SSL sertifikası sipariş edin, doğrulayın ve kurun

SSL (TLS) sertifikası alan adınızı bir anahtara bağlar; böylece tarayıcılar bağlantıyı şifreler ve doğru sunucuya ulaştıklarını kontrol eder. Bu rehber satın alınmış bir sertifikayı özel anahtardan çalışan bir HTTPS sitesine kadar götürür ve ücretsiz sertifikaları da kapsar. example.com yerine alan adınızı yazın.

1. adım: Özel anahtar ve CSR oluşturun

Sunucunuzda (veya herhangi bir Linux ya da macOS makinede) bir ECDSA anahtarı ve alan adını ile www adını kapsayan bir sertifika imzalama isteği oluşturun:

openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -nodes -keyout example.com.key -out example.com.csr -subj "/CN=example.com" -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

Bir sistem RSA gerektiriyorsa iki ec seçeneği yerine -newkey rsa:2048 kullanın. Anahtarı koruyun:

chmod 600 example.com.key
openssl req -in example.com.csr -noout -text

Doğrulama: çıktı alan adınızı Subject ve Subject Alternative Name altında gösterir. .key dosyası sunucuda kalır; yalnızca .csr dosyasını gönderirsiniz.

2. adım: Sertifikayı müşteri panelinde yapılandırın

1. Hizmetler › Ürünlerim sayfasına gidin ve SSL sertifikası hizmetini açın, ardından SSL Sertifikasını Ayarla'yı seçin (ya da SSL Sertifikalarını Yönet'i kullanın).
2. Sunucu türünüzü seçin, BEGIN ve END satırları dahil CSR'nin tamamını yapıştırın ve iletişim bilgilerini tamamlayın.
3. Sertifikanız için sunulan bir doğrulama yöntemi seçin:
   • E-posta: [email protected] veya [email protected] gibi bir adrese gönderilen mesajı onaylayın.
   • DNS: verilen TXT veya CNAME kaydını DNS sağlayıcınızda yayınlayın.
   • HTTP dosyası: verilen dosyayı sitenizde /.well-known/pki-validation/ altına koyun.

Doğrulama: sipariş durumu verildi olarak değişir, sertifika ve CA paketi teslim edilir. DV sertifikaları genellikle doğrulamadan birkaç dakika sonra gelir; OV ve EV önce kurum kontrollerini gerektirir.

3. adım: Sertifikayı kurun

Sertifikayı example.com.crt, ara paketi ca-bundle.crt olarak anahtarın yanına, örneğin /etc/ssl/example.com/ içine kaydedin. nginx ve Apache için bunları tam zincirde birleştirin:

cat example.com.crt ca-bundle.crt > fullchain.pem

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name example.com www.example.com;

    ssl_certificate     /etc/ssl/example.com/fullchain.pem;
    ssl_certificate_key /etc/ssl/example.com/example.com.key;
}

sudo a2enmod ssl

SSLEngine on
SSLCertificateFile    /etc/ssl/example.com/fullchain.pem
SSLCertificateKeyFile /etc/ssl/example.com/example.com.key

openssl pkcs12 -export -out example.com.pfx -inkey example.com.key -in example.com.crt -certfile ca-bundle.crt

4. adım: Sonucu kontrol edin

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -issuer -dates

Doğrulama: subject alan adınızdır, issuer sertifika otoritenizdir ve notAfter gelecekteki bir tarihtir. Siteyi bir tarayıcıda açın ve asma kilidi kontrol edin. Her şey çalıştığında HTTP'yi HTTPS'e yönlendirin.

Certbot ile ücretsiz sertifikalar

Kendi Linux sunucunuzda Certbot Let's Encrypt sertifikalarını alır ve yeniler. Dağıtım paketlerinden kurun ve nginx'i yapılandırmasına izin verin:

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d example.com -d www.example.com
sudo certbot renew --dry-run

Apache için python3-certbot-apache ve --apache kullanın. Ters proxy ile adım adım kurulum Certbot ile nginx ters proxy rehberindedir.

Yenilemeler ve CAA

En uzun sertifika ömürleri kısalıyor: 15 Mart 2026'dan beri 200 gün, 15 Mart 2027'den itibaren 100 gün ve 15 Mart 2029'dan itibaren 47 gün. Çok yıllık satın alımlar dönem içinde yeniden verilir ve her yeni sertifikayı kurarsınız; mümkün olan yerde otomatikleştirin. Bir CAA kaydı yayınlıyorsanız ücretsiz sertifikaların arkasındaki dahil kullandığınız her sertifika otoritesini listeleyin:

dig CAA example.com +short

Sorun giderme

Tarayıcı eksik zincir uyarısı veriyor. CA paketi eksik; tam zinciri kurun.

"Key values mismatch" veya sunucu başlamıyor. Sertifika anahtara ait değil. Karşılaştırın: openssl x509 -noout -pubkey -in example.com.crt ve openssl pkey -pubout -in example.com.key aynı anahtarı yazdırmalıdır.

E-posta ile doğrulama hiç gelmiyor. DNS veya HTTP doğrulamasını kullanın ya da onaylayıcı adresin var olduğundan emin olun.

Doğrulama CAA nedeniyle başarısız oluyor. Sertifikayı veren otoriteyi CAA kaydınıza ekleyin.

Sonraki adımlar

• Önüne Full (strict) ile Cloudflare koyun: Cloudflare kurulumu.
• Sertifika türlerini karşılaştırın: SSL sertifikaları.