Hosting Tarafında SSL Yönetimi

SSL sertifikası, hosting hizmetinin en çok ihmal edilen parçasıdır: kurulur, unutulur ve süresi dolduğunda ziyaretçilere güvenlik uyarısı gösterilmeye başlanır.

Aşağıda hosting tarafında yapılması gerekenler.

A. Kurulum kontrolü

• ☐ Sertifika kurulu ve geçerli
• ☐ Tarayıcıda uyarı yok
• ☐ Ara sertifikalar doğru kurulmuş
• ☐ Kök domain kapsamda
• ☐ www hâli kapsamda
• ☐ Kullanılan tüm alt alan adları kapsamda
• ☐ Yönlendirilen savunma domainleri için de sertifika var

Sık hata: Üçüncü madde. Ara sertifikalar eksik kurulduğunda bazı tarayıcılar uyarı gösterir, bazıları göstermez — bu yüzden fark edilmesi gecikir.

B. Yönlendirme

• ☐ HTTP adresleri HTTPS'e yönlendiriliyor
• ☐ Yönlendirme kalıcı (geçici değil)
• ☐ Zincirleme yönlendirme yok
• ☐ www / www'siz tercihi tutarlı
• ☐ İç bağlantılar HTTPS kullanıyor

Neden önemli: Son madde "karma içerik" sorununa yol açar: sayfa HTTPS ile açılır ama içindeki bazı dosyalar HTTP ile çağrılır ve kilit simgesi bozulur.

C. Karma içerik kontrolü

• ☐ Görseller HTTPS ile yükleniyor
• ☐ Stil ve betik dosyaları HTTPS
• ☐ Gömülü içerikler (video, harita) HTTPS
• ☐ Veritabanındaki eski HTTP bağlantıları güncellenmiş
• ☐ Tarayıcı konsolunda karma içerik uyarısı yok

Nasıl kontrol edilir: Sayfayı açıp tarayıcının geliştirici konsoluna bakın; karma içerik uyarıları burada görünür.

D. Yenileme

• ☐ Sertifika bitiş tarihi biliniyor
• ☐ Kurumsal takvimde işaretli
• ☐ Bir ay ve bir hafta önce hatırlatma var
• ☐ Otomatik yenileme destekleniyorsa açık
• ☐ Otomatik yenilemenin çalıştığı doğrulanmış
• ☐ Yenileme sorumlusu belli

Kritik: Beşinci madde. Otomatik yenileme açık olsa bile bir yapılandırma değişikliği sonrası çalışmayı bırakabilir. Bir yenileme döneminden sonra kontrol edin.

E. Kapsam yönetimi

• ☐ Yeni bir alt alan adı açıldığında sertifika kapsamı güncelleniyor
• ☐ Wildcard sertifika kullanılıyorsa kapsamı biliniyor
• ☐ Kullanılmayan alt alan adları kapsamdan çıkarılıyor
• ☐ Test ortamları için sertifika durumu belirlenmiş

Sık hata: Yeni bir alt alan adı açılır, DNS kaydı yapılır, site çalışır — ama sertifika kapsamadığı için güvenlik uyarısı verir.

F. Sağlayıcı ilişkisi

• ☐ Sertifika hangi hizmetten geliyor, biliniyor
• ☐ Hosting paketine dahil mi, ayrı mı alındı
• ☐ Yenileme ücreti biliniyor
• ☐ Kurulumu kim yapıyor, belli
• ☐ Sorun hâlinde muhatap belli

G. Hosting taşımasında SSL

Taşıma sırasında sertifika en sık atlanan kalemdir.

• ☐ Yeni sağlayıcıda sertifika hazırlandı
• ☐ Test ortamında doğrulandı
• ☐ DNS yönlendirmesi öncesi hazır
• ☐ Taşıma sonrası tarayıcıda kontrol edildi
• ☐ Karma içerik kontrolü yapıldı
• ☐ Eski sertifikanın otomatik yenilemesi kapatıldı

Son madde maliyet kalemidir: kullanılmayan bir sertifika için ödeme devam edebilir.

H. İzleme

• ☐ Sertifika geçerliliği düzenli izleniyor
• ☐ Bitiş tarihine yaklaşınca uyarı geliyor
• ☐ Alt alan adları da izleniyor
• ☐ İzleme bildirimi doğru kişiye gidiyor

Bir erişilebilirlik izleme hizmeti kullanıyorsanız, çoğu sertifika geçerliliğini de kontrol eder; bu özelliği etkinleştirin.

Sertifika süresi dolduğunda ne olur?

• Tarayıcılar tam ekran güvenlik uyarısı gösterir
• Ziyaretçilerin büyük kısmı devam etmez
• Arama motorlarında güven kaybı oluşur
• Form ve ödeme işlemleri durur
• Bazı entegrasyonlar çalışmayı bırakır

Bu, site kapalıymış gibi bir etki yaratır ve tamamen önlenebilir bir durumdur.

Yılda bir kez yapılacaklar

1. Tüm sertifikaların envanterini çıkarın
2. Bitiş tarihlerini takvime işleyin
3. Kapsamları kontrol edin
4. Otomatik yenilemenin çalıştığını doğrulayın
5. Karma içerik kontrolü yapın
6. Kullanılmayan sertifikaları iptal edin