SSL Sertifikası Nedir? Ücretsiz Let's Encrypt Nasıl Kurulur?

SSL/TLS sertifikası, tarayıcı ile sunucu arasındaki trafiği şifreleyen ve sitenizin kimliğini doğrulayan küçük bir dosyadır. Adres çubuğundaki https:// ve kilit simgesi bu sayede görünür. Bugün SSL bir lüks değil, zorunluluktur: tarayıcılar HTTP siteleri "Güvenli değil" olarak işaretler ve Google HTTPS'i sıralama sinyali olarak kullanır.

SSL ne yapar, ne yapmaz?

Yapar

• Şifreleme: Aradaki kişi (halka açık Wi-Fi, ISP, saldırgan) parola, kart bilgisi, form verisini okuyamaz.
• Bütünlük: Trafik yolda değiştirilemez (reklam enjeksiyonu, kod ekleme engellenir).
• Kimlik: En azından "bu alan adının sahibi bu sertifikayı aldı" garantisi.

Yapmaz

• Sitenizi hacklenmekten korumaz — SSL taşıma katmanıdır, uygulama güvenliği ayrıdır.
• Kötü niyetli bir siteyi "iyi" yapmaz — kilit simgesi "şifreli", "güvenilir firma" demek değildir.

Doğrulama seviyeleri

Ücretsiz mi, ücretli mi?

Let's Encrypt ücretsiz, otomatik yenilenen DV sertifikaları verir ve tüm tarayıcılarda geçerlidir. Ücretli sertifika almanız gereken durumlar:

• OV/EV kurumsal doğrulama istiyorsanız
• Garanti/sigorta ve ticari destek şartsa
• Let's Encrypt'in desteklemediği bir senaryo (bazı istemci sertifikası, çok uzun ömür ihtiyacı)

Wildcard ve SAN

• Wildcard (*.siteniz.com): tüm alt alan adlarını tek sertifikayla kapsar. Let's Encrypt'te DNS-01 doğrulaması gerektirir.
• SAN / çoklu alan: Tek sertifikada birden çok farklı alan adı (siteniz.com, siteniz.net, baskasite.com).

Let's Encrypt kurulumu (Nginx + certbot)

sudo apt install certbot python3-certbot-nginx -y
sudo certbot --nginx -d siteniz.com -d www.siteniz.com

Certbot: sertifikayı alır, Nginx yapılandırmasına ekler, HTTP→HTTPS yönlendirmesi kurar.

Otomatik yenileme

Let's Encrypt sertifikaları 90 gün geçerlidir. Kurulum bir systemd zamanlayıcısı ekler; kontrol:

systemctl status certbot.timer
sudo certbot renew --dry-run

Wildcard için

sudo certbot certonly --manual --preferred-challenges dns -d "*.siteniz.com" -d siteniz.com

İstenen TXT kaydını DNS'e ekleyip yayılmasını bekleyin, sonra devam edin. DNS sağlayıcınızın API'si varsa certbot-dns-* eklentisiyle tamamen otomatikleşir.

Apache için

sudo apt install certbot python3-certbot-apache -y
sudo certbot --apache -d siteniz.com -d www.siteniz.com

Kurulumu doğrulayın

• Tarayıcıda kilit simgesi + https:// zorlanıyor mu?
• curl -I http://siteniz.com → 301 ile HTTPS'e yönlendiriyor mu?
• SSL Labs (ssllabs.com/ssltest) veya testssl.sh ile A/A+ notu.
• HSTS başlığı: add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Sık karşılaşılan sorunlar

• "Mixed content" uyarısı: Sayfa HTTPS ama içindeki resim/script http:// ile çağrılıyor. Tüm iç bağlantıları https:// veya protokolsüz (//) yapın.
• certbot "too many requests": Let's Encrypt haftalık limitine takıldınız; --dry-run ile test edip birkaç saat sonra tekrar deneyin.
• Sertifika yenilenmedi, site uyarı veriyor: certbot.timer çalışmıyor veya 80 portu certbot doğrulamasına kapalı. sudo certbot renew --force-renewal.
• Cloudflare kullanıyorum: Cloudflare "Full (strict)" modunda origin sunucuda da geçerli sertifika olmalı — Let's Encrypt veya Cloudflare Origin Certificate kurun.