TLS (Transport Layer Security), istemci ile sunucu arasındaki bağlantıyı şifreler ve sunucunun kimliğini doğrular. SSL onun eski adıdır; bugün kullanılan protokoller TLS'tir (1.2 ve 1.3), ancak "SSL sertifikası" ifadesi yaygın olarak sürmektedir. Tarayıcıdaki https:// ve kilit simgesi TLS'in kullanıldığını gösterir.
TLS ne sağlar
- Gizlilik: Ağdaki üçüncü kişiler trafiği okuyamaz.
- Bütünlük: Veri yolda değiştirilirse fark edilir.
- Kimlik doğrulama: İstemci, bağlandığı sunucunun o alan adına ait olduğunu sertifikayla doğrular.
TLS, sunucunun güvenli olduğunu ya da sitenin güvenilir olduğunu söylemez. Yalnızca bağlantının korunduğunu ve alan adının doğrulandığını gösterir.
Sertifika ve sertifika zinciri
Sertifika; alan adını, açık anahtarı, geçerlilik tarihlerini ve bir sertifika otoritesinin (CA) imzasını içerir. Tarayıcı ve işletim sistemi, güvendikleri kök CA'ların listesini taşır. Sunucu normalde kendi sertifikasına ek olarak ara sertifikaları da gönderir; bu bütüne zincir denir. Ara sertifika eksikse bazı istemciler bağlantıyı reddeder.
Doğrulama düzeyleri
| Tür | Ne doğrulanır |
|---|---|
| DV (alan adı doğrulama) | Alan adının denetimi sizde mi |
| OV (kuruluş doğrulama) | DV'ye ek olarak kuruluşun varlığı |
| EV (genişletilmiş doğrulama) | Daha kapsamlı kuruluş incelemesi |
Şifreleme gücü bu türler arasında farklılaşmaz; fark doğrulanan bilginin kapsamıdır. Pek çok site için DV yeterlidir. Ücretsiz DV sertifikalar için Let's Encrypt ve Certbot makalesine bakın.
Kapsam
- Tek alan adı:
www.ornek.com - Joker karakterli (wildcard):
*.ornek.combir alt düzeydeki tüm alt alan adlarını kapsar,ornek.comkökünü kapsamaz (genellikle ayrıca eklenir). - Çok alan adlı (SAN): Tek sertifikada birden fazla ad.
Sertifikayı komut satırından inceleme
openssl s_client -connect ornek.com:443 -servername ornek.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -datesÇıktıda konu (subject), veren CA (issuer) ve geçerlilik tarihleri görünür. Sona erme tarihini izlemek önemlidir: süresi dolan sertifika ziyaretçilerde tarayıcı uyarısına yol açar.
Sık sorunlar
- Süre dolmuş sertifika: Yenileme otomasyonunun çalıştığını denetleyin.
- Alan adı uyuşmazlığı: Sertifika
ornek.comiçin, sizwww.ornek.comaçıyorsunuz. - Eksik ara sertifika: Tam zincir dosyasını (
fullchain) kullanın. - Karışık içerik: Sayfa HTTPS, ama görsel veya betikler HTTP ile yükleniyor.
- Sistem saati yanlış: İstemcinin saati çok sapmışsa geçerli sertifika bile reddedilebilir.