SSL Sertifika Süresi Kısalıyor: 200, 100 ve 47 Gün Takvimi

SSL sertifika süresi kademeli olarak kısalıyor. CA/B Forum'un SC-081 kararına göre genel (herkese açık) SSL sertifikalarının azami süresi 15 Mart 2026'dan itibaren 200 gün, 15 Mart 2027'den itibaren 100 gün, 15 Mart 2029'dan itibaren 47 gün olacak. Bu, sertifikayı yılda bir kez elle yenileme alışkanlığının sonu demek; yenilemeyi otomatikleştirmek ve sonucunu ayrıca izlemek gerekiyor.

SSL sertifika süresi neden önemli?

SSL (TLS) sertifikası, sitenizle ziyaretçi arasındaki bağlantıyı şifreleyen ve sitenin kimliğini doğrulayan dijital bir belgedir. Her sertifikanın bir bitiş tarihi vardır ve bu tarih geçtiğinde tarayıcılar ziyaretçiye bir uyarı sayfası gösterir; bu uyarının nedenlerini bağlantınız gizli değil hatası yazımızda anlattık.

Sertifikanın ne kadar süre geçerli olabileceğine tek tek sertifika firmaları karar vermez. Tarayıcı üreticileri ve sertifika otoritelerinin (CA) birlikte kural koyduğu CA/Browser Forum (kısaca CA/B Forum) bu sınırı belirler. Tarayıcılar bu kurallara uymayan sertifikaları kabul etmez.

SC-081 takvimi: 200, 100, 47 gün

Uzun süre azami SSL sertifika süresi 398 gündü; yani bir sertifika kabaca yılda bir yenileniyordu. SC-081 kararıyla bu süre üç adımda kısalıyor:

Kural, sertifikanın verildiği tarihe göre işler. Yani 15 Mart 2026'dan önce alınmış 398 günlük bir sertifika süresi dolana kadar geçerli kalır; bir sonraki yenilemede yeni sınır uygulanır. Bu yazının tarihi itibarıyla 200 günlük sınır zaten yürürlükte.

Takvimle birlikte, sertifika firmasının alan adı sahipliğini daha önce yaptığı bir doğrulamaya dayanarak yeniden kullanabileceği süre de kısalıyor. Uygulamada bu, alan adı doğrulamasının da daha sık yapılması gerektiği anlamına geliyor.

Let's Encrypt gibi ücretsiz sertifikalar zaten 90 gün geçerli olduğu için ilk iki adımdan etkilenmiyor. Ancak 2029'daki 47 günlük sınır onları da kapsayacak. Let's Encrypt kendi sürelerini kısaltma planını da ayrıca duyurdu; güncel takvim için resmi duyurularını takip etmenizi öneririz.

Süreler neden kısaltılıyor?

Bu değişikliğin arkasında birkaç güvenlik gerekçesi var:

• İptal sistemi iyi çalışmıyor: Bir sertifikanın özel anahtarı çalınırsa ya da sertifika hatalı verilirse iptal edilmesi gerekir. Ama tarayıcıların iptal listelerini kontrol etme yöntemleri yıllardır güvenilir değil. Kısa ömürlü bir sertifika, iptal edilemese bile kısa sürede kendiliğinden geçersiz olur.
• Çalınan anahtarın zararı sınırlanır: Bir anahtar ele geçirilirse kötüye kullanılabileceği süre sertifikanın ömrüyle sınırlıdır.
• Alan adı sahipliği değişir: Bir alan adı el değiştirdiğinde eski sahibin elindeki geçerli sertifika sorun yaratabilir. Daha sık doğrulama bu riski azaltır.
• Değişime hızlı uyum: Bir şifreleme yöntemi zayıf kaldığında, kısa süreli sertifikalar sayesinde tüm internet çok daha hızlı yeni yönteme geçebilir.

Site sahibi için ne değişiyor?

En büyük değişiklik şu: SSL sertifikasını yılda bir kez, takvime not düşerek elle yenilemek artık yetmiyor. 200 günlük sertifikayla bile yılda iki kez uğraşmanız gerekiyor; 47 günlük sertifikayla elle yenileme pratikte sürdürülemez hâle geliyor.

Bundan en çok etkilenecekler:

• Ücretli sertifikayı hosting panelinden elle yükleyen küçük işletmeler.
• Onlarca müşteri sitesini yöneten ajanslar.
• Kurumsal ağlarda sertifikayı elle kurulan cihazlar (yük dengeleyici, güvenlik duvarı, e-posta sunucusu).

Birkaç yıllık sertifika "paketi" satın almak da bu durumu değiştirmez. Çoğu sertifika firmasında bu tür paketler, satın alma süresi boyunca sertifikayı yeniden düzenleyip (reissue) tekrar kurmanızı gerektirir. Ödeme yıllık olabilir, ama kurulum sıklaşır. Paketinizin nasıl işlediğini sertifika firmanızdan teyit edin.

Çözüm: ACME ile otomatik yenileme

ACME, sertifika alma ve yenileme işini otomatikleştiren açık bir protokoldür. Sunucunuzdaki bir yazılım, sertifika otoritesiyle konuşup alan adının size ait olduğunu kanıtlar, sertifikayı alır ve kurar. Let's Encrypt bu yöntemin en bilinen örneğidir, ama artık birçok ücretli sertifika firması da ACME destekliyor.

Yaygın seçenekler:

• certbot veya acme.sh: Linux sunucularda sık kullanılan komut satırı araçları.
• Caddy gibi web sunucuları: sertifikayı kendi kendine alıp yeniler.
• Hosting panelleri: cPanel, Plesk gibi panellerde otomatik SSL özelliği genellikle hazır gelir; açık olup olmadığını kontrol edin.
• CDN'ler: Cloudflare gibi CDN'ler ziyaretçiye sundukları sertifikayı çoğunlukla kendileri yönetir.

Otomasyonu kurduktan sonra bir kez deneme yapın. certbot kullanıyorsanız şu komut gerçek sertifikaya dokunmadan yenileme sürecini sınar:

sudo certbot renew --dry-run

Otomasyon da sessizce bozulabilir

Otomatik yenileme sorunu çözer ama yeni bir risk getirir: bozulduğunda kimse fark etmez. Elle yenilemede en azından tarih birinin aklındadır; otomasyonda herkes "nasılsa yenileniyor" diye düşünür.

Yenilemenin sessizce başarısız olduğu tipik durumlar:

• Sunucu taşındı, zamanlanmış görev (cron veya systemd zamanlayıcısı) yeni sunucuya kurulmadı.
• Alan adının DNS kaydı başka bir sunucuya yönlendirildi, doğrulama artık başarısız.
• Güvenlik duvarı 80 portunu kapattı; HTTP üzerinden doğrulama yapılamıyor.
• DNS ile doğrulama için kullanılan API anahtarının süresi doldu.
• Sertifika yenilendi ama web sunucusu yeniden yüklenmediği için eski sertifika sunulmaya devam ediyor.
• Birden fazla sunucu var ve yenilenen sertifika yalnızca birine kopyalandı.

Sertifika süresi kısaldıkça bu hataların fark edilmesi için kalan zaman da kısalıyor. 398 günlük bir sertifikada bozulan otomasyonu aylar sonra fark etmek mümkündü; 47 günlük sertifikada birkaç hafta içinde site uyarı vermeye başlar. Bu senaryoları Let's Encrypt yenileme sorunları yazımızda ayrıntılı ele aldık.

İzleme: otomasyonun sonucunu dışarıdan kontrol edin

Doğru yaklaşım, otomasyona güvenmek ama sonucunu sunucudan bağımsız bir yerden doğrulamaktır. Yani "yenileme komutu çalıştı mı?" değil, "ziyaretçiye sunulan sertifikanın bitiş tarihi ne?" sorusunu sormak. Bunu elle yapmak için SSL sertifikası bitiş tarihi nasıl kontrol edilir rehberindeki openssl komutlarını kullanabilirsiniz.

Bulut Domain bu dış kontrolü sizin yerinize yapar: eklediğiniz alan adlarının sunduğu SSL sertifikasının bitiş tarihini ve vereni düzenli okur. Süre dolmadan kademeli olarak, dolduğu gün ve sonrasında e-posta ve site içi bildirimle uyarır. Otomatik yenileme sağlıklı çalışıyorsa sertifika bu eşiklerin çoğuna gelmeden yenilenir; son haftalara kadar yenilenmemiş bir sertifika ise otomasyonun bozulduğunun işaretidir.

Sık sorulan sorular

Mevcut sertifikam 15 Mart 2026'dan önce alındıysa ne olur?

Sertifikanız üzerinde yazan bitiş tarihine kadar geçerli kalır. Yeni sınır, bir sonraki yenilemede verilen sertifikaya uygulanır.

47 günlük sınır Let's Encrypt'i de etkiler mi?

Evet. Let's Encrypt sertifikaları şu an 90 gün geçerli olduğu için 200 ve 100 günlük adımlardan etkilenmiyor, ama 15 Mart 2029'dan sonra 47 günlük sınır tüm genel sertifikalar için geçerli olacak.

Kurum içi (özel) sertifikalar da bu kurala tabi mi?

SC-081, tarayıcıların güvendiği genel sertifikalar içindir. Kendi iç sertifika otoritenizle ürettiğiniz özel sertifikalar bu kapsamda değildir, ama kendi politikanıza göre yönetilmeleri gerekir.

Elle yenilemeye devam edebilir miyim?

Teknik olarak evet, ama yenileme sıklığı arttıkça unutma riski de artar. 100 ve 47 günlük dönemlerde otomatik yenilemeye geçmek ve sonucu ayrıca izlemek çok daha güvenlidir.

Sertifikalarınızın bitiş tarihini, alan adlarınızın süresiyle birlikte tek listede görmek için ücretsiz hesap oluşturun.