Sertifikayı okumak, protokolü müzakere etmek ve kalan geçerliliği almak için doğrudan sunucudan TLS el sıkışması başlatın.
Çevrimiçi SSL/TLS sertifikalarını denetleyin, bir alan adı girerek sertifikanın geçerli olup olmadığını, alan adının eşleşip eşleşmediğini, kalan günleri, TLS sürümünü, şifreleme paketlerini ve SAN listesini görün, arka uç el sıkışma başlatır CORS sorunu yok.
Sona eren SSL sertifikaları, alan adı eşleşmemeleri ve yapılandırma hataları HTTPS web sitelerinin en yaygın arıza türleridir. Bir sertifika sona erdikten sonra tarayıcılar 'güvensiz' uyarısı gösterir ve bu da ziyaretçilerin uzaklaşmasına neden olur, ayrıca Google arama sıralaması da etkilenir. Düzenli denetim ve erken yenileme HTTPS'nin düzgün çalışmasını sağlamak için temel bakım görevleridir.
SSL Labs derinlemesine puanlama yapar (protokoller, paketler, güvenlik açıkları vb. kapsamlı testler dahil, yaklaşık 2 dakika sürer), bu araç hızlı temel denetim yapar (sonuçlar 1-3 saniyede döner), sertifika geçerliliği, geçerlilik süresi, TLS sürümü, şifreleme paketleri, SAN listesi gibi temel bilgileri kapsar, lansman öncesi hızlı doğrulama, yenileme onayı, hata ayıklama için uygundur.
Olası nedenler: 1) Web sitesi yabancı IP adreslerini engelliyor (denetim sunucusu yurtdışında); 2) Sunucu SNI ayrımı yapıyor ancak yapılandırma eksik; 3) Kurumsal intranet için kendinden imzalı sertifika kullanılıyor; 4) Güvenlik duvarı denetim düğümlerini engelliyor. Denetimin başarısız olması sertifikada bir sorun olduğu anlamına gelmez, belirli hata bilgilerine göre değerlendirilmelidir.
TLS 1.3 (2018, RFC 8446) en son sürümdür, el sıkışma hızı TLS 1.2'deki 2-RTT'den 1-RTT'ye hatta 0-RTT'ye yükseltildi, RSA anahtar değişimi, RC4, SHA-1 gibi güvensiz algoritmalar kaldırıldı, Forward Secrecy varsayılan olarak etkinleştirildi, güvenlik ve performansta belirgin iyileştirmeler var. Yeni dağıtımlarda tercihen TLS 1.3 desteklenmeli ve eski istemcilerle uyumluluk için TLS 1.2 korunmalıdır.
Sona ermeden 30 gün önce yenileme hazırlıklarına başlanması ve dağıtımın en az 7 gün önce tamamlanması önerilir. Araç renkli uyarılar kullanır: >30 gün yeşil (normal), 7-30 gün sarı (yenilenmeli), <7 gün kırmızı (acil). Let's Encrypt sertifikaları 90 gün geçerlidir, otomatik yenileme önerilir.
Let's EncryptSAN (Subject Alternative Name), sertifikada kullanılmasına izin verilen alan adı/IP listesidir. Modern tarayıcılar (Chrome 58+) artık Common Name(CN) alanına güvenmiyor ve yalnızca SAN'ı kontrol ediyor. Ziyaret edilen alan adı SAN listesinde değilse, tarayıcılar 'alan adı eşleşmiyor' hatası verir. Bir sertifika SAN aracılığıyla birden fazla alan adını kapsayabilir (örneğin example.com, www.example.com, api.example.com).
Sertifika parmak izleri (SHA-1/SHA-256) sertifika içeriğinin karma değerleridir, HPKP (kullanımdan kaldırıldı), Certificate Pinning ve dağıtılan sertifikanın beklenenle eşleşip eşleşmediğini manuel olarak doğrulamak için kullanılabilir, örneğin CDN'nin yeni sertifikayı doğru yükleyip yüklemediğini onaylamak veya birden fazla sunucu arasında sertifikaları karşılaştırmak için. Not: SHA-1 parmak izleri yalnızca tanımlama için kullanılır, güvenlik doğrulaması için kullanılmamalıdır.
SSL/TLS sertifika denetimi, istemciden bir TLS el sıkışması başlatarak hedef sunucunun döndürdüğü sertifika bilgilerini alma ve analiz etme, böylece HTTPS yapılandırmasının doğru olup olmadığını belirleme sürecidir. Temel denetim noktaları şunları içerir: sertifikanın geçerlilik süresi içinde olup olmadığı, ziyaret edilen alan adının sertifikanın izin verilenler listesinde olup olmadığı (SAN eşleşmesi), sertifika zincirinin eksiksiz ve güvenilir olup olmadığı, kullanılan TLS protokol sürümü ve şifreleme paketlerinin güvenli olup olmadığı vb.
**Sertifika denetimi neden bu kadar önemlidir?** SSL sertifikaları HTTPS'nin güven temelidir. Bir sertifikada bir sorun olduğunda (en yaygın olarak sona erme), tarayıcılar erişimi hemen engeller ve 'Bağlantınız gizli değil' kırmızı uyarı sayfası gösterir, bu da web sitesi trafiğine, dönüşüm oranlarına, SEO sıralamasına ve marka güvenine doğrudan zarar verir. İzlemeye göre, sertifika sona ermesi HTTPS arızalarının en yaygın nedenidir ve tüm HTTPS olaylarının %40'ından fazlasını oluşturur.
**Doğrudan tarayıcıdan erişmekten ne farkı var?** Tarayıcı erişimi önbellek, HSTS, kurumsal proxy'ler, istemci sertifikaları ve sapmalara neden olan diğer faktörlerden etkilenebilir; sertifika denetleme araçları ise bağımsız bir düğümden standart bir TLS el sıkışması başlatır ve nesnel, standartlaştırılmış sertifika bilgileri döndürür, operasyonel doğrulama senaryoları için uygundur. Bu araç, arka uç sunucusundan doğrudan TLS el sıkışmaları başlatır, **tarayıcı CORS kısıtlaması yoktur** ve genel olarak erişilebilen herhangi bir HTTPS alan adını denetleyebilir.
**Bu aracın denetlediği temel bilgiler**: Sertifika yetkilendirme durumu (geçerli olup olmadığı), belirli authorizationError hata bilgileri, TLS protokol sürümü (TLS 1.2/1.3), anlaşılan şifreleme paketi (Cipher), ALPN protokol anlaşma sonucu (h2/http/1.1), sertifikayı veren (Subject/Issuer), geçerlilik tarihleri (validFrom/validTo), kalan günler (renkli uyarılarla), SAN Subject Alternative Name listesi, SHA-1/SHA-256 parmak izleri, yanıt süresi ve tam JSON ayrıntıları.
Sonuçlar genellikle 1-3 saniye içinde döner, lansman öncesi hızlı doğrulama, yenileme onayı, hata ayıklama vb. senaryolar için uygundur. Derinlemesine puanlama için (SSL Labs'ın A+-F sınıflandırması gibi, yeniden anlaşma, güvenlik açığı testleri, protokol desteği vb. dahil), SSL Labs Server Test ile birlikte kullanılması önerilir.
| Protokol sürümü | Yayın yılı | Mevcut durum | Notlar |
|---|---|---|---|
SSL 1.0-3.0 | 1995-1996 | ❌ Kullanımdan kaldırıldı/güvensiz | POODLE gibi ciddi güvenlik açıkları var, tüm modern tarayıcılar devre dışı bıraktı |
TLS 1.0 | 1999 | ❌ Kullanımdan kaldırıldı | BEAST, CRIME gibi açıklar, PCI DSS 2018'den beri kullanımı yasak |
TLS 1.1 | 2006 | ❌ Kullanımdan kaldırıldı | RFC 8996 ile resmi olarak kullanımdan kaldırıldı, Chrome/Firefox 2020'den beri desteği kaldırdı |
TLS 1.2 | 2008 | ⚠️ Yaygın olarak destekleniyor (geçiş) | Şu anda en yaygın dağıtılan, en iyi uyumluluğa sahip, ancak bazı zayıf şifreleme paketleri riski var |
TLS 1.3 | 2018 (RFC 8446) | ✅ Önerilen | Daha hızlı el sıkışma (1-RTT/0-RTT), zayıf algoritmalar kaldırıldı, modern tarayıcıların ilk tercihi |
| Kalan günler | Durum rengi | Önerilen işlem |
|---|---|---|
| >30 gün | 🟢 Yeşil (normal) | İşlem gerekmez, düzenli olarak kontrol edin |
| 7-30 gün | 🟡 Sarı (uyarı) | Yenileme sürecini en kısa sürede başlatın, sona ermeden değiştirmeyi tamamladığınızdan emin olun |
| <7 gün | 🔴 Kırmızı (acil) | Hemen yenileyin, sona erdikten sonra tarayıcılar erişimi engeller |
| 0 gün/sona erdi | 🔴 Kırmızı (sona ermiş) | Sertifika geçersiz, kullanıcılar güvenlik uyarısı görür, hemen işlem yapılmalı |
| Hata türü | Yaygın neden | Çözüm yönü |
|---|---|---|
| Sertifika sona erdi (expired) | Sertifika validTo tarihinden sonra yenilenmedi | Zamanında yenileyin ve yeni sertifikayı dağıtın |
| Alan adı eşleşmiyor (name mismatch) | Geçerli alan adı sertifikanın SAN listesinde yok | Hedef alan adını içeren yeni bir sertifika düzenleyin veya CDN kaynak yapılandırmasını kontrol edin |
| Eksik sertifika zinciri (incomplete chain) | Sunucu ara sertifikaları doğru yapılandırmadı | Ara sertifikaları yaprak sertifikayla birleştirerek dağıtın |
| Kendinden imzalı sertifika (self-signed) | Sertifika özel bir CA tarafından imzalanmış, herkese açık olarak güvenilir değil | Let's Encrypt gibi herkese açık bir CA tarafından verilen sertifika kullanın |
| Güvenilmeyen veren (untrusted issuer) | CA kök sertifikası tarayıcının güven deposunda değil | Güvenilir bir CA tarafından verilen sertifikayla değiştirin |
