{"id":3322,"date":"2025-12-14T22:47:28","date_gmt":"2025-12-14T19:47:28","guid":{"rendered":"https:\/\/www.dchost.com\/blog\/ssl-sertifika-standartlarinda-yeni-gelismeler\/"},"modified":"2026-11-04T14:17:26","modified_gmt":"2026-11-04T11:17:26","slug":"ssl-sertifika-standartlarinda-yeni-gelismeler","status":"publish","type":"post","link":"https:\/\/www.dchost.com\/blog\/ssl-sertifika-standartlarinda-yeni-gelismeler\/","title":{"rendered":"SSL Sertifika Standartlar\u0131: S\u00fcre ve Do\u011frulama"},"content":{"rendered":"<div class=\"dchost-blog-content-wrapper\"><p>SSL\/TLS sertifika y\u00f6netiminde s\u00fcre, do\u011frulama ve taray\u0131c\u0131 g\u00fcven politikalar\u0131n\u0131 birlikte takip etmek gerekir. Bu rehberin politika kontrol tarihi 4 Kas\u0131m 2026&#8217;d\u0131r; s\u00fcre ve MPIC tablolar\u0131 CA\/B Forum Baseline Requirements v2.3.1&#8217;in (4 Ekim 2026) ilgili b\u00f6l\u00fcmlerine dayan\u0131r. Kapsam, genel g\u00fcven depolar\u0131na dayanan TLS sunucu sertifikalar\u0131d\u0131r; S\/MIME e-posta sertifikalar\u0131 ve yaln\u0131z kurum i\u00e7inde g\u00fcvenilen \u00f6zel PKI ayn\u0131 kurallara tabi kabul edilmemelidir. SSL taraf\u0131n\u0131 \u201cbir kere kur, unut\u201d mant\u0131\u011f\u0131yla y\u00f6netmek, standart de\u011fi\u015fikliklerinin ve yenileme ihtiya\u00e7lar\u0131n\u0131n g\u00f6zden ka\u00e7mas\u0131na yol a\u00e7abilir.<\/p>\n<p>Oysa art\u0131k tabloda \u00e7ok net bir de\u011fi\u015fim var: Sertifika s\u00fcreleri k\u0131sal\u0131yor, otomasyonun operasyonel \u00f6nemi art\u0131yor, domain do\u011frulama y\u00f6ntemleri s\u0131k\u0131la\u015f\u0131yor; CT politikas\u0131 uygulayan taray\u0131c\u0131larda, bu politikalar\u0131n kapsam\u0131ndaki sertifikalar i\u00e7in log gereksinimlerine uyum aran\u0131yor. Buna TLS 1.3, ECDSA anahtarlar, CAA kay\u0131tlar\u0131, ACME otomasyonu ve mTLS gibi ba\u015fl\u0131klar da eklenince; SSL sertifika standartlar\u0131n\u0131 takip etmek, teknik borcu kontrol alt\u0131nda tutmak i\u00e7in kritik bir i\u015f kalemine d\u00f6n\u00fc\u015fm\u00fc\u015f durumda.<\/p>\n<p>Bu yaz\u0131da <strong>SSL sertifika standartlar\u0131nda son y\u0131llarda \u00f6ne \u00e7\u0131kan yeni geli\u015fmeleri<\/strong>, bunlar\u0131n hosting ve altyap\u0131 taraf\u0131na yans\u0131malar\u0131n\u0131 ve pratik yol haritalar\u0131n\u0131 ad\u0131m ad\u0131m ele alaca\u011f\u0131z. Amac\u0131m\u0131z; hem teknik ekiplerin, hem de i\u015fletme sahiplerinin \u00f6n\u00fcm\u00fczdeki 1\u20113 y\u0131l i\u00e7in net bir SSL\/TLS stratejisi olu\u015fturmas\u0131na yard\u0131mc\u0131 olmak.<\/p>\n<div id=\"toc_container\" role=\"navigation\" aria-label=\"Table of Contents\" data-nosnippet class=\"toc_transparent no_bullets toc_numbered toc_title_center\"><p class=\"toc_title\">\u0130\u00e7indekiler<\/p><ul class=\"toc_list\"><li><a href=\"#SSL_sertifika_standartlari_neden_bu_kadar_hizli_degisiyor\"><span class=\"toc_number toc_depth_1\">1.<\/span> SSL sertifika standartlar\u0131 neden bu kadar h\u0131zl\u0131 de\u011fi\u015fiyor?<\/a><\/li><li><a href=\"#Sertifika_sureleri_kisaliyor_Yenileme_planina_etkileri\"><span class=\"toc_number toc_depth_1\">2.<\/span> Sertifika s\u00fcreleri k\u0131sal\u0131yor: Yenileme plan\u0131na etkileri<\/a><ul><li><a href=\"#Neden_daha_kisa_sertifika_sureleri_isteniyor\"><span class=\"toc_number toc_depth_2\">2.1.<\/span> Neden daha k\u0131sa sertifika s\u00fcreleri isteniyor?<\/a><\/li><li><a href=\"#Isletmeler_icin_ne_anlama_geliyor\"><span class=\"toc_number toc_depth_2\">2.2.<\/span> \u0130\u015fletmeler i\u00e7in ne anlama geliyor?<\/a><\/li><\/ul><\/li><li><a href=\"#Domain_dogrulama_standartlarinda_sikilasma\"><span class=\"toc_number toc_depth_1\">3.<\/span> Domain do\u011frulama standartlar\u0131nda s\u0131k\u0131la\u015fma<\/a><ul><li><a href=\"#ACME_protokolu_ve_sertifika_otomasyonu\"><span class=\"toc_number toc_depth_2\">3.1.<\/span> ACME protokol\u00fc ve sertifika otomasyonu<\/a><\/li><li><a href=\"#Multiperspective_dogrulama_Farkli_ag_noktalarindan_kontrol\"><span class=\"toc_number toc_depth_2\">3.2.<\/span> Multi\u2011perspective do\u011frulama: Farkl\u0131 a\u011f noktalar\u0131ndan kontrol<\/a><\/li><li><a href=\"#CAA_kayitlari_Hangi_CA_sertifika_verebilir\"><span class=\"toc_number toc_depth_2\">3.3.<\/span> CAA kay\u0131tlar\u0131: Hangi CA sertifika verebilir?<\/a><\/li><\/ul><\/li><li><a href=\"#Sertifika_transparansi_Tarayici_politikasi_ve_izlenebilirlik\"><span class=\"toc_number toc_depth_1\">4.<\/span> Sertifika transparans\u0131: Taray\u0131c\u0131 politikas\u0131 ve izlenebilirlik<\/a><ul><li><a href=\"#CT_neden_bu_kadar_kritik\"><span class=\"toc_number toc_depth_2\">4.1.<\/span> CT neden bu kadar kritik?<\/a><\/li><\/ul><\/li><li><a href=\"#Kriptografik_standartlar\"><span class=\"toc_number toc_depth_1\">5.<\/span> Kriptografik standartlar<\/a><ul><li><a href=\"#RSAdan_ECDSAya_gecis_Performans_ve_guvenlik_dengesi\"><span class=\"toc_number toc_depth_2\">5.1.<\/span> RSA\u2019dan ECDSA\u2019ya ge\u00e7i\u015f: Performans ve g\u00fcvenlik dengesi<\/a><\/li><li><a href=\"#TLS_13_ve_modern_cipher_suiteler\"><span class=\"toc_number toc_depth_2\">5.2.<\/span> TLS 1.3 ve modern cipher suite\u2019ler<\/a><\/li><li><a href=\"#Postquantum_kuantuma_dayanikli_sertifikalara_dogru_ilk_adimlar\"><span class=\"toc_number toc_depth_2\">5.3.<\/span> Post\u2011quantum (kuantuma dayan\u0131kl\u0131) sertifikalara do\u011fru ilk ad\u0131mlar<\/a><\/li><\/ul><\/li><li><a href=\"#mTLS_istemci_sertifikalari_ve_Zero_Trust_mimarilerde_yeni_rol\"><span class=\"toc_number toc_depth_1\">6.<\/span> mTLS, istemci sertifikalar\u0131 ve Zero Trust mimarilerde yeni rol<\/a><\/li><li><a href=\"#Sureler_kisalirken_otomasyonu_ve_izlemeyi_birlikte_kurun\"><span class=\"toc_number toc_depth_1\">7.<\/span> S\u00fcreler k\u0131sal\u0131rken otomasyonu ve izlemeyi birlikte kurun<\/a><ul><li><a href=\"#Pratik_bir_otomasyon_stratejisi_nasil_kurulur\"><span class=\"toc_number toc_depth_2\">7.1.<\/span> Pratik bir otomasyon stratejisi nas\u0131l kurulur?<\/a><\/li><\/ul><\/li><li><a href=\"#Standart_degisimlerini_somutlastirmak_Tipik_senaryolar\"><span class=\"toc_number toc_depth_1\">8.<\/span> Standart de\u011fi\u015fimlerini somutla\u015ft\u0131rmak: Tipik senaryolar<\/a><ul><li><a href=\"#Senaryo_1_Orta_olcekli_eticaret_sitesi\"><span class=\"toc_number toc_depth_2\">8.1.<\/span> Senaryo 1: Orta \u00f6l\u00e7ekli e\u2011ticaret sitesi<\/a><\/li><li><a href=\"#Senaryo_2_Cok_kiracili_SaaS_uygulamasi\"><span class=\"toc_number toc_depth_2\">8.2.<\/span> Senaryo 2: \u00c7ok kirac\u0131l\u0131 SaaS uygulamas\u0131<\/a><\/li><li><a href=\"#Senaryo_3_Kurumsal_intranet_yonetim_panelleri_ve_mTLS\"><span class=\"toc_number toc_depth_2\">8.3.<\/span> Senaryo 3: Kurumsal intranet, y\u00f6netim panelleri ve mTLS<\/a><\/li><\/ul><\/li><li><a href=\"#Hosting_saglayicisiyla_hangi_ozellikleri_dogrulamalisiniz\"><span class=\"toc_number toc_depth_1\">9.<\/span> Hosting sa\u011flay\u0131c\u0131s\u0131yla hangi \u00f6zellikleri do\u011frulamal\u0131s\u0131n\u0131z?<\/a><\/li><li><a href=\"#Ozet_Bundan_sonra_ne_yapmalisiniz\"><span class=\"toc_number toc_depth_1\">10.<\/span> \u00d6zet: Bundan sonra ne yapmal\u0131s\u0131n\u0131z?<\/a><\/li><\/ul><\/div>\n<h2><span id=\"SSL_sertifika_standartlari_neden_bu_kadar_hizli_degisiyor\">SSL sertifika standartlar\u0131 neden bu kadar h\u0131zl\u0131 de\u011fi\u015fiyor?<\/span><\/h2>\n<p>\u00d6nce resme biraz uzaktan bakal\u0131m. SSL\/TLS ekosisteminde sertifika verilme politikas\u0131, taray\u0131c\u0131 g\u00fcveni ve ba\u011flant\u0131 protokol\u00fc ayr\u0131 katmanlard\u0131r. Ba\u015fl\u0131ca akt\u00f6rler:<\/p>\n<ul>\n<li>Taray\u0131c\u0131 \u00fcreticileri (Chrome, Firefox, Safari vb.)<\/li>\n<li>\u0130\u015fletim sistemleri ve mobil platformlar<\/li>\n<li>Sertifika Otoriteleri (CA\u2019ler) ve CA\/B Forum<\/li>\n<li>IETF ve benzeri standart belirleyici kurumlar<\/li>\n<\/ul>\n<p>Bu kararlar\u0131 etkileyen g\u00fcvenlik ve i\u015fletim ba\u015fl\u0131klar\u0131 aras\u0131nda \u015funlar bulunur:<\/p>\n<ul>\n<li><strong>Siber sald\u0131r\u0131 riskleri:<\/strong> Phishing siteleri, sahte sertifika alma giri\u015fimleri, \u00e7al\u0131nan private key\u2019ler, TLS downgrade sald\u0131r\u0131lar\u0131.<\/li>\n<li><strong>Reg\u00fclasyonlar ve uyumluluk:<\/strong> KVKK ve GDPR gibi d\u00fczenlemeler ile PCI DSS gibi sekt\u00f6r standartlar\u0131, veri g\u00fcvenli\u011fine ili\u015fkin y\u00fck\u00fcml\u00fcl\u00fckler getiriyor.<\/li>\n<li><strong>\u015eifreleme teknolojilerindeki ilerleme:<\/strong> TLS 1.3, modern \u015fifre tak\u0131mlar\u0131, ECDSA ve post\u2011quantum (kuantuma dayan\u0131kl\u0131) algoritmalara haz\u0131rl\u0131k.<\/li>\n<\/ul>\n<p>Bu bask\u0131lar\u0131n sonucu olarak; SSL sertifika standartlar\u0131 art\u0131k yaln\u0131zca \u201csertifika al \u2013 https\u2019e ge\u00e7\u201d seviyesini \u00e7oktan a\u015ft\u0131. Bug\u00fcn konu\u015ftu\u011fumuz ba\u015fl\u0131klar; <strong>maksimum sertifika s\u00fcresi<\/strong>, <strong>sertifika otomasyonu<\/strong>, <strong>sertifika transparans\u0131<\/strong>, <strong>DNS tabanl\u0131 kontroller (CAA, DNS\u201101)<\/strong>, <strong>mTLS<\/strong> ve <strong>post\u2011quantum haz\u0131rl\u0131klar\u0131<\/strong> gibi \u00e7ok daha detayl\u0131 konular.<\/p>\n<p>Bu \u00e7er\u00e7eveyi biraz daha derinle\u015ftirmek isterseniz, TLS taraf\u0131ndaki de\u011fi\u015fimleri teknik a\u00e7\u0131dan anlatt\u0131\u011f\u0131m\u0131z <a href='https:\/\/www.dchost.com\/blog\/nginx-apache-tls-hsts-ocsp\/'>TLS 1.3 ve modern \u015fifrelerin mutfa\u011f\u0131<\/a> yaz\u0131m\u0131za da g\u00f6z atabilirsiniz.<\/p>\n<h2><span id=\"Sertifika_sureleri_kisaliyor_Yenileme_planina_etkileri\">Sertifika s\u00fcreleri k\u0131sal\u0131yor: Yenileme plan\u0131na etkileri<\/span><\/h2>\n<div>\n<p>CA\/B Forum&#8217;un SC081 takvimi <a href=\"https:\/\/github.com\/cabforum\/servercert\/blob\/main\/docs\/BR.md#632-certificate-operational-periods-and-key-pair-usage-periods\" rel=\"nofollow noopener\" target=\"_blank\">BR v2.3.1 \u00a76.3.2<\/a> b\u00f6l\u00fcm\u00fcnde yer al\u0131r. A\u015fa\u011f\u0131daki s\u0131n\u0131r, sertifikan\u0131n <strong>d\u00fczenlendi\u011fi tarihe<\/strong> g\u00f6re belirlenir; sat\u0131n alma s\u00fcresi veya mevcut sertifikan\u0131n yenileme tarihi de\u011fildir. 398 g\u00fcn, 15 Mart 2026 \u00f6ncesi d\u00fczenlenen sertifikalar i\u00e7in tarihsel a\u015famad\u0131r.<\/p>\n<table>\n<thead>\n<tr>\n<th>D\u00fczenlenme tarihi<\/th>\n<th>Zorunlu tavan (MUST NOT)<\/th>\n<th>\u00d6nerilen tavan (SHOULD NOT)<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>15 Mart 2026&#8217;dan \u00f6nce<\/td>\n<td>398 g\u00fcn<\/td>\n<td>397 g\u00fcn<\/td>\n<\/tr>\n<tr>\n<td>15 Mart 2026 dahil \u2013 15 Mart 2027 hari\u00e7<\/td>\n<td>200 g\u00fcn<\/td>\n<td>199 g\u00fcn<\/td>\n<\/tr>\n<tr>\n<td>15 Mart 2027 dahil \u2013 15 Mart 2029 hari\u00e7<\/td>\n<td>100 g\u00fcn<\/td>\n<td>99 g\u00fcn<\/td>\n<\/tr>\n<tr>\n<td>15 Mart 2029 ve sonras\u0131<\/td>\n<td>47 g\u00fcn<\/td>\n<td>46 g\u00fcn<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Bir g\u00fcn 86.400 saniyedir; bu s\u00fcreyi a\u015fan kesirli s\u00fcre ek g\u00fcn say\u0131l\u0131r. \u00d6neri s\u00fctunu ile zorunlu tavan\u0131 kar\u0131\u015ft\u0131rmay\u0131n; CA daha k\u0131sa sertifika verebilir. \u00c7ok y\u0131ll\u0131k abonelik, tek bir \u00e7ok y\u0131ll\u0131k sertifika anlam\u0131na gelmez. Takvim \u00f6nceki sertifikalar\u0131n biti\u015f tarihini kendili\u011finden de\u011fi\u015ftirmez; iptal ve g\u00fcven politikalar\u0131 ayr\u0131ca ge\u00e7erlidir.<\/p>\n<\/div>\n<h3><span id=\"Neden_daha_kisa_sertifika_sureleri_isteniyor\">Neden daha k\u0131sa sertifika s\u00fcreleri isteniyor?<\/span><\/h3>\n<ul>\n<li><strong>\u00c7al\u0131nan anahtarlar\u0131n etkisini s\u0131n\u0131rlamak:<\/strong> Daha k\u0131sa ge\u00e7erlilik s\u00fcresi, s\u0131zan anahtarla birlikte kullan\u0131labilecek sertifikan\u0131n ge\u00e7erlilik penceresini daralt\u0131r. Ancak ayn\u0131 anahtar yenilenen sertifikalarda kullan\u0131lmaya devam ederse risk s\u00fcrer; s\u0131z\u0131nt\u0131da anahtar\u0131n de\u011fi\u015ftirilmesi ve ilgili sertifikalar\u0131n iptali gerekir.<\/li>\n<li><strong>Kimlik bilgilerinin g\u00fcncel kalmas\u0131:<\/strong> Organizasyon ad\u0131, alan adlar\u0131, IP aral\u0131klar\u0131, hukuk\u00ee bilgiler s\u0131k de\u011fi\u015fiyor; uzun s\u00fcreli sertifikalar h\u0131zla eskimi\u015f bilgi ta\u015f\u0131yabiliyor.<\/li>\n<li><strong>G\u00fcven zincirindeki de\u011fi\u015fikliklere uyum:<\/strong> S\u0131k yenileme, gerekli zincir de\u011fi\u015fikliklerini uygulamak i\u00e7in daha s\u0131k f\u0131rsat sunar; ancak CA ihlalinde gereken iptal veya g\u00fcven deposu m\u00fcdahalelerinin yerini tutmaz.<\/li>\n<\/ul>\n<p>90 g\u00fcn, b\u00fct\u00fcn CA&#8217;ler i\u00e7in gelecekteki ortak zorunlu son nokta de\u011fildir; kabul edilmi\u015f takvim 47 g\u00fcnl\u00fck tavana kadar gider. Ayr\u0131ca BR \u00a74.2.1&#8217;de alan ad\u0131\/IP do\u011frulama verisinin yeniden kullan\u0131m tavan\u0131 15 Mart 2026&#8217;da 200, 15 Mart 2027&#8217;de 100, 15 Mart 2029&#8217;da 10 g\u00fcnd\u00fcr. Kurum kimli\u011fi do\u011frulama verisi i\u00e7in 15 Mart 2026&#8217;dan itibaren ayr\u0131 398 g\u00fcnl\u00fck tavan vard\u0131r. Do\u011frulama verisinin ya\u015f\u0131, sertifikan\u0131n ge\u00e7erlilik s\u00fcresi ve istemcinin yenileme zaman\u0131 farkl\u0131 kavramlard\u0131r. Bu da \u00f6zellikle sertifika say\u0131s\u0131 artt\u0131k\u00e7a manuel yenilemenin i\u015f y\u00fck\u00fcn\u00fc ve hata riskini y\u00fckseltiyor.<\/p>\n<h3><span id=\"Isletmeler_icin_ne_anlama_geliyor\">\u0130\u015fletmeler i\u00e7in ne anlama geliyor?<\/span><\/h3>\n<p>\u00d6rne\u011fin, bir ekip sertifikalar\u0131n\u0131 yaln\u0131zca e\u2011posta hat\u0131rlatmalar\u0131 ve manuel paneller \u00fczerinden takip ediyor olabilir. Sertifika say\u0131s\u0131 artt\u0131k\u00e7a bu modelin i\u015f y\u00fck\u00fc ve yenilemenin atlanmas\u0131 riski artar; ancak kesinti i\u00e7in evrensel bir sertifika say\u0131s\u0131 e\u015fi\u011fi yoktur.<\/p>\n<p>Yeni standartlara haz\u0131rlanmak i\u00e7in:<\/p>\n<ul>\n<li>Desteklenen DV sertifikalar\u0131 i\u00e7in ACME veya CA&#8217;nin uygun API ak\u0131\u015f\u0131n\u0131 de\u011ferlendirin; ACME kullan\u0131m\u0131 genel bir BR zorunlulu\u011fu de\u011fildir.<\/li>\n<li>OV\/EV&#8217;de de CA deste\u011fini, kurum do\u011frulamas\u0131n\u0131, hesap yetkilerini ve yeniden do\u011frulama zaman\u0131n\u0131 belgeleyin.<\/li>\n<li>Test ve staging ortam\u0131nda talep, do\u011frulama, y\u00fckleme, servis reload&#8217;u ve hata senaryolar\u0131n\u0131 deneyin; \u00fcretimde kontroll\u00fc da\u011f\u0131t\u0131m sonras\u0131 ger\u00e7ekten sunulan sertifikay\u0131 do\u011frulay\u0131n.<\/li>\n<li>\u0130stemci\/CA yenileme penceresini kullan\u0131n, son g\u00fcn\u00fc beklemeyin; s\u00fcre k\u0131sald\u0131k\u00e7a alarm ve m\u00fcdahale pay\u0131n\u0131 yeniden hesaplay\u0131n.<\/li>\n<\/ul>\n<p>ACME tabanl\u0131 otomasyonun pratik taraf\u0131n\u0131 daha detayl\u0131 g\u00f6rmek isterseniz, <a href=\"https:\/\/www.dchost.com\/blog\/ssl-sertifika-otomasyonunda-yenilikler\/\">SSL sertifika otomasyonunda yenilikler<\/a> yaz\u0131m\u0131zdaki ad\u0131m ad\u0131m \u00f6rnekler size iyi bir ba\u015flang\u0131\u00e7 plan\u0131 verecektir.<\/p>\n<h2><span id=\"Domain_dogrulama_standartlarinda_sikilasma\">Domain do\u011frulama standartlar\u0131nda s\u0131k\u0131la\u015fma<\/span><\/h2>\n<p>SSL sertifika standartlar\u0131ndaki bir di\u011fer \u00f6nemli de\u011fi\u015fim; <strong>domain do\u011frulama (DV)<\/strong> taraf\u0131nda ya\u015fan\u0131yor. Domain do\u011frulama y\u00f6ntemleri, otomasyonu destekleme ve sahtecili\u011fi zorla\u015ft\u0131rma hedefleriyle geli\u015ftiriliyor; kullan\u0131labilecek y\u00f6ntemi se\u00e7erken CA\u2019nin destekledi\u011fi ak\u0131\u015flar ve ge\u00e7erli do\u011frulama kurallar\u0131 birlikte de\u011ferlendirilmelidir.<\/p>\n<h3><span id=\"ACME_protokolu_ve_sertifika_otomasyonu\">ACME protokol\u00fc ve sertifika otomasyonu<\/span><\/h3>\n<p>ACME, RFC 8555&#8217;te tan\u0131mlanan otomatik sertifika y\u00f6netim protokol\u00fcd\u00fcr. Let\u2019s Encrypt ve ba\u015fka sa\u011flay\u0131c\u0131larla kullan\u0131labilir; desteklenen sertifika t\u00fcr\u00fc, challenge, hesap ve API ko\u015fullar\u0131 CA&#8217;ye g\u00f6re de\u011fi\u015fir. Kurumsal kimlik do\u011frulamas\u0131 gereken bir \u00fcr\u00fcn, yaln\u0131z ACME ba\u011flant\u0131s\u0131 kuruldu diye otomatik olarak do\u011frulanm\u0131\u015f olmaz. Se\u00e7imde \u015fu \u00f6zellikleri de\u011ferlendirin:<\/p>\n<ul>\n<li><strong>Makine ileti\u015fimi:<\/strong> Sertifika talebi, yetkilendirme ve sertifika alma ad\u0131mlar\u0131n\u0131 istemci y\u00f6netebilir; sunucuya g\u00fcvenli da\u011f\u0131t\u0131m ayr\u0131ca kurulmal\u0131d\u0131r.<\/li>\n<li><strong>Tekrarlanabilirlik:<\/strong> Her ortam\u0131n DNS, a\u011f eri\u015fimi, hesap yetkisi ve challenge yolunu test edin; ayn\u0131 ak\u0131\u015f her yerde kendili\u011finden \u00e7al\u0131\u015fmaz.<\/li>\n<li><strong>Yenileme:<\/strong> CA&#8217;nin verdi\u011fi ger\u00e7ek s\u00fcreye ve istemcinin destekledi\u011fi yenileme penceresine g\u00f6re \u00e7al\u0131\u015f\u0131n. Zamanlay\u0131c\u0131, rate limit, hata tekrar\u0131 ve da\u011f\u0131t\u0131m sonucunu izleyin.<\/li>\n<\/ul>\n<p>ACME challenge t\u00fcrlerini, HTTP\u201101, DNS\u201101 ve TLS\u2011ALPN\u201101 farklar\u0131yla birlikte ayr\u0131nt\u0131l\u0131 anlatt\u0131\u011f\u0131m\u0131z <a href=\"https:\/\/www.dchost.com\/blog\/acme-http-01-dns-01-tls-alpn-01\/\">ACME challenge t\u00fcrleri rehberimizi<\/a> bu yaz\u0131yla birlikte okursan\u0131z, yeni standartlar\u0131n pratik taraf\u0131 \u00e7ok daha net oturacakt\u0131r.<\/p>\n<h3><span id=\"Multiperspective_dogrulama_Farkli_ag_noktalarindan_kontrol\">Multi\u2011perspective do\u011frulama: Farkl\u0131 a\u011f noktalar\u0131ndan kontrol<\/span><\/h3>\n<div>\n<p><strong>Multi-Perspective Issuance Corroboration (MPIC)<\/strong>, <a href=\"https:\/\/github.com\/cabforum\/servercert\/blob\/main\/docs\/BR.md#3229-multi-perspective-issuance-corroboration\" rel=\"nofollow noopener\" target=\"_blank\">BR \u00a73.2.2.9<\/a> kapsam\u0131ndaki CA kontrol\u00fcd\u00fcr. Birincil a\u011f noktas\u0131n\u0131n alan ad\u0131 do\u011frulama sonucunu ve CAA izin\/yasak karar\u0131n\u0131, ilgili do\u011frulama y\u00f6nteminin gerektirdi\u011fi uzak a\u011f perspektiflerinden destekleyici kan\u0131tla kar\u015f\u0131la\u015ft\u0131r\u0131r. Yaln\u0131z farkl\u0131 DNS resolver&#8217;lar\u0131na soru sormak de\u011fildir; y\u00f6nteme g\u00f6re HTTP challenge yan\u0131t\u0131, DNS de\u011feri veya di\u011fer belirtilen kan\u0131tlar de\u011ferlendirilir. Her y\u00f6ntem i\u00e7in BR&#8217;nin ilgili kapsam\u0131 uygulan\u0131r.<\/p>\n<table>\n<thead>\n<tr>\n<th>Y\u00fcr\u00fcrl\u00fck<\/th>\n<th>Asgari uzak perspektif<\/th>\n<th>Ek ko\u015ful<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>15 Mart 2025<\/td>\n<td>2<\/td>\n<td>Uygulama zorunlu; quorum sa\u011flanmasa da d\u00fczenlemeye izin veren ge\u00e7i\u015f a\u015famas\u0131<\/td>\n<\/tr>\n<tr>\n<td>15 Eyl\u00fcl 2025<\/td>\n<td>2<\/td>\n<td>Quorum zorunlu; sa\u011flanmazsa sertifika d\u00fczenlenemez<\/td>\n<\/tr>\n<tr>\n<td>15 Mart 2026<\/td>\n<td>3<\/td>\n<td>Quorum ve do\u011frulayan uzak noktalar\u0131n en az 2 farkl\u0131 RIR hizmet b\u00f6lgesinde bulunmas\u0131<\/td>\n<\/tr>\n<tr>\n<td>15 Haziran 2026<\/td>\n<td>4<\/td>\n<td>Ayn\u0131 quorum ve en az 2 RIR b\u00f6lgesi \u015fart\u0131<\/td>\n<\/tr>\n<tr>\n<td>15 Aral\u0131k 2026<\/td>\n<td>5<\/td>\n<td>Ayn\u0131 quorum ve en az 2 RIR b\u00f6lgesi \u015fart\u0131<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>4 Kas\u0131m 2026 itibar\u0131yla en az 4 uzak perspektif gerekir; birincil nokta bu say\u0131ya dahil de\u011fildir. Kullan\u0131lan 2\u20135 uzak perspektifte en fazla 1, 6 ve \u00fczerinde en fazla 2 desteklemeyen sonu\u00e7 kabul edilebilir; RIR ko\u015fulu ayr\u0131ca sa\u011flan\u0131r. Noktalar\u0131n ayr\u0131 say\u0131lmas\u0131 i\u00e7in en az 500 km d\u00fcz hat uzakl\u0131\u011f\u0131 gerekir. Bir perspektifin sonucu veya ortak DNS \u00f6nbelle\u011fi di\u011ferine ta\u015f\u0131namaz. Bu denetimi CA uygular; site i\u015fletmecisi halka a\u00e7\u0131k do\u011frulama verisinin ve challenge yolunun bu noktalardan eri\u015filebilirli\u011fini sa\u011flamal\u0131d\u0131r.<\/p>\n<\/div>\n<p>B\u00f6ylece;<\/p>\n<ul>\n<li>Sald\u0131rgan\u0131n yaln\u0131zca tek bir a\u011f noktas\u0131n\u0131 yan\u0131ltarak do\u011frulamay\u0131 ge\u00e7mesi zorla\u015ft\u0131r\u0131labilir.<\/li>\n<li>Anycast veya b\u00f6lgesel DNS kullan\u0131m\u0131 tek ba\u015f\u0131na DNS verisinin b\u00fct\u00fcnl\u00fc\u011f\u00fcn\u00fc garanti etmez; \u00e7ok noktadan do\u011frulama da <a href=\"https:\/\/www.dchost.com\/blog\/dnssec-nedir-web-sitenizi-nasil-daha-guvenli-hale-getirir\/\">DNSSEC<\/a> ile ayn\u0131 g\u00fcvenceyi sa\u011flayan bir mekanizma olarak g\u00f6r\u00fclmemelidir.<\/li>\n<li>15 Mart 2026&#8217;dan itibaren BR&#8217;nin birincil perspektif DNS sorgular\u0131 ve CAA kontrolleri i\u00e7in DNSSEC do\u011frulama ko\u015fullar\u0131 da ge\u00e7erlidir. Bu, her alan ad\u0131n\u0131n DNSSEC ile imzalanmas\u0131n\u0131n zorunlu oldu\u011fu anlam\u0131na gelmez; BR \u00a74.2.2.2.3&#8217;teki baz\u0131 e-posta y\u00f6ntemlerine ili\u015fkin s\u0131n\u0131rl\u0131 istisna d\u0131\u015f\u0131nda, birincil perspektifteki DNSSEC do\u011frulama hatas\u0131 sertifika verme izni say\u0131lmaz.<\/li>\n<\/ul>\n<p>Bu, \u00f6zellikle <strong>kritik marka alan adlar\u0131<\/strong> ve <strong>y\u00fcksek hacimli e\u2011ticaret siteleri<\/strong> i\u00e7in yetkisiz sertifika verilmesi riskini azaltmaya y\u00f6nelik bir kontrold\u00fcr. Benzer g\u00f6r\u00fcn\u00fcml\u00fc ba\u015fka alan adlar\u0131yla kurulan phishing sitelerini ise tek ba\u015f\u0131na engellemez.<\/p>\n<h3><span id=\"CAA_kayitlari_Hangi_CA_sertifika_verebilir\">CAA kay\u0131tlar\u0131: Hangi CA sertifika verebilir?<\/span><\/h3>\n<p>CAA (Certification Authority Authorization) kay\u0131tlar\u0131, bir domain i\u00e7in <strong>hangi CA\u2019lerin sertifika verme yetkisine sahip oldu\u011funu<\/strong> DNS \u00fczerinden tan\u0131mlaman\u0131za yar\u0131yor. CAA, sertifika verilmesi a\u015famas\u0131ndaki yetkilendirmeyi s\u0131n\u0131rlar; CAA kay\u0131tlar\u0131n\u0131 de\u011fi\u015ftirmek mevcut sertifikalar\u0131 iptal etmez ve tek ba\u015f\u0131na kapsaml\u0131 site korumas\u0131 sa\u011flamaz. Alan ad\u0131 sahibinin CAA kayd\u0131 yay\u0131mlamas\u0131 genel bir zorunluluk de\u011fildir; CA&#8217;nin ilgili CAA kontrol\u00fcn\u00fc yapmas\u0131 ayr\u0131 bir y\u00fck\u00fcml\u00fcl\u00fckt\u00fcr. \u0130lgili CAA RRset bulunmad\u0131\u011f\u0131nda CAA kaynakl\u0131 k\u0131s\u0131tlama olu\u015fmaz, ancak di\u011fer do\u011frulama \u015fartlar\u0131 devam eder. Mevcut ve yedek CA&#8217;leri yetkilendirmeyi birlikte planlay\u0131n.<\/p>\n<p>Temel avantajlar:<\/p>\n<ul>\n<li>K\u0131s\u0131tlay\u0131c\u0131 bir CAA politikas\u0131 yay\u0131mlad\u0131\u011f\u0131n\u0131zda, CAA kurallar\u0131na uyan CA\u2019ler bu politikan\u0131n izin verdi\u011fi \u00f6l\u00e7\u00fcde sertifika verebilir.<\/li>\n<li>Bu kontrol, izin verilmeyen CA\u2019lerden sertifika al\u0131nmas\u0131 riskini azalt\u0131r; izin verilen bir CA\u2019deki hatal\u0131 do\u011frulamay\u0131 veya t\u00fcm yetkisiz sertifika taleplerini engelleme garantisi sunmaz.<\/li>\n<li>\u00c7oklu CA kullanan b\u00fcy\u00fck yap\u0131larda, hangi alt alan ad\u0131 i\u00e7in hangi CA\u2019nin yetkili oldu\u011funu netle\u015ftirebilirsiniz.<\/li>\n<\/ul>\n<p>CAA kay\u0131tlar\u0131n\u0131 detayl\u0131 i\u015fledi\u011fimiz <a href=\"https:\/\/www.dchost.com\/blog\/caa-kayitlari-lets-encrypt-zerossl\/\">CAA kay\u0131tlar\u0131 derinlemesine rehberimizde<\/a>, tek CA\u2019li basit yap\u0131lardan \u00e7oklu CA stratejisine ge\u00e7en kurumsal yap\u0131lara kadar pratik \u00f6rnekler bulabilirsiniz.<\/p>\n<h2><span id=\"Sertifika_transparansi_Tarayici_politikasi_ve_izlenebilirlik\">Sertifika transparans\u0131: Taray\u0131c\u0131 politikas\u0131 ve izlenebilirlik<\/span><\/h2>\n<p>Certificate Transparency gereksinimleri taray\u0131c\u0131n\u0131n politikas\u0131na ve g\u00fcven kapsam\u0131na g\u00f6re de\u011ferlendirilir. \u00d6rne\u011fin Chrome&#8217;un CT politikas\u0131ndaki sertifikalar, kabul edilen loglardan gerekli SCT kan\u0131tlar\u0131n\u0131 sa\u011flamal\u0131d\u0131r; \u00f6zel olarak y\u00fcklenen kurum k\u00f6klerini ayn\u0131 kapsamda varsaymay\u0131n. SCT, logun belirlenen s\u00fcre i\u00e7inde kayd\u0131 ekleyece\u011fine ili\u015fkin imzal\u0131 taahh\u00fctt\u00fcr; tek ba\u015f\u0131na kayd\u0131n \u00e7oktan eklendi\u011finin kan\u0131t\u0131 de\u011fildir. CT, sertifikan\u0131n g\u00fcven zinciri veya alan ad\u0131 do\u011frulamas\u0131n\u0131n yerine ge\u00e7mez.<\/p>\n<h3><span id=\"CT_neden_bu_kadar_kritik\">CT neden bu kadar kritik?<\/span><\/h3>\n<ul>\n<li><strong>\u0130zlenebilirlik:<\/strong> Loglara al\u0131nan sertifika\/\u00f6n sertifikalar \u00fczerinden kendi alan adlar\u0131n\u0131za beklenmedik d\u00fczenlemeleri ara\u015ft\u0131rabilirsiniz.<\/li>\n<li><strong>Olay incelemesi:<\/strong> Log zaman\u0131, sertifika kimli\u011fi, isimler ve CA bilgisi olay kayd\u0131na katk\u0131 sa\u011flar; \u00fcretimde kullan\u0131lm\u0131\u015f oldu\u011funu tek ba\u015f\u0131na kan\u0131tlamaz.<\/li>\n<li><strong>CA denetimi:<\/strong> Hatal\u0131 d\u00fczenleme ara\u015ft\u0131rmas\u0131na yard\u0131mc\u0131 olur. CT kayd\u0131 sertifikay\u0131 g\u00fcvenli, i\u015fletmeyi me\u015fru veya i\u00e7eri\u011fi zarars\u0131z ilan etmez.<\/li>\n<\/ul>\n<p>Uygulama taraf\u0131nda CT loglar\u0131n\u0131 do\u011frudan y\u00f6netmeniz gerekmiyor; ama \u015fu noktalar\u0131 takip etmeniz \u00f6nemli:<\/p>\n<ul>\n<li>CA&#8217;nin ve istemcilerin ge\u00e7erli CT politikas\u0131n\u0131, SCT teslimini ve zincir do\u011frulamas\u0131n\u0131 kontrol edin.<\/li>\n<li>Kendi alan adlar\u0131n\u0131z i\u00e7in CT izleme kurun; yeni kay\u0131tlar\u0131 beklenen sertifika envanteriyle e\u015fle\u015ftirin.<\/li>\n<li>Beklenmedik kay\u0131tta sahipli\u011fi ve yetkilendirmeyi inceleyin; gerekiyorsa CA iptal s\u00fcrecini ba\u015flat\u0131n. Benzer yaz\u0131ml\u0131 ba\u015fka alan adlar\u0131yla phishing ayr\u0131 marka izleme kapsam\u0131d\u0131r.<\/li>\n<\/ul>\n<h2><span id=\"Kriptografik_standartlar\">Kriptografik standartlar<\/span><\/h2>\n<p>Sertifika anahtar\u0131, CA&#8217;nin imza algoritmas\u0131 ve TLS ba\u011flant\u0131s\u0131ndaki anahtar anla\u015fmas\u0131 ayr\u0131 se\u00e7imlerdir. RSA\/ECDSA sertifikas\u0131, tek ba\u015f\u0131na TLS s\u00fcr\u00fcm\u00fcn\u00fc, forward secrecy&#8217;yi veya ba\u011flant\u0131n\u0131n performans\u0131n\u0131 belirlemez. Bu katmanlar\u0131 birlikte de\u011ferlendirin:<\/p>\n<h3><span id=\"RSAdan_ECDSAya_gecis_Performans_ve_guvenlik_dengesi\">RSA\u2019dan ECDSA\u2019ya ge\u00e7i\u015f: Performans ve g\u00fcvenlik dengesi<\/span><\/h3>\n<p>BR&#8217;nin ilgili profilleri RSA ve eliptik e\u011fri anahtarlar\u0131n\u0131 destekler; RSA&#8217;dan ECDSA&#8217;ya evrensel bir ge\u00e7i\u015f zorunlulu\u011fu yoktur. ECDSA&#8217;y\u0131, g\u00fcvenlik seviyesi, istemci uyumlulu\u011fu ve \u00f6l\u00e7\u00fclen sunucu maliyeti a\u00e7\u0131s\u0131ndan de\u011ferlendirin:<\/p>\n<ul>\n<li>Uygun algoritma ve parametrelerde, kar\u015f\u0131la\u015ft\u0131r\u0131labilir klasik g\u00fcvenlik seviyesi daha k\u0131sa eliptik e\u011fri anahtar\u0131yla sa\u011flanabilir.<\/li>\n<li>\u0130mzalama, do\u011frulama ve handshake maliyeti k\u00fct\u00fcphane, donan\u0131m, zincir ve i\u015f y\u00fck\u00fcne ba\u011fl\u0131d\u0131r; her senaryoda h\u0131zlanma beklemeyin.<\/li>\n<li>Y\u00fcksek trafikte CPU ve gecikmeyi temsil\u00ee istemcilerle \u00f6l\u00e7\u00fcn; anahtar boyutu b\u00fct\u00fcn sertifika zincirinin boyutu de\u011fildir.<\/li>\n<\/ul>\n<p>Uyumluluk amac\u0131yla bir\u00e7ok senaryoda <strong>hem RSA hem ECDSA sertifikan\u0131n sunucuda birlikte yap\u0131land\u0131r\u0131ld\u0131\u011f\u0131 ikili yap\u0131<\/strong> tercih ediliyor. Bu yap\u0131y\u0131 Nginx ve Apache \u00fczerinde nas\u0131l kuraca\u011f\u0131n\u0131z\u0131; <a href=\"https:\/\/www.dchost.com\/blog\/nginx-apache-rsa-ecdsa-ikili-sertifika\/\">ECDSA + RSA ikili SSL rehberimizde<\/a> ad\u0131m ad\u0131m anlatt\u0131k. Sunucu genellikle istemci yeteneklerine uygun sertifikay\u0131 se\u00e7er; ayn\u0131 handshake i\u00e7inde her iki u\u00e7 sertifikay\u0131 birden sunmas\u0131 veya her eski istemcinin ba\u015far\u0131l\u0131 olmas\u0131 garanti de\u011fildir. \u0130ki t\u00fcr\u00fcn yenilenmesini ve sunulan zincirlerini ayr\u0131 izleyin.<\/p>\n<h3><span id=\"TLS_13_ve_modern_cipher_suiteler\">TLS 1.3 ve modern cipher suite\u2019ler<\/span><\/h3>\n<p>TLS s\u00fcr\u00fcm\u00fc sertifika ge\u00e7erlilik takviminden ayr\u0131 bir protokol tercihidir. RFC 9325, TLS 1.0\/1.1&#8217;in kullan\u0131lmamas\u0131n\u0131, TLS 1.2 i\u00e7in g\u00fcvenli yap\u0131land\u0131rmay\u0131 ve desteklendi\u011finde TLS 1.3&#8217;\u00fcn tercih edilmesini s\u00f6yler. TLS 1.2&#8217;nin b\u00fct\u00fcn kullan\u0131m\u0131n\u0131 ge\u00e7ersiz ilan eden genel bir sertifika kural\u0131 yoktur. Sunucu, y\u00fck dengeleyici ve istemci uyumlulu\u011funu birlikte test edin:<\/p>\n<ul>\n<li>TLS 1.0\/1.1&#8217;i ve SSL s\u00fcr\u00fcmlerini kald\u0131r\u0131n; eski ba\u011f\u0131ml\u0131l\u0131klar\u0131 g\u00fcncelleyin.<\/li>\n<li>TLS 1.2&#8217;de g\u00fcncel g\u00fcvenlik politikas\u0131na uygun ECDHE ve AEAD se\u00e7eneklerini de\u011ferlendirin; yaln\u0131z \u015fifre paketi ad\u0131n\u0131 de\u011fi\u015ftirerek t\u00fcm yap\u0131land\u0131rmay\u0131 g\u00fcvenli saymay\u0131n.<\/li>\n<li>TLS 1.3&#8217;te \u015fifre paketinin anahtar anla\u015fmas\u0131 veya sertifika imza algoritmas\u0131n\u0131 se\u00e7medi\u011fini hat\u0131rlay\u0131n. PSK ve 0-RTT kullan\u0131m\u0131 gibi se\u00e7enekleri ayr\u0131ca inceleyin; erken veride tekrar sald\u0131r\u0131s\u0131 riski vard\u0131r.<\/li>\n<\/ul>\n<p>Bu konu yaln\u0131zca sertifikan\u0131n kendisiyle ilgili de\u011fil; <strong>web sunucusu, load balancer ve WAF konfig\u00fcrasyonunuzla da do\u011frudan ba\u011flant\u0131l\u0131<\/strong>. Detayl\u0131 bir TLS sertle\u015ftirme yol haritas\u0131 i\u00e7in, hem protokol hem de \u015fifre listelerini ele ald\u0131\u011f\u0131m\u0131z <a href=\"https:\/\/www.dchost.com\/blog\/ssl-tls-protokol-guncellemeleri-nginx-apache\/\">SSL\/TLS protokol g\u00fcncellemeleri rehberimize<\/a> mutlaka g\u00f6z at\u0131n.<\/p>\n<h3><span id=\"Postquantum_kuantuma_dayanikli_sertifikalara_dogru_ilk_adimlar\">Post\u2011quantum (kuantuma dayan\u0131kl\u0131) sertifikalara do\u011fru ilk ad\u0131mlar<\/span><\/h3>\n<p>Kuantum sonras\u0131 haz\u0131rl\u0131k i\u00e7in sertifika imzas\u0131n\u0131 TLS anahtar anla\u015fmas\u0131ndan ay\u0131r\u0131n. NIST&#8217;in A\u011fustos 2024&#8217;te yay\u0131mlad\u0131\u011f\u0131 FIPS 203, 204 ve 205; ML-KEM, ML-DSA ve SLH-DSA&#8217;y\u0131 standartla\u015ft\u0131r\u0131r. Bu, s\u00f6z konusu algoritmalar\u0131n genel g\u00fcvenilen web sertifikalar\u0131nda her CA ve taray\u0131c\u0131 taraf\u0131ndan kabul edildi\u011fi anlam\u0131na gelmez.<\/p>\n<ul>\n<li>Hibrit veya PQ anahtar anla\u015fmas\u0131 deste\u011fi, PQ imzal\u0131 sertifika deste\u011fiyle ayn\u0131 \u00f6zellik de\u011fildir.<\/li>\n<li>Kriptografik envanterde sertifika anahtar\u0131\/imzas\u0131, TLS k\u00fct\u00fcphanesi, ba\u011flant\u0131 algoritmalar\u0131 ve veri saklama s\u00fcresini ayr\u0131 kaydedin.<\/li>\n<li>CA, taray\u0131c\u0131 ve yaz\u0131l\u0131m\u0131n a\u00e7\u0131k destek beyanlar\u0131n\u0131 izleyin; de\u011fi\u015fikli\u011fi \u00f6nce uyumluluk, y\u00fck ve geri d\u00f6n\u00fc\u015f testinden ge\u00e7irin.<\/li>\n<\/ul>\n<p>G\u00fcncel TLS k\u00fct\u00fcphaneleri, yap\u0131land\u0131rma y\u00f6netimi ve anahtar de\u011fi\u015ftirme s\u00fcre\u00e7leri ge\u00e7i\u015f haz\u0131rl\u0131\u011f\u0131n\u0131 kolayla\u015ft\u0131r\u0131r. Kabul politikas\u0131 do\u011frulanmam\u0131\u015f PQ sertifikas\u0131n\u0131 \u00fcretime da\u011f\u0131tmay\u0131n. Mevcut mimarinin gelecekte hi\u00e7bir de\u011fi\u015fiklik gerektirmeyece\u011fi veya belirli y\u0131lda hibrit sertifikaya ge\u00e7ilece\u011fi sonucu \u00e7\u0131kar\u0131lamaz.<\/p>\n<h2><span id=\"mTLS_istemci_sertifikalari_ve_Zero_Trust_mimarilerde_yeni_rol\">mTLS, istemci sertifikalar\u0131 ve Zero Trust mimarilerde yeni rol<\/span><\/h2>\n<p>mTLS, sunucu do\u011frulamas\u0131na ek olarak istemcinin de sertifikayla kimli\u011fini kan\u0131tlayabildi\u011fi TLS kullan\u0131m bi\u00e7imidir. Y\u00f6netim ve servis ileti\u015fiminde de\u011ferlendirilebilir; yeni CA\/B web sertifikas\u0131 takviminin b\u00fct\u00fcn istemci sertifikalar\u0131na geni\u015flemesi anlam\u0131na gelmez. Uygun \u00f6rnekler:<\/p>\n<ul>\n<li>Y\u00f6netim panelinde kullan\u0131c\u0131 yetkilendirmesi ve gerekirse IP k\u0131s\u0131tlamas\u0131 yan\u0131nda istemci sertifikas\u0131 istemek.<\/li>\n<li>Servisler aras\u0131nda ayr\u0131 kimlikler, dar yetkiler ve izlenebilir yenileme ile mTLS kullanmak.<\/li>\n<li>Belirli uygulama eri\u015fiminde cihaz\/istemci sertifikas\u0131n\u0131 ek kontrol yapmak; bunu her VPN&#8217;in i\u015flevsel kar\u015f\u0131l\u0131\u011f\u0131 saymamak.<\/li>\n<\/ul>\n<p>\u0130\u00e7 CA&#8217;n\u0131n g\u00fcven da\u011f\u0131t\u0131m\u0131, istemci sertifikas\u0131 ya\u015fam d\u00f6ng\u00fcs\u00fc ve eri\u015fim politikas\u0131 ayr\u0131ca tasarlan\u0131r. mTLS kimlik do\u011frular; kullan\u0131c\u0131n\u0131n veya servisin her i\u015flemi yapmaya yetkili oldu\u011funu kendili\u011finden belirlemez. Anahtar kayb\u0131, iptal, k\u0131sa s\u00fcre, yeniden kay\u0131t ve acil eri\u015fim senaryolar\u0131n\u0131 da planlay\u0131n.<\/p>\n<p>\u00d6rne\u011fin; Nginx \u00fczerinde mTLS kurulumunu ad\u0131m ad\u0131m anlatt\u0131\u011f\u0131m\u0131z <a href=\"https:\/\/www.dchost.com\/blog\/nginx-caddy-mikroservis-mtls\/\">Nginx ve Caddy\u2019de mTLS rehberi<\/a>, Zero Trust yakla\u015f\u0131m\u0131na ge\u00e7mek isteyen ekipler i\u00e7in olduk\u00e7a pratik bir ba\u015flang\u0131\u00e7 noktas\u0131 sunuyor.<\/p>\n<h2><span id=\"Sureler_kisalirken_otomasyonu_ve_izlemeyi_birlikte_kurun\">S\u00fcreler k\u0131sal\u0131rken otomasyonu ve izlemeyi birlikte kurun<\/span><\/h2>\n<p>BR, her i\u015fletmenin belirli bir otomasyon \u00fcr\u00fcn\u00fcn\u00fc kullanmas\u0131n\u0131 \u015fart ko\u015fmaz. Ancak sertifika say\u0131s\u0131 ve yenileme s\u0131kl\u0131\u011f\u0131 artt\u0131\u011f\u0131nda, do\u011frulama ve da\u011f\u0131t\u0131m\u0131n otomasyonu hata olas\u0131l\u0131\u011f\u0131n\u0131 azaltmaya yard\u0131mc\u0131 olur. \u0130zleme ve sorumlu ekip olmadan otomatik s\u00fcre\u00e7 de ba\u015far\u0131s\u0131z kalabilir. \u00d6rnek bir planlama sorusu:<\/p>\n<p>\u201cVarsay\u0131msal olarak 30\u201340 alan ad\u0131, bunlar\u0131n alt alanlar\u0131 ve farkl\u0131 ortamlar\u0131 i\u00e7in sertifika y\u00f6netiyorsak, yenileme ve da\u011f\u0131t\u0131m hatas\u0131n\u0131 nas\u0131l fark eder ve d\u00fczeltiriz?\u201d Bu say\u0131 ger\u00e7ek m\u00fc\u015fteri \u00f6l\u00e7\u00fcm\u00fc veya otomasyon i\u00e7in zorunlu e\u015fik de\u011fildir.<\/p>\n<h3><span id=\"Pratik_bir_otomasyon_stratejisi_nasil_kurulur\">Pratik bir otomasyon stratejisi nas\u0131l kurulur?<\/span><\/h3>\n<p>A\u015fama a\u015fama ilerlemek en sa\u011fl\u0131kl\u0131s\u0131d\u0131r:<\/p>\n<ol>\n<li><strong>Envanter:<\/strong> Alan ad\u0131\/SAN, ortam, DV\/OV\/EV, wildcard kapsam\u0131, CA, anahtar konumu, sertifika biti\u015fi ve sorumluyu kaydedin.<\/li>\n<li><strong>\u00d6ncelik:<\/strong> \u00d6deme, API ve y\u00f6netim gibi kritik i\u015flemlerden ba\u015flay\u0131n; staging ve unutulmu\u015f u\u00e7lar\u0131 envanter d\u0131\u015f\u0131nda b\u0131rakmay\u0131n.<\/li>\n<li><strong>\u0130stemci ve da\u011f\u0131t\u0131m:<\/strong> cPanel, Plesk, DirectAdmin, Nginx, Apache veya Kubernetes bile\u015feninde ger\u00e7ek CA\/ACME deste\u011fini do\u011frulay\u0131n. Talep ba\u015far\u0131s\u0131yla yetinmeyin; anahtar izinlerini, atomik y\u00fcklemeyi, reload sonucunu ve d\u0131\u015far\u0131dan sunulan zinciri kontrol edin.<\/li>\n<li><strong>DNS:<\/strong> ACME wildcard i\u00e7in DNS-01 deste\u011fini ve gerekli DNS yetkisini planlay\u0131n. API anahtar\u0131n\u0131 dar kapsaml\u0131 tutun; m\u00fc\u015fteri \u00f6zel alan\u0131nda do\u011frulama kayd\u0131\/delegasyonu ile trafik CNAME&#8217;ini kar\u0131\u015ft\u0131rmay\u0131n.<\/li>\n<li><strong>\u0130zleme:<\/strong> Biti\u015f tarihi, yenileme\/da\u011f\u0131t\u0131m hatas\u0131, durmu\u015f zamanlay\u0131c\u0131 ve eksik metrik i\u00e7in alarm olu\u015fturun. G\u00f6nderim ve \u00e7\u00f6z\u00fclme bildirimini test edin; sorumlu ve m\u00fcdahale s\u00fcresi belirleyin.<\/li>\n<li><strong>Hata y\u00f6netimi:<\/strong> CA rate limitlerini, \u00f6l\u00e7\u00fcl\u00fc retry\/backoff&#8217;u ve test ortam\u0131n\u0131 kullan\u0131n. Yedek CA&#8217;n\u0131n CAA, hesap ve challenge uyumlulu\u011funu \u00f6nceden do\u011frulay\u0131n; geri d\u00f6n\u00fc\u015fte s\u00fcresi dolmu\u015f veya iptal edilmi\u015f sertifikaya d\u00f6nmeyin.<\/li>\n<\/ol>\n<p>Daha ileri senaryolarda, <a href=\"https:\/\/www.dchost.com\/blog\/acme-sh-lets-encrypt-zerossl-yedek-ca\/\">ACME otomasyonunda yedekli CA tasar\u0131m\u0131<\/a> veya <a href=\"https:\/\/www.dchost.com\/blog\/saas-ozel-alan-adlari-dns-01-ssl\/\">SaaS uygulamalar\u0131nda otomatik SSL mimarisi<\/a> gibi daha karma\u015f\u0131k ama esnek yap\u0131lara da ge\u00e7mek m\u00fcmk\u00fcn.<\/p>\n<h2><span id=\"Standart_degisimlerini_somutlastirmak_Tipik_senaryolar\">Standart de\u011fi\u015fimlerini somutla\u015ft\u0131rmak: Tipik senaryolar<\/span><\/h2>\n<h3><span id=\"Senaryo_1_Orta_olcekli_eticaret_sitesi\">Senaryo 1: Orta \u00f6l\u00e7ekli e\u2011ticaret sitesi<\/span><\/h3>\n<p>Ger\u00e7ek m\u00fc\u015fteri sonucu olarak sunulmayan \u00f6rnek bir e-ticaret yap\u0131s\u0131 d\u00fc\u015f\u00fcnelim:<\/p>\n<ul>\n<li>1 ana domain, 3\u20114 alt alan (www, api, panel, static) bulunuyor.<\/li>\n<li>WordPress + WooCommerce veya \u00f6zel geli\u015ftirilmi\u015f bir PHP\/Laravel altyap\u0131s\u0131 kullan\u0131l\u0131yor.<\/li>\n<li>\u00d6deme sayfas\u0131 PCI DSS gerekliliklerine tabi.<\/li>\n<\/ul>\n<p>Bu \u00f6rnekte sertifika politikas\u0131, TLS yap\u0131land\u0131rmas\u0131 ve \u00f6deme uyumlulu\u011fu i\u00e7in ayr\u0131 kontroller gerekir:<\/p>\n<ul>\n<li>TLS 1.0\/1.1&#8217;i kald\u0131r\u0131p uygun TLS 1.2\/1.3 politikas\u0131n\u0131 ger\u00e7ek \u00f6deme ak\u0131\u015f\u0131yla test edin.<\/li>\n<li>D\u00fczenlenme tarihine g\u00f6re yukar\u0131daki 200\/100\/47 g\u00fcnl\u00fck tavanlar\u0131 uygulay\u0131n; ger\u00e7ek sertifika s\u00fcresine uygun erken yenileme ve da\u011f\u0131t\u0131m izleme kurun.<\/li>\n<li>CAA politikas\u0131 kullan\u0131l\u0131yorsa etkin ve yedek CA&#8217;leri do\u011fru yetkilendirin.<\/li>\n<li>HSTS&#8217;yi \u00e7al\u0131\u015fan HTTPS ve alt alan kapsam\u0131n\u0131 do\u011frulayarak a\u015famal\u0131 a\u00e7\u0131n; includeSubDomains\/preload karar\u0131n\u0131 ayr\u0131ca verin.<\/li>\n<li>OCSP stapling&#8217;i yaln\u0131z ilgili sertifika\/CA ve istemci destekliyorsa de\u011ferlendirin. Let\u2019s Encrypt OCSP hizmeti 6 A\u011fustos 2025&#8217;te sona erdi; g\u00fcncel sertifikalar\u0131 i\u00e7in evrensel stapling talimat\u0131 uygulanamaz.<\/li>\n<\/ul>\n<p>WooCommerce taraf\u0131nda PCI DSS uyumlulu\u011funu b\u00fct\u00fcnsel olarak ele ald\u0131\u011f\u0131m\u0131z <a href=\"https:\/\/www.dchost.com\/blog\/pci-dss-uyumlu-woocommerce-hosting-kontrol-listesi-saq-a-mi-a-ep\/\">WooCommerce i\u00e7in PCI DSS hosting kontrol listesi<\/a> de bu senaryo i\u00e7in tamamlay\u0131c\u0131 bir rehber olacakt\u0131r.<\/p>\n<h3><span id=\"Senaryo_2_Cok_kiracili_SaaS_uygulamasi\">Senaryo 2: \u00c7ok kirac\u0131l\u0131 SaaS uygulamas\u0131<\/span><\/h3>\n<p>\u00d6zellikle B2B SaaS d\u00fcnyas\u0131nda yayg\u0131n olan bu modelde:<\/p>\n<ul>\n<li>Her m\u00fc\u015fteriye kendi alt alan\u0131 veriliyor (musteri1.example.com, musteri2.example.com).<\/li>\n<li>Baz\u0131 m\u00fc\u015fteriler, kendi alan adlar\u0131n\u0131 sisteme getirip CNAME ile ba\u011flamak istiyor.<\/li>\n<li>Y\u00fczlerce veya binlerce sertifikada manuel takip, yenileme ve hata m\u00fcdahalesinin i\u015fletim y\u00fck\u00fc b\u00fcy\u00fcr.<\/li>\n<\/ul>\n<p>\u00c7ok kirac\u0131l\u0131 modelde otomasyon g\u00fc\u00e7l\u00fc bir i\u015fletim tercihidir; BR tek bir mimariyi veya her \u00f6zel alan i\u00e7in DNS-01 kullan\u0131m\u0131n\u0131 dayatmaz. CA&#8217;nin destekledi\u011fi ve kontrol edebildi\u011finiz challenge y\u00f6ntemini se\u00e7in. \u00d6rnek tasar\u0131m:<\/p>\n<ul>\n<li>Platform alt alanlar\u0131nda wildcard kapsam\u0131n\u0131 do\u011fru hesaplay\u0131n: *.example.com, example.com veya a.b.example.com ad\u0131n\u0131 kapsamaz; gerekli SAN&#8217;lar\u0131 ayr\u0131ca sa\u011flay\u0131n.<\/li>\n<li>M\u00fc\u015fteri \u00f6zel alan\u0131nda sahiplik\/tenant e\u015flemesini ve challenge yetkisini do\u011frulay\u0131n. Trafik CNAME&#8217;i tek ba\u015f\u0131na DNS-01 TXT kayd\u0131 yazma yetkisi vermez; ayr\u0131 delegasyon veya uygun HTTP do\u011frulamas\u0131 gerekebilir.<\/li>\n<li>CA hesab\u0131, DNS kimlik bilgileri, sertifika\/anahtar da\u011f\u0131t\u0131m\u0131 ve m\u00fc\u015fteri ayr\u0131l\u0131\u015f\u0131nda kay\u0131t temizli\u011fini tenant s\u0131n\u0131rlar\u0131yla y\u00f6netin.<\/li>\n<li>Sertifika biti\u015fi, otomatik yenileme ve u\u00e7ta sunulan sertifikay\u0131 merkezi izleyin; hatal\u0131 m\u00fc\u015fteri alan\u0131n\u0131 di\u011fer tenant&#8217;lara ba\u011flamay\u0131n.<\/li>\n<\/ul>\n<p>Bu modelin mimari detaylar\u0131n\u0131 merak ediyorsan\u0131z, <a href=\"https:\/\/www.dchost.com\/blog\/saas-ozel-alan-adlari-dns-01-ssl\/\">SaaS\u2019te \u00f6zel alan adlar\u0131 ve otomatik SSL rehberi<\/a> tam size g\u00f6re.<\/p>\n<h3><span id=\"Senaryo_3_Kurumsal_intranet_yonetim_panelleri_ve_mTLS\">Senaryo 3: Kurumsal intranet, y\u00f6netim panelleri ve mTLS<\/span><\/h3>\n<p>\u0130ntranet, y\u00f6netim paneli ve i\u00e7 API&#8217;lerde \u00f6zel PKI kullan\u0131labilir. Kurum k\u00f6k\u00fc genel uygulama g\u00fcven depolar\u0131yla da\u011f\u0131t\u0131lm\u0131yorsa BR&#8217;nin genel TLS sunucu sertifikas\u0131 takvimini bu sertifikalara otomatik uygulamay\u0131n. Kurum politikas\u0131 yine k\u0131sa s\u00fcre, denetim ve otomasyon hedefleyebilir.<\/p>\n<p>Burada uygulanabilecek stratejiler:<\/p>\n<ul>\n<li>Panelde istemci sertifikas\u0131n\u0131 do\u011frulay\u0131n; kullan\u0131c\u0131\/cihaz kimli\u011fine g\u00f6re yetki, iptal ve kay\u0131t politikas\u0131 uygulay\u0131n.<\/li>\n<li>Mikroservislerde kar\u015f\u0131l\u0131kl\u0131 kimlik do\u011frulamas\u0131n\u0131 dar servis yetkileriyle birle\u015ftirin; ele ge\u00e7irilmi\u015f yetkili servisin eri\u015fimini yaln\u0131z mTLS engellemez.<\/li>\n<li>\u0130\u00e7 CA i\u00e7in g\u00fcven k\u00f6k\u00fc da\u011f\u0131t\u0131m\u0131, k\u0131sa s\u00fcreli istemci sertifikalar\u0131, otomatik yenileme, anahtar korumas\u0131 ve CA kurtarma plan\u0131 olu\u015fturun.<\/li>\n<\/ul>\n<p>VPN, IP k\u0131s\u0131t\u0131 ve mTLS farkl\u0131 kontrollerdir. Se\u00e7imi uygulama eri\u015fimi, cihaz y\u00f6netimi, i\u015fletim y\u00fck\u00fc ve olay kay\u0131tlar\u0131yla de\u011ferlendirin; evrensel bir \u00fcst\u00fcnl\u00fck veya daha kolay izleme sonucu varsaymay\u0131n.<\/p>\n<h2><span id=\"Hosting_saglayicisiyla_hangi_ozellikleri_dogrulamalisiniz\">Hosting sa\u011flay\u0131c\u0131s\u0131yla hangi \u00f6zellikleri do\u011frulamal\u0131s\u0131n\u0131z?<\/span><\/h2>\n<p>DCHost \u00fczerinde <a href=\"https:\/\/www.dchost.com\/tr\/web-hosting\">payla\u015f\u0131ml\u0131 hosting<\/a>, <a href=\"https:\/\/www.dchost.com\/tr\/vps\">VPS<\/a>, <a href=\"https:\/\/www.dchost.com\/tr\/fiziksel-sunucu\">dedicated sunucu<\/a> veya colocation kullan\u0131rken y\u00f6netim sorumlulu\u011fu ve eri\u015fim modeli de\u011fi\u015febilir. Se\u00e7ilen plan i\u00e7in \u015fu ko\u015fullar\u0131 do\u011frulay\u0131n:<\/p>\n<ul>\n<li>Ger\u00e7ek sunucu\/panel s\u00fcr\u00fcm\u00fc, etkin TLS protokolleri ve desteklenen istemci matrisi.<\/li>\n<li>RSA\/ECDSA sertifika se\u00e7imi ve her iki zincirin ayr\u0131 yenileme\/da\u011f\u0131t\u0131m deste\u011fi.<\/li>\n<li>AutoSSL veya ACME sa\u011flay\u0131c\u0131s\u0131, do\u011frulama y\u00f6ntemi, zamanlay\u0131c\u0131, yenileme hatas\u0131 bildirimleri ve m\u00fcdahale sorumlusu.<\/li>\n<li>OV\/EV i\u00e7in desteklenen API\/ACME \u00fcr\u00fcnleri, kimlik do\u011frulama yenilemesi ve yetkili hesap y\u00f6netimi.<\/li>\n<\/ul>\n<p>Destek g\u00f6r\u00fc\u015fmesine envanteri, sertifika d\u00fczenlenme\/biti\u015f tarihlerini, CA bilgilerini ve hassas veri i\u00e7ermeyen hata kay\u0131tlar\u0131n\u0131 haz\u0131rlay\u0131n. Y\u00f6netilen hizmet kapsam\u0131n\u0131, de\u011fi\u015fikli\u011fi kimin uygulayaca\u011f\u0131n\u0131 ve \u00fccret\/eri\u015fim ko\u015fullar\u0131n\u0131 teyit edin.<\/p>\n<h2><span id=\"Ozet_Bundan_sonra_ne_yapmalisiniz\">\u00d6zet: Bundan sonra ne yapmal\u0131s\u0131n\u0131z?<\/span><\/h2>\n<p>\u00d6ncelikli de\u011fi\u015fiklikler, tarihli sertifika s\u00fcresi ve do\u011frulama ko\u015fullar\u0131d\u0131r. ACME i\u015fletimi, CAA, taray\u0131c\u0131 CT politikas\u0131, TLS yap\u0131land\u0131rmas\u0131, ECDSA uyumlulu\u011fu ve mTLS\/PQ haz\u0131rl\u0131klar\u0131 bunlarla ili\u015fkili ama ayr\u0131 karar alanlar\u0131d\u0131r. Hepsini tek bir evrensel zorunluluk listesi gibi uygulamay\u0131n.<\/p>\n<p>Pratik bir yol haritas\u0131 \u00e7izmek i\u00e7in \u015fu s\u0131ray\u0131 \u00f6nerebiliriz:<\/p>\n<ol>\n<li>Alan ad\u0131, sertifika, anahtar ve sorumlular\u0131n envanterini \u00e7\u0131kar\u0131n; d\u00fczenlenme tarihine g\u00f6re ge\u00e7erlilik ve do\u011frulama yeniden kullan\u0131m tavan\u0131n\u0131 kontrol edin.<\/li>\n<li>TLS s\u00fcr\u00fcmleri, \u015fifre politikas\u0131 ve RSA\/ECDSA istemci uyumlulu\u011funu test edin.<\/li>\n<li>Desteklenen ACME\/API yenilemesini g\u00fcvenli da\u011f\u0131t\u0131m, reload kontrol\u00fc ve d\u0131\u015f sertifika izlemesiyle tamamlay\u0131n.<\/li>\n<li>CAA yetkilendirmesini, MPIC i\u00e7in do\u011frulama eri\u015fimini ve CT olay bildirimlerini inceleyin.<\/li>\n<li>\u0130\u00e7 servislerde mTLS\/\u00f6zel PKI ya\u015fam d\u00f6ng\u00fcs\u00fcn\u00fc ayr\u0131 planlay\u0131n; PQ i\u00e7in envanter ve kontroll\u00fc ge\u00e7i\u015f haz\u0131rl\u0131\u011f\u0131 yap\u0131n.<\/li>\n<\/ol>\n<p>De\u011fi\u015fikliklerin kabul \u00f6l\u00e7\u00fct\u00fc yaln\u0131z ba\u015far\u0131l\u0131 sertifika talebi de\u011fildir. Kritik kullan\u0131c\u0131 i\u015flemi \u00e7al\u0131\u015fmal\u0131, do\u011fru sertifika u\u00e7ta sunulmal\u0131, hata alarm\u0131 ula\u015fmal\u0131 ve bir sonraki yenilemenin sorumlusu belli olmal\u0131d\u0131r. Bu kontroller kesinti riskini azaltmaya yard\u0131mc\u0131 olur; kesintisizlik garantisi vermez.<\/p>\n<p>E\u011fer nereden ba\u015flayaca\u011f\u0131n\u0131z konusunda akl\u0131n\u0131z kar\u0131\u015f\u0131yorsa, \u00f6nce <a href=\"https:\/\/www.dchost.com\/blog\/ssl-sertifikasi-nedir\/\">SSL sertifikas\u0131 nedir ve sitenizi nas\u0131l g\u00fcvence alt\u0131na al\u0131rs\u0131n\u0131z<\/a> yaz\u0131m\u0131za g\u00f6z at\u0131n, ard\u0131ndan bu yaz\u0131daki ad\u0131mlar\u0131 kendi ortam\u0131n\u0131za uyarlamaya \u00e7al\u0131\u015f\u0131n. Gereksinimleri CA ve taray\u0131c\u0131 politikas\u0131yla do\u011frulay\u0131n; sa\u011flay\u0131c\u0131 deste\u011finin kapsam\u0131n\u0131 ayr\u0131ca teyit ederek de\u011fi\u015fiklik ve geri d\u00f6n\u00fc\u015f plan\u0131 haz\u0131rlay\u0131n.<\/p>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>Genel TLS sertifikalar\u0131n\u0131n 200, 100 ve 47 g\u00fcnl\u00fck s\u00fcre takvimini, MPIC a\u015famalar\u0131n\u0131 ve do\u011frulama kurallar\u0131n\u0131 \u00f6\u011frenin. Otomasyon, da\u011f\u0131t\u0131m, izleme ve \u00f6zel PKI kapsam\u0131n\u0131 ayr\u0131 planlay\u0131n.<\/p>\n","protected":false},"author":1,"featured_media":11851,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[32,33,30,25],"tags":[],"class_list":["post-3322","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-alan-adi","category-nasil-yapilir","category-nedir","category-sunucu"],"_links":{"self":[{"href":"https:\/\/www.dchost.com\/blog\/wp-json\/wp\/v2\/posts\/3322","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.dchost.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.dchost.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.dchost.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.dchost.com\/blog\/wp-json\/wp\/v2\/comments?post=3322"}],"version-history":[{"count":8,"href":"https:\/\/www.dchost.com\/blog\/wp-json\/wp\/v2\/posts\/3322\/revisions"}],"predecessor-version":[{"id":11853,"href":"https:\/\/www.dchost.com\/blog\/wp-json\/wp\/v2\/posts\/3322\/revisions\/11853"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.dchost.com\/blog\/wp-json\/wp\/v2\/media\/11851"}],"wp:attachment":[{"href":"https:\/\/www.dchost.com\/blog\/wp-json\/wp\/v2\/media?parent=3322"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.dchost.com\/blog\/wp-json\/wp\/v2\/categories?post=3322"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.dchost.com\/blog\/wp-json\/wp\/v2\/tags?post=3322"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}