SSL Sertifika Sorgulama

SSL Sonucunu Nasıl Okursunuz?

Araç alan adınızın 443 numaralı portuna bağlanır, sunucunun gönderdiği sertifikayı okuyup doğrular ve sertifikanın temel alanlarını gösterir. Her alanın neye işaret ettiği şöyle:

• Domain (CN): Sertifikanın ortak adı. Tarayıcılar ad eşleşmesi için artık CN'e değil, sertifikadaki SAN (Subject Alternative Name) listesine bakar. CN'de ornekfirma.com.tr görmeniz www.ornekfirma.com.tr adının da kapsandığını göstermez; iki adı ayrı ayrı test edin.
• Yayınlayan (Issuer): Sertifikayı veren otorite. Let's Encrypt gibi ücretsiz otoritelerin sertifikaları 90 günlüktür ve otomatik yenilemeyle çalışır.
• Başlangıç ve bitiş tarihi, kalan gün: certbot gibi istemciler sertifikayı varsayılan olarak süresinin son 30 gününde yeniler. Kalan gün bunun altına inmiş ve hâlâ eski sertifika görünüyorsa otomatik yenileme işini kontrol edin.
• Algoritma: İmza algoritması. RSA-SHA256 ya da ecdsa-with-SHA384 gibi değerler normaldir. SHA-1 ile imzalanmış sertifikaları güncel tarayıcılar kabul etmez.
• Seri No: Sertifikanın kimliği. Yenilemeden sonra sunucunun gerçekten yeni sertifikayı sunup sunmadığını seri numarasının değişmesinden anlarsınız.

Sertifika ömürleri kısalıyor

CA/Browser Forum'un 2025'te kabul ettiği karara göre 15 Mart 2026'dan sonra verilen genel SSL sertifikalarının azami geçerlilik süresi 200 gündür. Bu süre Mart 2027'de 100 güne, Mart 2029'da 47 güne iniyor. Yıllık sertifikayı elle yenileme dönemi kapanıyor; ücretli sertifika kullansanız da yenilemenin otomatik yapılması gerekiyor.

"Sertifika Geçersiz" ve "bağlantı kurulamadı" sonuçları

Araç önce sertifikayı doğrulamadan okur, ardından tarayıcılar gibi doğrulamalı bir bağlantı dener. Doğrulama başarısız olursa nedenini ayrı ayrı gösterir:

• Süresi dolmuş ya da henüz geçerli olmayan sertifika.
• Ad uyuşmazlığı: sertifika başka bir ada ait; SAN listesinde girdiğiniz alan adı yok.
• Zincir eksik: ara sertifika sunucuya yüklenmemiş.
• Kendinden imzalı (self-signed) ya da güvenilmeyen bir köke bağlanan sertifika.

"TLS bağlantısı kurulamadı" hatası ise yalnızca 443 portu kapalıysa, güvenlik duvarında engelliyse, alan adı çözümlenmiyorsa ya da sunucuda SSL hiç kurulu değilse görünür. Portu Port Sorgulama ile kontrol edebilirsiniz.

Hangisi olduğunu görmek için sunucuya erişiminiz varsa şu komutu çalıştırın:

openssl s_client -connect ornekfirma.com.tr:443 -servername ornekfirma.com.tr -showcerts

Çıktının sonunda Verify return code: 0 (ok) görmelisiniz. 21 (unable to verify the first certificate) eksik ara sertifikayı, 10 (certificate has expired) süresi dolmuş sertifikayı gösterir. Masaüstü tarayıcılar eksik zinciri bazen kendi önbelleğinden tamamladığı için site sizde açılıp bazı telefonlarda ve API istemcilerinde hata verebilir.

Sık görülen durumlar

• Sertifika yenilendi ama eskisi görünüyor. Web sunucusu yeniden yüklenmemiş olabilir. Site Cloudflare gibi bir proxy arkasındaysa araç sizin sertifikanızı değil proxy'nin sertifikasını gösterir.
• Alan adı başka sunucuyu gösteriyor. Taşıma sonrası A kaydı güncellenmemişse eski sunucudaki sertifikayı görürsünüz. DNS Sorgulama ile IP adresini kontrol edin.
• Sertifika geçerli ama tarayıcı uyarı veriyor. Sayfa içinde http:// ile yüklenen görsel ya da betik varsa (mixed content) kilit simgesi bozulur. Bu araç sayfa içeriğini taramaz; tarayıcı geliştirici konsolundaki uyarılara bakın.

Birden çok alt alan adını tek sertifikayla korumak (wildcard) ya da şirket bilgilerinin doğrulandığı bir sertifika kullanmak istiyorsanız SSL sertifikası seçeneklerini inceleyebilirsiniz.