CA Bundle Dosyası Oluşturma

CA bundle (ca-bundle.crt, chain.pem gibi adlarla anılır), sertifikanızı imzalayan ara sertifikaların PEM biçiminde art arda eklendiği metin dosyasıdır. Sunucu yazılımının zinciri müşteriye eksiksiz sunabilmesi için gereklidir.

PEM dosyasının yapısı

Her sertifika aşağıdaki işaretçilerle başlar ve biter; bundle bu blokların arka arkaya dizilmesidir:

-----BEGIN CERTIFICATE-----
MIIF...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
MIIE...
-----END CERTIFICATE-----

Bundle oluşturma

1. CA'dan gelen ara sertifika dosyalarını belirleyin. Sıra, sunucu sertifikasını imzalayandan köke doğru olmalıdır.
2. Birleştirin:

   cat intermediate1.crt intermediate2.crt > ca-bundle.crt

3. Sunucu sertifikasını da ekleyerek fullchain oluşturmak isterseniz onu en başa koyun:

   cat example.com.crt ca-bundle.crt > fullchain.pem

P7B veya DER biçimindeki dosyalar

Windows odaklı teslimatlarda .p7b dosyası gelebilir. PEM'e çevirmek için:

openssl pkcs7 -print_certs -in bundle.p7b -out bundle.pem
openssl x509 -inform DER -in cert.cer -out cert.pem

Çıktıda ayrıca "subject=" satırları bulunabilir; sorun çıkaran sunucularda bu satırları silerek yalnızca BEGIN/END bloklarını bırakın.

Doğrulama

openssl verify -CAfile ca-bundle.crt example.com.crt
openssl crl2pkcs7 -nocrl -certfile fullchain.pem | openssl pkcs7 -print_certs -noout

İlk komut "OK" döndürmelidir; ikincisi bundle'daki sertifikaların konu adlarını listeler.

Sık hatalar

• Bloklar arasında satır sonu eksikse -----END CERTIFICATE----------BEGIN CERTIFICATE----- biçiminde yapışır ve dosya okunamaz.
• Köke kadar tüm zinciri eklemek zorunlu değildir; gereksiz kök eklemek el sıkışma boyutunu büyütür.
• Windows'ta Notepad ile kaydederken kodlamanın ANSI/UTF-8 uyumunu koruyun; BOM eklenmesine dikkat edin.

Hangi sunucu hangi dosyayı ister?

Nginx tek dosya ister: sunucu sertifikası ve ara sertifikaların birleştiği fullchain. Apache 2.4.8 ve sonrasında da aynı biçim kabul edilir. cPanel ve Plesk'te ise sertifika, özel anahtar ve CA bundle ayrı kutulara yapıştırılır. Yanlış kutuya yapıştırmak en sık karşılaşılan kurulum hatasıdır; kutu başlıklarını dikkatle okuyun.

Kurulumu SSL kontrol aracıyla sınayın; hazır sertifika arıyorsanız SSL sertifikaları sayfasına bakın.