuda sertifika, zincir ve yönlendirme hazır olmadan DNS'i çevirmeyin. Taşımanın diğer adımlarını SEO migration kontrol listesinde topladım. Teknik altyapının sıralamaya etkisini birlikte ele almak isterseniz SEO danışmanlığı sayfama göz atabilirsiniz.