SSL Güven Zinciri Nedir ve Nasıl Çalışır?
· SSL Temelleri
SSL güven zinciri (Certificate Chain of Trust), tarayıcının bir web sitesinin sertifikasına neden güvendiğini veya güvenmediğini belirleyen hiyerarşik yapıdır. Bu yapıyı anlamak, hem kurulum hatalarını önlemek hem de olası güven sorunlarını gidermek açısından kritiktir.
Zincirin Üç Katmanı
1. Son Kullanıcı Sertifikası (End-Entity Certificate)
Web siteniz için satın aldığınız ve sunucunuza yüklediğiniz sertifikadır. Ziyaret edilen alan adı, geçerlilik süresi ve public key bilgilerini içerir.
2. Ara Sertifika (Intermediate CA)
Kök CA, güvenlik nedeniyle son kullanıcı sertifikalarını doğrudan imzalamaz. Bunun yerine, Intermediate CA olarak adlandırılan ara sertifika otoriteleri bu işlemi üstlenir. Çoğu CA, birden fazla Intermediate CA kullanır.
3. Kök Sertifika (Root CA)
İşletim sistemi (Windows, macOS, Linux) ve tarayıcılar (Chrome, Firefox) önceden güvendikleri Kök CA'ların listesini barındırır. Bu liste, "Trusted Root Certification Authorities" deposu olarak bilinir. Eğer zincirin tepesindeki Kök CA bu listede yer alıyorsa, zincirdeki tüm sertifikalara güvenilir.
Doğrulama Süreci
Tarayıcı bir siteye bağlandığında şu adımları izler:
• Son kullanıcı sertifikasını alır ve imzalayan CA'yı tespit eder.
• Zinciri yukarı doğru takip eder: Intermediate CA → Root CA.
• Root CA'nın güvenilir listede olup olmadığını kontrol eder.
• Tüm imzalar ve geçerlilik tarihleri doğruysa bağlantıya güvenir.
Eksik Ara Sertifika Sorunu
En sık yapılan kurulum hatalarından biri, Intermediate CA sertifikalarının sunucuya yüklenmemesidir. Bu durumda bazı tarayıcılar sertifikayı reddeder ya da uyarı verir. Chrome, eksik zinciri bazen önbellekten tamamlayabilir; ancak Firefox ve eski Android sürümleri çok daha katıdır.
Çözüm: CA'nızın sağladığı tam zincir dosyasını (fullchain.pem veya ca-bundle.crt) sunucunuza yükleyin. Nginx için ssl_certificate direktifine tam zinciri, Apache'de SSLCertificateChainFile direktifini kullanın.
Doğrulama
SSL Labs (ssllabs.com/ssltest) testi, zincirin eksiksiz olup olmadığını açıkça raporlar. "Chain Issues: None" ifadesini görmeyi hedefleyin.
İhtiyacınıza uygun sertifikayı seçmek için PekiSSL ürün sayfasını ziyaret edin.