SSL Yenileme Bildirimleri Kime Gitmeli?

Sertifika kaynaklı kesintilerin en yaygın sebebi teknik değildir: uyarı e-postalarının kimseye ulaşmaması.

Senaryo her şirkette aynıdır. Sertifika birkaç yıl önce bir çalışan tarafından alınmıştır. Bildirimler onun adresine gider. O çalışan ayrılır, hesabı kapatılır. Uyarılar bir yere gitmemeye başlar. Sertifika sessizce dolar ve site bir sabah erişilemez hâle gelir.

Sorunun kaynağı

• Kişisel adres kullanılması
• Ayrılan çalışanın adresine gitmesi
• Tek bir kişinin görmesi
• Adresin izlenmemesi
• Bildirimlerin spam klasörüne düşmesi
• Uyarıların görülüp ertelenmesi
• Ajansın adresine gitmesi

Çözüm: rol bazlı adres

Bildirimler, kişiye değil role gitmelidir.

• ☐ Paylaşımlı bir kutu ya da grup adresi oluşturuldu
• ☐ Birden fazla kişi erişiyor
• ☐ Adres düzenli izleniyor
• ☐ Çalışan değişiminden etkilenmiyor
• ☐ Sorumlu belli
• ☐ Yedek sorumlu da erişebiliyor

Bu tek düzenleme, sertifika kaynaklı kesintilerin en yaygın sebebini ortadan kaldırır.

Hangi kayıtlarda tanımlı olmalı?

Yalnız sertifika değil, tüm kritik altyapı bildirimleri aynı adrese gelmelidir:

• ☐ SSL sertifika hesabı
• ☐ Alan adı kaydı
• ☐ Hosting hesabı
• ☐ Sunucu sağlayıcısı
• ☐ E-posta hizmeti
• ☐ Yedekleme hizmeti
• ☐ İzleme sistemleri
• ☐ Yazılım lisansları
• ☐ Ödeme altyapısı

İkinci madde özellikle kritiktir: Alan adı yenileme bildirimlerinin kaybolması, sertifika kesintisinden çok daha ağır sonuçlar doğurur.

Adres nasıl olmalı?

• Rol bazlı bir isim (kişi adı değil)
• Anlaşılır
• Kalıcı
• Birden fazla kişi tarafından izleniyor

Örnek yaklaşımlar: Bir "sistem bildirimleri" kutusu, "BT" grup adresi ya da idari işlerin ortak kutusu. İsim önemli değildir; kalıcılığı ve izlenmesi önemlidir.

İzleme düzeni

Adresi oluşturmak yetmez; izlenmesi gerekir.

• ☐ Kutuya kim bakıyor, belli
• ☐ Ne sıklıkla kontrol ediliyor
• ☐ İzin dönemlerinde kim bakacak
• ☐ Kritik bildirimler nasıl ayırt ediliyor
• ☐ Bildirim geldiğinde ne yapılacağı belli
• ☐ Spam klasörü de kontrol ediliyor

Son madde: Sağlayıcı bildirimleri istenmeyen posta klasörüne düşebilir. Gönderen adreslerini güvenilir listeye ekleyin.

Bildirim yeterli mi?

Hayır. Sağlayıcı bildirimleri tek dayanak olmamalıdır çünkü:

• Gönderilmeyebilir
• Spam'e düşebilir
• Gözden kaçabilir
• Ertelenebilir
• Otomatik yenilemede hiç gönderilmeyebilir

Bu yüzden bağımsız bir hatırlatma sistemi de gerekir.

Üç katmanlı yapı

1. Sağlayıcı bildirimleri → rol bazlı adrese
2. Kendi takviminiz → paylaşımlı takvimde, çoklu hatırlatma
3. Otomatik izleme → sertifika süresini bağımsız kontrol eden bir sistem

Üç katman birbirini yedekler. Biri başarısız olsa diğerleri yakalar.

Otomatik izleme

• ☐ Sertifika süresi düzenli kontrol ediliyor
• ☐ Belirli eşiklerde uyarı üretiyor
• ☐ Uyarı birden fazla kişiye gidiyor
• ☐ Site erişilebilirliği de izleniyor
• ☐ Uyarı sistemi test edilmiş

Dördüncü madde: Sertifika dolduğunda site erişilemez hâle gelir. Erişilebilirlik izlemesi, bu durumu dakikalar içinde yakalar.

Ajansla çalışıyorsanız

• ☐ Bildirimler ajansa ve şirkete geliyor
• ☐ Şirket hesabına erişebiliyor
• ☐ Sözleşmede yenileme sorumluluğu tanımlı
• ☐ Sözleşme biterse ne olacağı yazılı
• ☐ Şirket içinde de bir sorumlu var

İlk madde kritiktir: Bildirimlerin yalnız ajansa gitmesi, ilişki bittiğinde tam bir görünürlük kaybı yaratır.

Çalışan ayrıldığında

• ☐ Ayrılış kontrol listesine "kritik hizmet bildirimleri" maddesi eklendi
• ☐ Hangi hizmetlerde adresi kayıtlı, kontrol ediliyor
• ☐ Adresler rol bazlı olanla değiştiriliyor
• ☐ Hesap erişimleri devrediliyor
• ☐ Doğrulandı

Kalıcı çözüm: Kişisel adres hiç kullanılmamış olsun. O zaman bu adım gereksizleşir.

Bugün yapılabilecek kontrol

1. Sertifika sağlayıcınızın hesabına girin
2. Kayıtlı iletişim adresini kontrol edin
3. Kişisel bir adres mi, rol bazlı mı?
4. O adres hâlâ çalışıyor mu?
5. Kimse izliyor mu?
6. Aynı kontrolü alan adı ve hosting hesapları için de yapın

Bu kontrol on dakika sürer ve çoğu şirkette en az bir sorun ortaya çıkarır.

Kontrol listesi

• ☐ Bildirim adresi rol bazlı
• ☐ Birden fazla kişi izliyor
• ☐ Tüm kritik hizmetlerde aynı adres tanımlı
• ☐ Spam filtresinde güvenilir listede
• ☐ Bağımsız takvim hatırlatması var
• ☐ Otomatik izleme kurulu
• ☐ Ajans varsa şirkete de geliyor
• ☐ Ayrılış sürecinde kontrol ediliyor
• ☐ Yılda bir doğrulanıyor