SSL Sertifikası İzleme

Kaçırılan SSL Yenilemesinin Maliyeti

23:59:59'da sona eren bir SSL sertifikası yumuşak bir şekilde sona ermez. Ertesi gün 00:00:00'da, her tarayıcı tam ekran güvenlik uyarısı göstermeye başlar, her API istemcisi TLS el sıkışmasında başarısız olur, her webhook entegratörü hata döndürür, her arama motoru sıralamanızı düşürür, e-posta da sertifika SMTP'yi de kapsıyorsa geri döner. Onarmak hızlıdır - yeniden düzenle, yeniden yükle - ama sertifikanın sona ermesiyle çözüm arasında kalan pencere acımasızdır; kimse sertifikayı gece yarısından önce fark etmez, yalnızca sonrasında görür.

SSL izleme, gece yarısından önce fark etmeniz için vardır. İzleyici, canlı bir ana makineden sertifikayı okur, geçerlilik süresini çözümler ve çok önceden uyarır - 30 gün, 14 gün, 7 gün, 3 gün, 1 gün - böylece yenileme asla sürpriz olmaz.

Ne İzlenir

İzlenen her HTTPS sitesi için DiagnoSEO Uptime Monitoring bir TLS bağlantısı açar, peerdeki sertifikayı yakalar ve onu analiz eder. Dashboard bundan şunları kaydeder:

• Geçerlilik: sertifika şu anda geçerlilik süresinde mi?
• Son kullanıma kalan gün: döngüsel sayım, renkli bir damga olarak gösterilir (yeşil >30 gün, turuncu 8-30, kırmızı <8).
• Bitiş tarihi: kesin tarih.
• Veren: sertifikayı kim imzaladı (Let's Encrypt, DigiCert, GlobalSign vb.)
• Konu: sertifikadaki ortak ad.

Eğer sertifika geçersiz hale gelirse - süresi dolduysa, yanlış hostname varsa, zincir bozuksa, gerekli değilken self-signed ise - izleyici SSL geçersiz olarak raporlar, HTTP durumundan bağımsız olarak. "Bozuk HTTPS fakat sunucu çalışıyor" durumu anında görünür olur.

Uyarı Eşikleri

Araç, SSL için sona ermeden 30, 14, 7, 3 ve 1 gün önce beş eşikte uyarı gönderir. Her biri ayrı bir bildirimdir. E-posta ve Telegram etkinse, sertifika sona yaklaştıkça beş hatırlatıcı alırsın - giderek daha acil olanlar. İlk (30 gün) yenilemeyi planlamak içindir. 14 günlük olan "hayır, gerçekten, bunu bu hafta yap" içindir. 7, 3 ve 1 günlük uyarılar ise yenileme gerçekleşmediyse birinin hemen müdahale etmesi gerektiği içindir.

Bu uyarılar kanal bazında devre dışı bırakılabilir – bazı ekipler SSL uyarılarını sadece e-posta ile, Slack/Telegram’da ise (gürültüde kaybolabileceğinden) almak istemez. Bunu Bildirimler bölümünden yapılandırabilirsin.

Neden otomatik yenileme yeterli değildir

Let's Encrypt ve certbot veya benzeri bir şey kullanıyorsan, SSL izlemeye gerek yokmuş gibi düşünebilirsin. Fakat öyle değil. Otomatik yenileme birçok şekilde bozulabilir: certbot hesabının maili geçersizleşir, ACME doğrulamaları firewall kuralı değişiminden kapanır, cron yenilemesi durur, konteyner yeniden başlatınca yenileme durumu kaybolur, DNS değişiminde alan doğrulaması bozulur. Tüm bu durumlarda sertifika sona doğru ilerler ve otomatik yenileme seni kurtarmaz. SSL izleme, otomasyonun gözden kaçırdıklarını yakalayan emniyet filesidir.

Dahili sertifikalar (şirket CA, karşılıklı TLS) için genelde hiç otomatik yenileme yoktur - SSL izleme yenilemenin gerekli olduğunun tek proaktif sinyalidir.

Yapılandırma

SSL izleme, DiagnoSEO Uptime Monitoring’deki her HTTPS monitörü için otomatik olarak aktiftir. Ayrı olarak etkinleştirmene gerek yoktur. Sonraki kez derin kontrol başladığında (monitör eklendikten sonraki 24 saat içinde veya "Şimdi kontrol et"e tıkladıktan hemen sonra), satırdaki SSL bölümü veren, bitiş tarihi ve kalan günlerle dolar. O andan itibaren monitör sertifikayı gözler ve 30/14/7/3/1 günlük eşiklerde alarm verir.

HTTPS dışındaki monitörler için, SSL atlanır. Özel SSL portu olan monitörlerde, araç eşleşen portu kullanmaya çalışır (varsayılan 443; SMTPS için 465, IMAPS için 993 vb. monitör tipine göre değişir).

Sıkça Sorulan Sorular

• SSL'in sona ermesinden ne kadar önce uyarılmalıyım?

  Standart uyarı eşikleri, sona ermeden 30, 14, 7, 3 ve 1 gündür. Otuz gün, mesai saatlerinde yenilemeyi planlamak için zaman verir; daha kısa süreli uyarılar aciliyeti artırır. Otomatik yenilemeye güveniyorsan (Let's Encrypt ve certbot ile), 7 günlük uyarı, yenilemenin gerçekten gerçekleşip gerçekleşmediğini kontrol etmek içindir — sessiz yenileme hataları yaygındır ve yalnızca bağımsız izleme bunları yakalayabilir.

• SSL izleme, zincir veya hostname uyumsuzluğunu yakalar mı?

  Evet. İzleyici gerçek bir TLS handshake yapar ve sunulan sertifikayı kontrol eder. Sertifika süresi doluysa, self-signed ise, CN/SAN hostname uyumsuzluğu varsa veya bilinmeyen bir CA tarafından imzalandıysa, kontrol belirli bir hata ile başarısız olur. Bu, tarayıcıların da işaretlediği "sertifika teknik olarak geçerli ama yanlış yüklenmiş" türü problemleri de yakalar.

• Sertifika geçerli ama ara CA eksikse ne olur?

  Eksik ara sertifikalar, birçok TLS istemcisinde (curl, eski Android cihazlar) "chain incomplete" hatasına sebep olur, masaüstü tarayıcılar zinciri indirerek otomatik toparlayabilse de. Bizim SSL kontrolümüz, eksiksiz ve geçerli bir zincir gerektirir — ara eksikse, kontrol başarısız olur ve sorunu mobil kullanıcılar fark etmeden önce gösterir.

• SSL'i özel portlarda (ör. 8443, posta sunucuları) izleyebilir miyim?

  Evet — monitör adresini port ile yapılandır (örn. https://api.example.com:8443/). İzleyici, TLS handshake ve sertifikanın okunması için o porta bağlanır. Aynı şey SMTP STARTTLS, IMAP/POP3 TLS ve diğer TLS'yi özel portlarda kullanan bütün protokoller için geçerlidir.

• SSL izleme ekstra kredi kullanır mı?

  Hayır. TLS handshake ve sertifika kontrolü her HTTPS kontrollüyle birlikte gerçekleşir — ekstra maliyeti yoktur. 5 eşikteki sona erme uyarıları da ücretsizdir. Alan adının sona ermesini kontrol eden WHOIS sorguları ise tek günlük yardımcı işlev olup ayrı zamanlamayla çalışır.