Let's Encrypt ile Ücretsiz SSL Kurulumu

Let's Encrypt ile Ücretsiz SSL Kurulumu

2015 yılında hayata geçen Let's Encrypt, web güvenliğini demokratikleştiren ve milyonlarca web sitesinin HTTPS'e geçişini mümkün kılan açık kaynaklı bir sertifika otoritesidir. Internet Security Research Group (ISRG) tarafından yürütülen ve Mozilla, Google, Cisco ile EFF gibi devlerin desteklediği bu proje sayesinde SSL sertifikası artık yalnızca büyük bütçeli kurumların erişebildiği bir lüks olmaktan çıkmıştır. Bu rehberde Let's Encrypt'in ne olduğunu, nasıl kurulacağını ve ücretsiz SSL sertifikasını otomatik olarak nasıl yenileyebileceğinizi adım adım açıklıyoruz.

Let's Encrypt Nedir?

Let's Encrypt, ücretsiz, otomatik ve açık kaynaklı bir SSL/TLS sertifika otoritesidir. Temel amacı, web sitesi sahiplerinin HTTPS'e geçiş engelini ortadan kaldırmak ve güvenli interneti herkes için erişilebilir kılmaktır. Geleneksel sertifika otoritelerinden farklı olarak Let's Encrypt, ACME (Automated Certificate Management Environment) protokolünü kullanarak sertifika alma, yenileme ve iptal etme süreçlerini tamamen otomatize eder.

Let's Encrypt'in sunduğu sertifikalar Domain Validation (DV) kategorisindedir; yani yalnızca alan adı sahipliği doğrulanır. Her sertifika 90 günlük geçerlilik süresine sahiptir ve en iyi uygulama olarak her 60 günde bir yenilenmesi önerilir. Bu kısa geçerlilik süresi kasıtlı olarak belirlenmiştir; otomasyonu teşvik eder ve sertifika tehlikeye girdiğinde hasarı minimize eder.

2024 yılı itibarıyla Let's Encrypt, 350 milyondan fazla aktif sertifika ile dünya genelindeki HTTPS sitelerinin büyük bir bölümünü korumaktadır. Bu rakam, projenin web güvenliği üzerindeki dönüştürücü etkisini açıkça ortaya koymaktadır.

Certbot Nedir ve Nasıl Çalışır?

Certbot, Electronic Frontier Foundation (EFF) tarafından geliştirilen ve Let's Encrypt sertifikalarını yönetmek için kullanılan resmi istemci yazılımıdır. Certbot; sertifika alma, yenileme ve web sunucusu yapılandırmasını otomatik olarak güncelleme işlemlerini kolaylaştırır.

Certbot'un çalışma mantığı şu şekildedir: ACME protokolü üzerinden Let's Encrypt sunucusuna alan adı sahipliğini kanıtlayan bir "challenge" (doğrulama meydan okuması) gönderir. Bu doğrulama iki yöntemle yapılabilir:

• HTTP-01 Challenge: Certbot, web sunucusuna özel bir dosya yerleştirir. Let's Encrypt, bu dosyayı HTTP üzerinden erişerek alan adı sahipliğini doğrular.
• DNS-01 Challenge: Alan adının DNS kayıtlarına özel bir TXT kaydı eklenir. Bu yöntem Wildcard sertifikaları için zorunludur ve web sunucusuna doğrudan erişim gerektirmez.

Ubuntu/Debian Üzerinde Certbot Kurulumu

Certbot'u modern Ubuntu ve Debian sistemlerine kurmak için snap paket yöneticisi önerilmektedir:

1. Snap'i güncelleyin ve Certbot'u kurun: sudo snap install --classic certbot
2. Certbot komutuna sembolik bağlantı oluşturun: sudo ln -s /snap/bin/certbot /usr/bin/certbot
3. Sertifikayı alın ve Apache yapılandırmasını otomatik güncelleyin: sudo certbot --apache
4. Yalnızca sertifika almak, yapılandırmayı kendiniz düzenlemek istiyorsanız: sudo certbot certonly --apache

CentOS/RHEL tabanlı sistemlerde ise EPEL deposunu etkinleştirip Certbot'u yum veya dnf ile kurabilirsiniz.

Apache Yapılandırması

Certbot'u --apache bayrağıyla çalıştırdığınızda, Apache yapılandırmanızı otomatik olarak günceller. Ancak manuel yapılandırma yapmak isterseniz SSL virtual host bloğunuz şu temel direktifleri içermelidir:

• SSLEngine on direktifi ile SSL aktif edilir.
• SSLCertificateFile satırına /etc/letsencrypt/live/example.com/fullchain.pem dosya yolu belirtilir.
• SSLCertificateKeyFile satırına /etc/letsencrypt/live/example.com/privkey.pem dosya yolu belirtilir.
• HTTP'den HTTPS'e yönlendirme için 80 portundaki virtual host bloğuna RedirectPermanent / https://example.com/ satırı eklenir.

Yapılandırma değişikliklerinin geçerli olması için Apache'yi yeniden başlatmayı unutmayın: sudo systemctl restart apache2

Nginx Yapılandırması

Nginx kullananlar için Certbot'u --nginx bayrağıyla çalıştırmak yapılandırmayı otomatik olarak günceller. Manuel yapılandırmada ise server bloğunuza şu direktifler eklenmelidir:

• listen 443 ssl; satırı ile SSL portu aktif edilir.
• ssl_certificate parametresine /etc/letsencrypt/live/example.com/fullchain.pem yolu girilir.
• ssl_certificate_key parametresine /etc/letsencrypt/live/example.com/privkey.pem yolu girilir.
• HTTP'den HTTPS'e yönlendirme için 80 portunu dinleyen ayrı bir server bloğu oluşturulur ve return 301 https://$host$request_uri; satırı eklenir.

Otomatik Yenileme (Cron ile)

Let's Encrypt sertifikalarının 90 günlük geçerlilik süresi, otomatik yenilemeyi zorunlu kılar. Certbot kurulumundan sonra sisteme bir systemd timer veya cron görevi eklenerek bu işlem otomatize edilir.

Certbot'un snap ile kurulumunda yenileme timer'ı otomatik oluşturulur. Bunu kontrol etmek için şu komut kullanılır: sudo systemctl status snap.certbot.renew.timer

Manuel cron görevi eklemek isterseniz sudo crontab -e komutu ile crontab dosyasını açıp şu satırı ekleyin:

0 3 * * * certbot renew --quiet --post-hook "systemctl reload nginx"

Bu satır her gün saat 03:00'te yenileme kontrolü yapar. Sertifikanın sona ermesine 30 günden az kalmışsa yenileme işlemini gerçekleştirir ve Nginx'i yeniden yükler. --quiet bayrağı gereksiz çıktıları bastırır; yalnızca hata durumunda e-posta bildirimi gönderilir.

Let's Encrypt Sınırlamaları

Let's Encrypt'in güçlü yanlarının yanı sıra göz önünde bulundurulması gereken bazı sınırlamaları da vardır:

• Yalnızca DV sertifikası: Let's Encrypt, OV veya EV sertifikası düzenlemez. Kuruluş doğrulaması gerektirenler ücretli seçeneklere yönelmelidir.
• Hız limitleri: Haftada aynı alan adı için en fazla 5 sertifika yenilenebilir. Geliştirme ortamlarında bu limite dikkat edilmelidir.
• Wildcard sınırlaması: Wildcard sertifikaları yalnızca DNS-01 challenge ile alınabilir; bu da DNS sağlayıcısının API desteğini gerektirir.
• Ticari destek yok: Sorun yaşandığında resmi destek kanalı topluluk forumlarıdır. Kurumsal SLA gerektiren yapılar için ücretli sertifikalar tercih edilmelidir.
• IP adresi sertifikası yok: Yalnızca alan adları için sertifika düzenlenir; IP adresleri için SSL sertifikası alınamaz.

Let's Encrypt ile Ücretli SSL Farkı

Let's Encrypt ile ücretli SSL sertifikaları arasındaki temel farkları şöyle özetleyebiliriz:

• Güvence düzeyi: Let's Encrypt yalnızca DV sunarken ücretli sertifikalar OV ve EV seçenekleri de içerir.
• Geçerlilik süresi: Let's Encrypt sertifikaları 90 gün geçerlidir; ücretli sertifikalar genellikle 1 yıl geçerlidir.
• Yönetim kolaylığı: Otomasyonun mümkün olduğu ortamlarda Let's Encrypt idealdir. Ancak bazı hosting ortamları ve kontrol panelleri otomatik yenilemeyi desteklemeyebilir.
• Garanti ve sigorta: Ücretli sertifikalar, sertifika hatası kaynaklı zararlara karşı mali güvence sağlar. Let's Encrypt'te böyle bir güvence yoktur.
• Destek: Ücretli sertifikalarda profesyonel teknik destek sunulur.

TheDomain Otomatik SSL Çözümü

TheDomain'in sunduğu hosting paketlerinde SSL yönetimi tamamen otomatiktir. Kontrol panelimiz üzerinden tek tıkla Let's Encrypt SSL aktivasyonu yapabilir, sertifikanızın durumunu takip edebilir ve otomatik yenileme zamanlamalarını yönetebilirsiniz. Teknik bilgi gerektirmeden, sunucu komut satırına girmeden sitenizi güvenli hâle getirmeniz mümkündür.

Daha kapsamlı kurumsal güvence ihtiyacı duyanlara ise OV ve EV sertifika seçenekleri sunulmaktadır. Tüm ücretli sertifikalarımız için kurulum desteği, otomatik yenileme hatırlatmaları ve 7/24 teknik destek hizmetlerimizden yararlanabilirsiniz. SSL sertifikanızı seçmek veya mevcut sertifikanızı yönetmek için TheDomain'in uzman ekibiyle iletişime geçin.