SSL Sertifika Süreleri Neden Kısalıyor?
· Sektör
Son yıllarda SSL/TLS sertifikalarının geçerlilik süresi sürekli kısalıyor. Bir zamanlar 5 yıla kadar çıkabilen sertifikalar, sonra 2 yıla, ardından 398 güne indirildi. Şimdi de kademeli yeni bir küçülme takvimi yürürlükte: bugün 200 gün, 15 Mart 2027'de 100 gün, 15 Mart 2029'da ise 47 güne kadar inecek.
Bu değişiklik tek bir şirketin kararı değil — CA/Browser Forum'un (tarayıcı üreticileri Google, Apple, Mozilla, Microsoft ile sertifika otoritelerinin birlikte oluşturduğu kurul) aldığı, tüm sektörü bağlayan bir karar. Peki bu neden yapılıyor?
Neden Kısalıyor? Gerçek Sebepler
- Sızıntı/hata penceresi küçülüyor: Bir sertifikanın özel anahtarı çalınırsa veya CA yanlışlıkla hatalı bir sertifika üretirse, bu sertifika ne kadar uzun süre geçerliyse saldırganın kullanabileceği süre de o kadar uzun olur. Süre kısaldıkça, bu "risk penceresi" otomatik olarak küçülüyor.
- İptal (revocation) sistemi güvenilir değil: Teoride bir sertifika çalınırsa iptal edilip (OCSP/CRL ile) tarayıcılara bildirilebilir. Pratikte ise çoğu tarayıcı bu kontrolleri güvenilir şekilde yapmıyor veya hiç yapmıyor. Kısa ömürlü sertifikalar, iptal mekanizmasının eksikliğini "süre dolunca zaten geçersiz olur" mantığıyla telafi ediyor.
- Otomasyonu zorunlu kılıyor: Sertifikalar birkaç yılda bir elle yenilendiği sürece, insan hatası (unutma, yanlış yapılandırma, son ana kalma) kaçınılmaz oluyor. Süre kısaldıkça manuel yönetim imkansızlaşıyor, bu da tüm sektörü ACME gibi otomatik protokoller kullanmaya zorluyor — ki bu uzun vadede daha güvenli bir web anlamına geliyor.
- Kriptografik çeviklik: Yeni bir güvenlik açığı bulunduğunda veya bir şifreleme algoritması zayıflatıldığında, milyonlarca uzun ömürlü sertifikanın güncellenmesi yıllar alabilir. Kısa ömürlü sertifikalarla, sektör yeni standartlara çok daha hızlı geçebiliyor.
Takvim
- Bugün: 200 gün
- 15 Mart 2027: 100 gün
- 15 Mart 2029: 47 gün
pekiSSL Bu Değişikliğe Nasıl Hazırlanıyor?
Kısalan sertifika süreleri, müşterilerimiz için pratikte iki anlama geliyor: sertifikanın kendi geçerlilik süresi ile ödediğiniz abonelik süresi (örneğin 1 yıl) artık aynı şey değil. Yani bir yıllık ödeme yaptığınızda, o süre içinde sertifikanızın birden fazla kez "reissue" edilmesi (yenilenmesi) gerekebilir.
Bunu sizin için görünmez kılmak amacıyla pekiSSL'de:
• Sertifikaların gerçek CA tarafından verilen bitiş tarihini otomatik olarak takip eden bir sistem kurduk.
• Süresi yaklaşan sertifikaları ekibimizin göreceği bir panelde listeliyoruz.
• Reissue işlemini biz üstleniyoruz, gerektiğinde yeni sertifika dosyalarını hazırlayıp size otomatik bir e-posta ile "yeni dosyaları indirin" diye bildiriyoruz.
Siz sadece abonelik süreniz boyunca (örn. 1 yıl) hiçbir ek ücret ödemeden güncel bir sertifikaya sahip olmaya devam ediyorsunuz — kısalan süreler sizin için ekstra bir iş yükü yaratmıyor.