Sertifika İptali ve Yeniden Düzenleme

İki farklı işlem sık karıştırılır:

İptal (revocation): Sertifikanın süresi dolmadan geçersiz kılınması. Geri dönüşü yoktur.

Yeniden düzenleme (reissue): Aynı sertifikanın yeni bilgilerle ya da yeni anahtarla tekrar üretilmesi. Genelde ücretsizdir.

Hangisi ne zaman gerekir?

Yeniden düzenleme süreci

1. Adım — Gerekçeyi netleştirin

• ☐ Neden gerekiyor, belli
• ☐ İptal de gerekiyor mu, değerlendirildi
• ☐ Sağlayıcıya bildirildi

2. Adım — Yeni CSR oluşturun

• ☐ Kurulum yapılacak sunucuda oluşturuldu
• ☐ Bilgiler doğru girildi
• ☐ Yeni özel anahtar üretildi
• ☐ Eski anahtar henüz silinmedi

3. Adım — Talebi iletin

• ☐ Sağlayıcı paneli üzerinden ya da destek talebiyle iletildi
• ☐ Ücretli mi, teyit edildi
• ☐ Süre etkisi soruldu

Üçüncü madde: Yeniden düzenleme genelde bitiş tarihini değiştirmez; sertifika kalan süre kadar geçerli olur.

4. Adım — Doğrulamayı tamamlayın

• ☐ Doğrulama gerekiyor mu, öğrenildi
• ☐ Gerekiyorsa tamamlandı

Alan adı doğrulaması genelde tekrarlanır; kurumsal doğrulama süre içinde geçerli sayılabilir.

5. Adım — Kurun ve test edin

• ☐ Yeni sertifika kuruldu
• ☐ Yeni anahtarla eşleşti
• ☐ Ara sertifika kuruldu
• ☐ Servisler yeniden yüklendi
• ☐ Test edildi

6. Adım — Eski anahtarı işleyin

• ☐ Yeni kurulum doğrulandı
• ☐ Eski anahtar güvenli şekilde imha edildi ya da arşivlendi
• ☐ Yedeklerden de temizlendi (güvenlik gerekçesiyse)

İptal süreci

İptal, geri dönüşü olmayan bir işlemdir. Yalnız gerçekten gerekiyorsa yapın.

1. Adım — Gerekliliği doğrulayın

• ☐ Özel anahtar gerçekten ele geçti mi?
• ☐ Şüphe mi, kesin bilgi mi?
• ☐ Alternatif bir açıklama var mı?
• ☐ Karar verildi

Şüphe durumunda iptal etmek doğrudur. Anahtarın güvenliğinden emin olamıyorsanız, riski taşımayın.

2. Adım — Önce yenisini hazırlayın

• ☐ Yeni CSR oluşturuldu
• ☐ Yeni sertifika talep edildi
• ☐ Mümkünse önce yeni sertifika kuruldu

Kritik sıralama: İptal ettiğiniz anda sertifika geçersiz olur ve siteniz uyarı vermeye başlar. Mümkünse önce yenisini kurun, sonra eskisini iptal edin.

İstisna: Anahtar aktif olarak kötüye kullanılıyorsa, beklemeden iptal edin.

3. Adım — İptal talebini iletin

• ☐ Sağlayıcıya iletildi
• ☐ Gerekçe belirtildi
• ☐ Aciliyet bildirildi
• ☐ İşleme alındığı teyit edildi

4. Adım — Olayı yönetin

İptal genelde bir güvenlik olayının sonucudur:

• ☐ Anahtarın nasıl ele geçtiği araştırıldı
• ☐ Sunucuda başka bir ihlal var mı, incelendi
• ☐ Diğer erişim bilgileri değiştirildi
• ☐ Kapsam değerlendirildi
• ☐ Yönetim bilgilendirildi
• ☐ Gerekiyorsa hukuk danışmanına başvuruldu
• ☐ Olay kayıt altına alındı

İkinci madde önemlidir: Özel anahtarın ele geçmesi, sunucuya erişim sağlandığı anlamına gelebilir. Sertifikayı iptal etmek yalnız bir adımdır; asıl mesele erişimin nasıl sağlandığıdır.

İptal ne kadar etkili?

İptal edilen sertifikaların tanınması, tarayıcı ve yapılandırmaya göre değişir. Bazı durumlarda iptal bilgisi hemen yayılmayabilir.

Bu yüzden: İptal, tek başına yeterli bir savunma sayılmamalıdır. Asıl koruma, anahtarın en baştan korunmasıdır.

Sertifika sürelerinin kısalmasının bir sebebi de budur: kısa süre, iptal mekanizmasına olan bağımlılığı azaltır.

Özel anahtar güvenliği

İptal ihtiyacını doğuran temel risk budur:

• ☐ Anahtar sunucudan çıkarılmıyor
• ☐ E-postayla paylaşılmıyor
• ☐ Dosya izinleri kısıtlı
• ☐ Yedekler şifreli
• ☐ Erişimi olan kişiler kayıtlı ve sınırlı
• ☐ Ayrılan çalışanlar sonrası değerlendirme yapılıyor
• ☐ Çok sunuculu yapılarda taşıma kayıt altında

Sağlayıcıya sorulacaklar

• ☐ Yeniden düzenleme ücretsiz mi?
• ☐ Kaç kez yapılabilir?
• ☐ Süreyi etkiler mi?
• ☐ Doğrulama tekrarlanır mı?
• ☐ Ne kadar sürer?
• ☐ İptal nasıl talep edilir?
• ☐ İptal ne kadar sürede işleme alınır?
• ☐ Mesai dışı iptal mümkün mü?
• ☐ İptal sonrası yeni sertifika ücretsiz mi?

Sekizinci madde, satın alma aşamasında sorulması gereken bir sorudur. Güvenlik olayları mesai saatlerini beklemez.

Acil durum planı

• ☐ Anahtar ele geçerse kim karar verecek?
• ☐ Sağlayıcıya kim ulaşacak?
• ☐ İletişim bilgileri hazır mı?
• ☐ Yeni sertifika kim alacak?
• ☐ Kurulumu kim yapacak?
• ☐ Mesai dışı ulaşılabilir mi?
• ☐ Yönetim nasıl bilgilendirilecek?

Bu plan, olay yaşandığında değil önceden hazırlanmalıdır.