Bir SSL sertifikası artık ne kadar süre geçerli ve bu nasıl değişecek?

Bir SSL sertifikasının azami geçerlilik süresi artık 200 gün; 15 Mart 2026'ya kadar bu süre 398 gündü. 15 Mart 2027'de 100 güne, 15 Mart 2029'da ise 47 güne iniyor. Bu takvim, CA/Browser Forum'un dünyadaki tüm sertifika otoriteleri için belirlediği Baseline Requirements kurallarına dayanıyor. Ücretsiz sertifikaların en büyük sağlayıcısı Let's Encrypt, 7 Ekim 2026'da sertifikalarının 10 Şubat 2027'den itibaren 90 günden 64 güne düşeceğini duyurdu. Pratikte, şirketinizin eskiden yılda bir kez yenilediği bir sertifikanın artık en az iki kez, sonra dört kez, ardından da yaklaşık sekiz kez yenilenmesi gerekiyor. Yenileme birinin hatırlaması gereken bir iş olarak kalırsa, bir gün bir müşteri web sitenizi açacak ve bağlantının güvenli olmadığına dair bir uyarı görecek.

Takvim: 398 günden 47 güne

Sertifikanın düzenlendiği tarihAzami geçerlilikAlan adı doğrulamasının azami yeniden kullanımı
15 Mart 2026'dan önce398 gün398 gün
15 Mart 2026'dan itibaren200 gün200 gün
15 Mart 2027'den itibaren100 gün100 gün
15 Mart 2029'dan itibaren47 gün10 gün

Son sütun göründüğünden daha önemli. Alan adı doğrulaması, bir DNS kaydı ekleyerek veya sunucunuza bir dosya koyarak alan adınızı kontrol ettiğinizi sertifika otoritesine kanıtladığınız adımdır. Bugün bir doğrulama 200 gün boyunca yeniden kullanılabiliyor; Mart 2029'dan itibaren yalnızca 10 gün geçerli olacak, bu yüzden neredeyse her yenileme yeni bir doğrulama gerektirecek. Forum bu takvimi 11 Nisan 2025'te kabul etti: 25 sertifika otoritesi evet oyu verdi, hiçbiri karşı çıkmadı ve oy hakkı olan dört tarayıcı üreticisinin tamamı lehte oy kullandı. Bu, ertelenebilecek bir öneri değil. Her sertifika otoritesinin, sertifikalarının tarayıcılar tarafından güvenilir kalması için uyduğu bir kural.

Ücretsiz Let's Encrypt sertifikaları için ne değişiyor?

Küçük ve orta ölçekli pek çok web sitesi, çoğu zaman sahibinin haberi olmadan ücretsiz Let's Encrypt sertifikalarıyla çalışıyor. Resmi duyurusuna ve yayımlanan takvime göre:

  • 14 Ekim 2026: test ortamı (staging) 64 günlük sertifikalar düzenlemeye başlıyor; böylece sistemlerinizi gerçek tarihten önce test edebilirsiniz.
  • 10 Şubat 2027: bu tarihten itibaren düzenlenen veya yenilenen her sertifika 64 gün geçerli olacak ve yetkilendirmenin yeniden kullanım süresi 30 günden 10 güne inecek.
  • 16 Şubat 2028: geçerlilik süresi 45 güne iniyor ve bir doğrulama yalnızca 7 saat geçerli oluyor.

Let's Encrypt yaygın bir hataya karşı uyarıyor: 90 günlük bir sertifikaya göre yazılmış, 83, 80 veya 60 gün gibi sabit yenileme noktaları olan betikler ve zamanlanmış görevler. Bunların değiştirilmesi gerekiyor. Önerilen, sertifikanın ömrünün yaklaşık üçte ikisinde, yani kabaca 64 günün 42. gününde yenilemek. Yenileme istemciniz ACME Renewal Information'ı (ARI) destekliyorsa hiçbir değişikliğe gerek yok, çünkü ne zaman yenileneceğini istemciye sertifika otoritesinin kendisi bildiriyor.

Bir ayrıntı daha: Let's Encrypt, süre dolumu hatırlatma e-postalarını 4 Haziran 2025'te göndermeyi bıraktı. Yenilemeyi size hatırlatacak bir e-posta bekliyorsanız, o e-posta gelmeyecek.

Sertifikanın süresi dolduğu gün işinize ne olur?

  • Web sitesi ve çevrimiçi mağaza: tarayıcı, sitenizin yerine bağlantının gizli olmadığını söyleyen tam sayfa bir uyarı gösterir. Ziyaretçilerin çoğu sayfayı kapatır ve geri dönmez; devam edenler ise kart bilgilerini girerken tedirgin olur.
  • Mobil uygulama: uygulama sunucunuzla şifreli bir bağlantı üzerinden konuşur ve sunucunun sertifikasının süresi dolduğu anda bağlanmayı reddeder. Kullanıcı nedenini bilmeden genel bir hata ya da boş bir ekran görür.
  • Diğer sistemlerle entegrasyonlar: ödeme bildirimleri, kargo entegrasyonları ve muhasebe sistemleri şifreli bağlantılar üzerinden çalışır. Süresi dolmuş bir sertifika bunları sessizce durdurur ve bunu ancak ödeme yapmış bir müşteri siparişinin hiç onaylanmadığından şikâyet ettiğinde öğrenebilirsiniz.
  • E-posta ve iç paneller: e-posta sunucularının, yönetim panellerinin ve personel araçlarının da sertifikaları vardır ve kimse onlara her gün bakmadığı için genellikle en çok unutulanlar bunlardır.

Tam bir yıllık ücretli sertifika satın aldınız. Ne değişti?

Satın almak artık kurmak anlamına gelmiyor. Bugün hiçbir sertifika otoritesi size 200 günden uzun süre geçerli bir sertifika düzenleyemez; bu yüzden yıllık abonelik satmaya devam ediyor ve sertifikayı bu abonelik içinde yeniden düzenliyorlar. Örneğin SSL.com, satın aldığınız şeyin hâlâ 12 aylık bir lisans olduğunu, artık 198 gün geçerli sertifikalar düzenlediğini ve süreniz içindeki yeniden düzenlemenin ek ücret gerektirmediğini söylüyor. Ancak her yeniden düzenleme, yeni bir alan adı doğrulaması ve sunucuya yeni bir kurulum demek. Mart 2027'den itibaren bu yılda en az 4 kez, Mart 2029'dan itibaren ise yaklaşık 8 kez yaşanıyor. Soru artık sertifikanın ne kadara mal olduğu değil. Onu kimin kurduğu, ne sıklıkla kurduğu ve unutulduğunda bundan kimin sorumlu olduğu.

Şirketiniz için beş adımlık bir plan

  1. Tüm sertifikaların envanterini çıkarın: web sitesi, çevrimiçi mağaza, mobil uygulama sunucusu, e-posta, yönetim panelleri ve her alt alan adı. Her biri için düzenleyeni, bitiş tarihini ve sorumlu kişiyi kaydedin.
  2. Yenilemeyi otomatikleştirin: sunucuda bir yenileme istemcisiyle ya da bulut sağlayıcınızın veya içerik dağıtım ağınızın otomatik olarak yönettiği ve yenilediği sertifikalarla. Mağazanız barındırılan bir platformda çalışıyorsa platforma yazılı olarak sorun: sertifikayı kendisi yeniliyor mu ve yenileme başarısız olursa kim takip ediyor?
  3. Süre dolumunu bağımsız bir araçla izleyin: otomasyonun çalıştığını varsaymayın. İzleme hizmetleri sizi süre dolmadan günler önce uyarır; Let's Encrypt de hatırlatma e-postalarını sonlandırırken 250 sertifikaya kadar izleme yapan ücretsiz bir hizmeti önerdi.
  4. Eski betikleri kontrol edin: 90 günlük bir sertifikaya göre ayarlanmış sabit sayıları arayın ve yenilemeyi, 14 Ekim'de 64 günlük sertifikalar düzenlemeye başlayan test ortamında deneyin.
  5. Sorumluyu sözleşmede belirtin: barındırma veya bakım sözleşmenize, sertifika yenileme ve izlemenin sağlayıcının sorumluluğunda olduğunu belirten ve bir sertifikanın süresi dolarsa belirli bir yanıt süresi öngören açık bir madde ekleyin.

Origami nasıl yardımcı olur?

Origami'de geliştirdiğimiz web sitelerinde ve uygulamalarda sertifika yenileme ilk günden otomatiktir ve bağımsız izleme, herhangi bir sertifikanın süresi dolmadan önce bizi uyarır; böylece hiçbir şey birinin hafızasına bağlı kalmaz. Halihazırda bir web siteniz veya sisteminiz varsa, yayın sonrası bakım ve destek üzerine yazımızda anlattığımız yayın sonrası bakım hizmetinin bir parçası olarak sertifikalarının envanterini çıkarır ve onları otomatik yenilemeye taşırız. Ayrıca bkz. küçük ve orta ölçekli işletmeler için siber güvenliğin temelleri.

Kaynaklar