SSL Güvenlik Testi Nasıl Yapılır?

SSL güvenlik testi, sunucu yapılandırmanızın güncel standartlara uygunluğunu ölçer. Teknik bilgi gerektirmeden başlatılabilir; sonuçların yorumlanması için bu rehber yeterlidir.

Ne zaman yapılmalı?

• İlk kurulumdan sonra
• Her yenilemeden sonra
• Sunucu değişikliğinden sonra
• Yılda en az bir kez
• Denetim öncesinde
• Kurumsal müşteri talep ettiğinde
• Bir zafiyet duyurulduğunda

1. Adım — Test edilecek adresleri listeleyin

• ☐ Ana site (www'lu ve www'suz)
• ☐ Ödeme sayfası
• ☐ Giriş ekranı
• ☐ Yönetim paneli
• ☐ Müşteri/bayi paneli
• ☐ Webmail
• ☐ API adresleri
• ☐ E-posta sunucusu
• ☐ Diğer alt alan adları

Her adres ayrı test edilmelidir. Farklı sunucularda barınıyorlarsa sonuçlar farklı çıkabilir.

2. Adım — Testi çalıştırın

Çevrimiçi test araçları, alan adınızı girmeniz yeterli olacak şekilde çalışır. Test birkaç dakika sürer.

• ☐ Test başlatıldı
• ☐ Tamamlanması beklendi
• ☐ Sonuç ekranı kaydedildi
• ☐ Tarih not edildi

Not: Bazı araçlar sonuçları herkese açık olarak listeler. İç sistemleriniz için gizli test seçeneğini kullanın.

3. Adım — Genel değerlendirmeyi okuyun

Testler genelde harf ya da puan şeklinde bir değerlendirme verir.

Gerçekçi hedef: En üst düzeyi kovalamak her zaman doğru değildir; bazı sıkılaştırmalar eski cihaz uyumluluğunu bozar. "İyi" düzeyi çoğu şirket için yeterlidir.

4. Adım — Bölümleri inceleyin

Test sonuçları genelde dört bölümde sunulur:

Sertifika

• ☐ Geçerli mi?
• ☐ Süresi ne zaman doluyor?
• ☐ Kapsanan adresler doğru mu?
• ☐ Zincir tam mı?
• ☐ Otorite tanınıyor mu?

Protokol desteği

• ☐ Hangi sürümler etkin?
• ☐ Eski sürümler kapalı mı?
• ☐ Güncel sürümler açık mı?

Şifreleme yöntemleri

• ☐ Zayıf yöntemler var mı?
• ☐ İleri gizlilik destekleniyor mu?
• ☐ Tercih sıralaması uygun mu?

Bilinen zafiyetler

• ☐ Bilinen bir açığa karşı savunmasız mıyız?
• ☐ Sürüm düşürme koruması var mı?

5. Adım — Uyumluluk bölümünü okuyun

Testler genelde hangi tarayıcı ve cihazların bağlanabildiğini de gösterir.

• ☐ Güncel tarayıcılar bağlanabiliyor
• ☐ Mobil cihazlar bağlanabiliyor
• ☐ Hangi eski cihazların bağlanamadığı görüldü
• ☐ Bu kayıp kabul edilebilir mi, değerlendirildi

Bu bölüm, sıkılaştırma kararınızı verirken en değerli bilgidir.

6. Adım — Bulguları önceliklendirin

1. Sertifika geçerlilik sorunları — anında çözülmeli
2. Bilinen ciddi zafiyetler — acil
3. Zincir eksikliği — yüksek öncelik
4. Kullanımdan kalkmış protokoller — yüksek öncelik
5. Zayıf şifreleme yöntemleri — yüksek öncelik
6. İleri gizlilik eksikliği — orta
7. Ek güvenlik başlıkları — orta

7. Adım — Sağlayıcıya iletin

Paylaşımlı hosting kullanıyorsanız düzeltmeleri sağlayıcı yapar.

• ☐ Test sonucu bağlantısı iletildi
• ☐ Bulgular özetlendi
• ☐ Öncelik belirtildi
• ☐ Ne zaman düzeltileceği soruldu
• ☐ Takip ediliyor

8. Adım — Düzeltmeleri uygulayın

• ☐ Değişiklik planlandı
• ☐ Uyumluluk etkisi değerlendirildi
• ☐ Yedek alındı
• ☐ Uygulandı
• ☐ Servis yeniden yüklendi

9. Adım — Tekrar test edin

• ☐ Test tekrarlandı
• ☐ Bulgular giderildi
• ☐ Yeni sorun oluşmadı
• ☐ Site normal çalışıyor
• ☐ Entegrasyonlar çalışıyor
• ☐ Sonuç kaydedildi

10. Adım — Kayıt tutun

• ☐ Test tarihi
• ☐ Test edilen adresler
• ☐ Sonuçlar
• ☐ Bulunan sorunlar
• ☐ Yapılan düzeltmeler
• ☐ Bir sonraki test tarihi

Bu kayıt, denetimlerde ve kurumsal müşteri değerlendirmelerinde belge olarak kullanılır.

Test dışı kontroller

Otomatik testler her şeyi yakalamaz. Bunları elle kontrol edin:

• ☐ Karma içerik (test aracı görmez)
• ☐ Yönlendirmelerin doğruluğu
• ☐ www'lu ve www'suz sürümler
• ☐ Mobil cihazlarda görünüm
• ☐ Form gönderim adresleri
• ☐ E-posta istemcilerinde uyarı

Sık karşılaşılan bulgular

Yıllık rutin

1. Tüm adresleri test edin
2. Sonuçları geçen yılkiyle karşılaştırın
3. Bulguları önceliklendirin
4. Sağlayıcıyla paylaşın
5. Düzeltmeleri takip edin
6. Tekrar test edin
7. Kayıt tutun
8. Bir sonraki testi takvime alın