Kısalan sertifika ömürleri karşısında sertifika keşfi, envanter, süre dolum uyarıları ve otomatik yenilemeyle kesintisiz bir sertifika yaşam döngüsü kurmanın yolu.
Cuma akşamı müşteri portalı açılmaz, mobil uygulama "bağlantı güvenli değil" hatası verir, iç sistemler birbirine bağlanamaz. Kök neden çoğu zaman bir saldırı değil, kimsenin takip etmediği bir sertifikanın sessizce dolmasıdır. SSL sertifika süresi dolması, envanteri tablolarda ve takvim hatırlatmalarında tutan kurumlarda tekrar eden bir kesinti nedenidir. Kamuya açık TLS sertifikalarının ömrü 2029'a kadar 47 güne inerken bu yöntem artık sürdürülebilir değildir. Bu yazıda Key Manager Plus nedir ve ne işe yarar sorusunun ötesine geçip ürünün tek bir yeteneğine, sertifika süre dolumu kaynaklı kesintilerin keşiften otomatik dağıtıma kadar nasıl önlendiğine odaklanıyoruz.
Kısaca: SSL sertifika süresi dolması, yenilenmeyen sertifikanın tarayıcı ve uygulamalarda bağlantıyı kesmesidir. Önlemenin yolu, ağdaki tüm sertifikaları keşfedip tek envanterde toplamak, süre dolumunu önceden uyarıya bağlamak ve yenilemeyi ACME ya da kurumsal CA entegrasyonuyla otomatikleştirip yeni sertifikayı sunuculara kendiliğinden dağıtmaktır.
47 Gün Sertifika Ömrü: CA/Browser Forum Takvimi Ne Getiriyor?
Kamuya açık TLS sertifikalarının kurallarını tarayıcı ve sertifika otoritesi üreticilerinin oluşturduğu CA/Browser Forum belirler. Forum, Nisan 2025'te kabul edilen SC-081 kararıyla azami sertifika ömrünü kademeli olarak kısalttı. Takvim şöyledir:
| Yürürlük tarihi | Azami sertifika ömrü | Alan adı doğrulamasının yeniden kullanımı |
|---|---|---|
| 15 Mart 2026 öncesi | 398 gün | 398 gün |
| 15 Mart 2026 | 200 gün | 200 gün |
| 15 Mart 2027 | 100 gün | 100 gün |
| 15 Mart 2029 | 47 gün | 10 gün |
2026 itibarıyla ilk adım yürürlükte; yeni alınan kamuya açık sertifikalar en fazla 200 gün geçerlidir. Bu, yılda bir kez yapılan yenilemenin en az iki kez yapılması demektir. 2029'da 47 günlük ömürle aynı sertifika yılda sekiz kez yenilenecek. Alan adı doğrulamasının yalnız 10 gün geçerli olması da elle yenilemeyi pratikte imkânsız kılar.
Kural yalnız kamuya açık sertifikaları bağlar. Kurumun kendi özel CA'sıyla ürettiği iç sertifikalar bu takvime tabi değildir. Yine de iç sertifikalar da süresi dolduğunda servisleri durdurur; bu yüzden aynı envanterde izlenmeleri gerekir.
SSL Sertifika Süresi Dolması Neden Kesintiye Dönüşür?
Sertifika süresi dolduğunda tarayıcı uyarı verir, ama asıl hasar arka planda olur. API çağrıları, servisler arası TLS bağlantıları, e-posta sunucuları ve yük dengeleyiciler bağlantıyı reddeder. Hata mesajı çoğu zaman "sertifika" kelimesini içermez; ekip sorunun kaynağını bulana kadar saatler geçebilir.
Kesintilerin ortak nedenleri benzerdir:
- Sertifika envanteri bir tabloda elle tutulur ve güncel değildir.
- Sertifikayı alan kişi ayrılmıştır; yenileme hatırlatması kimsenin posta kutusuna düşmez.
- Aynı sertifika birden fazla sunucuya kopyalanmıştır; biri yenilenir, diğeri unutulur.
- Farklı ekipler farklı sertifika otoritelerinden sertifika alır; toplam tablo görünmez.
- Yenileme sonrası yeni sertifika sunucuya yüklenmez ya da servis yeniden başlatılmaz.
Kısalan ömürle bu hataların her biri daha sık tekrar eder ve SSL sertifika süresi dolması yılda bir değil, birkaç kez karşılaşılan bir risk olur. Sorun yenilemenin kendisi değil, yenilemenin keşif, onay ve dağıtım adımlarıyla birlikte süreç olarak yönetilmemesidir.
Sertifika Envanteri: Ağdaki Tüm Sertifikaların Keşfi
Bilinmeyen sertifikanın süresi takip edilemez; SSL sertifika süresi dolması kaynaklı kesintilerin çoğu envanterde olmayan sertifikalardan çıkar. ManageEngine Key Manager Plus, ağı tarayarak sertifikaları hangi otoriteden alındığına bakmaksızın keşfeder. Üretici dokümantasyonuna göre keşif kaynakları arasında web sunucuları, yük dengeleyiciler, e-posta sunucuları, AWS Certificate Manager ve Microsoft sertifika deposu bulunur. Sertifika dosyaları ve anahtar depoları da doğrudan içe aktarılabilir.
Keşif bir kez yapılıp bırakılmaz; tarama periyodik olarak planlanabilir. Böylece yeni kurulan bir sunucunun sertifikası da envantere kendiliğinden girer. Envanterde her sertifikanın bitiş tarihi, seri numarası, parmak izi ve dağıtıldığı sunucular birlikte görünür.
Keşif, süreden fazlasını da ortaya çıkarır. Key Manager Plus panosu süresi dolmuş sertifikaları, SHA-1 imzalı sertifikaları ve SSL zafiyetlerini ayrı ayrı listeler. İlk taramada çoğu kurum, varlığından haberdar olmadığı test sunucusu ve eski uygulama sertifikalarıyla karşılaşır. Sertifika envanteri bu yüzden otomasyondan önceki en kritik adımdır.
SSL Sertifika Süresi Dolmadan Uyarı ve Sorumluluk Ataması
Envanter oluştuktan sonra ikinci katman uyarıdır. Key Manager Plus, süresi yaklaşan sertifikalar için e-posta bildirimi gönderir. Bildirim, sertifikanın kaç gün sonra dolacağını, bitiş tarihini, seri numarasını ve dağıtıldığı sunucuları içerebilir. Otomatik yenilemeye bağlanan sertifikalar bildirim listesinden çıkarılabilir; böylece ekip yalnız insan müdahalesi gereken sertifikalarla ilgilenir.
Uyarının bir kişiye değil bir sürece düşmesi önemlidir. Ürün, yardım masası sistemleriyle entegre çalışarak süresi yaklaşan ya da zafiyetli sertifikalar için otomatik talep oluşturabilir. Talep bir ekibe atanır, kapanana kadar izlenir. Bu yaklaşım, güvenlik araçlarının talep yönetimine bağlanmasını anlattığımız ServiceDesk Plus güvenlik entegrasyonu yazısıyla aynı mantığı izler.
Sertifika Otomatik Yenileme: ACME, Let's Encrypt ve Kurumsal CA
47 günlük döneme hazırlığın merkezinde otomatik yenileme vardır. ACME (Automated Certificate Management Environment), sertifika talebini, alan adı doğrulamasını ve sertifikanın teslimini insan müdahalesi olmadan yürüten standart protokoldür. Key Manager Plus, varsayılan ACME sağlayıcıları olarak Let's Encrypt, Buypass Go SSL ve ZeroSSL ile çalışır; başka ACME uyumlu sağlayıcılar da ayarlardan eklenebilir.
Üretici dokümantasyonuna göre ACME sağlayıcılarından alınan sertifikalar, süresi dolmadan 15 gün önce otomatik yenilenir ve hesap sahibine e-posta bildirimi gider. Ticari sertifikalar için DigiCert, Sectigo ve GlobalSign entegrasyonları, iç sertifikalar için Microsoft CA entegrasyonu bulunur. Yalnız iç ağda kullanılacak sertifikalar için ürün içindeki özel CA ile sertifika üretmek de mümkündür.
Yenileme tek başına yetmez; yeni sertifikanın kullanılacağı yere ulaşması gerekir. Hedef sunucu için ajan eşlemesi yapılandırıldığında yenileme ve dağıtım elle müdahale olmadan tamamlanır. Üreticinin sürüm notlarına göre üçüncü taraf otoritelerden otomatik yenilenen sertifikalar da tanımlı sunuculara kendiliğinden dağıtılır. Sertifika döngüsü böylece keşif, uyarı, yenileme ve dağıtım adımlarıyla kapanır; SSL sertifika süresi dolması riski, insanın hatırlamasına bağlı olmaktan çıkar.
Senaryo: Kampanya gecesi dolan sertifika
Senaryo: Bir perakende şirketinde web sitesi, ödeme API'si ve yük dengeleyici aynı joker sertifikayı kullanır. Sertifika yenilenmiş, ancak yalnız web sunucusuna yüklenmiştir. Kampanya gecesi yük dengeleyicideki eski kopyanın süresi dolar ve mobil uygulama ödeme adımında hata verir. Key Manager Plus ile kurulan düzende ilk keşif, aynı sertifikanın üç farklı uç noktada çalıştığını gösterir. Yenileme ACME ile otomatikleşir, ajan eşlemesi yeni sertifikayı tüm hedeflere dağıtır. Süresi yaklaşan ve otomasyona bağlanamayan tek bir eski sertifika için ise yardım masasında talep açılır.
Key Manager Plus mı, PAM360 mı?
Sertifika yaşam döngüsü ihtiyacı tek başınaysa Key Manager Plus doğrudan bu soruna odaklanır; SSL/TLS sertifikalarının yanında SSH ve PGP anahtarlarını da yönetir. Ayrıcalıklı hesap parolaları, oturum kaydı ve ayrıcalık yükseltme ihtiyacı da gündemdeyse PAM360 özellikleri arasında sertifika ve SSH anahtarı yönetimi de yer alır. Karar, sertifika sorununun tek başına mı, yoksa daha geniş bir ayrıcalıklı erişim projesinin parçası olarak mı çözüleceğine bağlıdır.
Sıkça Sorulan Sorular
SSL sertifikası süresi dolarsa ne olur?
Tarayıcılar siteyi "güvenli değil" uyarısıyla açar ve çoğu kullanıcı siteyi terk eder. Uygulamalar, API istemcileri ve servisler arası TLS bağlantıları ise bağlantıyı tamamen reddeder. Bu yüzden süre dolumu yalnız bir uyarı değil, doğrudan hizmet kesintisidir. Sorun ancak sertifika yenilenip ilgili tüm sunuculara yeniden yüklendiğinde ortadan kalkar.
47 günlük sertifika ömrü ne zaman başlıyor?
CA/Browser Forum takvimine göre azami ömür 15 Mart 2026'da 200 güne, 15 Mart 2027'de 100 güne, 15 Mart 2029'da 47 güne iner. Alan adı doğrulamasının yeniden kullanım süresi de aynı tarihte 10 güne düşer. Takvim kamuya açık TLS sertifikalarını kapsar; kurumun kendi özel CA'sıyla ürettiği iç sertifikalar bu kurala tabi değildir.
Sertifika yenileme nasıl otomatikleştirilir?
En yaygın yöntem ACME protokolüdür: sertifika talebi, alan adı doğrulaması ve teslim insan müdahalesi olmadan yürür. Otomasyonun tamamlanması için yeni sertifikanın sunuculara dağıtılması da gerekir. Key Manager Plus, ACME sağlayıcıları ve kurumsal CA entegrasyonlarıyla yenilemeyi, ajan eşlemesiyle de hedef sunuculara dağıtımı otomatikleştirir.
Let's Encrypt kurumsal ortamda kullanılabilir mi?
Let's Encrypt alan adı doğrulamalı (DV) sertifika verir ve tarayıcılar tarafından güvenilir kabul edilir. Kurum veya genişletilmiş doğrulama (OV/EV) gereken uygulamalarda ise ticari sertifika otoriteleri kullanılır. İki türü aynı envanterde izlemek ve yenilemeyi tek yerden yönetmek, otoritenin hangisi olduğundan daha önemlidir.
Sonuç: SSL Sertifika Süresi Dolmasına Karşı Ne Zaman Otomasyon Şart?
Birkaç sertifikası olan ve yılda bir yenileme yapan ortamlarda takvim hatırlatması bir süre işe yarayabilir. Ancak 2027'de 100, 2029'da 47 günlük ömürle yenileme sıklığı katlanır. Onlarca sertifika, birden fazla otorite ve çok sayıda sunucu varsa keşif, uyarı, yenileme ve dağıtımı tek akışta birleştiren bir sertifika yaşam döngüsü aracı şarttır. İlk adım, envanteri çıkarıp hangi sertifikaların ACME ile otomatikleşebileceğini görmektir. Ürünün sürümleri ve lisans modeli için Key Manager Plus özellikleri ve lisanslama sayfasına göz atabilirsiniz.
Technodus, ManageEngine çözümlerinde lisans, kurulum ve destek sorumluluğunu aynı ekipte tutar. Key Manager Plus projelerinde ağ taramasıyla sertifika envanterinizi birlikte çıkarıyor, kullandığınız sertifika otoritesiyle otomatik yenileme ve dağıtım akışını kuruyoruz. 47 günlük döneme ortamınızın ne kadar hazır olduğunu bir PoC ile görmek için bizimle iletişime geçebilirsiniz.