HTTP-01 Challenge (ACME)

HTTP-01, ACME'de alan adı kontrolünün web sunucusundan küçük bir dosya yayımlayarak kanıtlandığı yöntemdir. Kurulumu en kolay doğrulama türü olduğu için tek sunuculu sitelerde en yaygın seçimdir.

Nasıl çalışır?

1. CA istemciye bir belirteç verir.
2. İstemci, belirteç ile hesap anahtarından oluşan yetkilendirme dizgisini şu adrese koyar: http://alanadi.com/.well-known/acme-challenge/<BELIRTEC>
3. CA bu adrese 80 numaralı porttan bağlanır ve içeriği kontrol eder.
4. İçerik eşleşirse alan adı doğrulanmış sayılır.

Certbot ile kullanım

certbot certonly --webroot -w /var/www/html   -d alanadi.com -d www.alanadi.com

Nginx ile web kök dizinini ayırmak istiyorsanız doğrulama yolunu ayrı tanımlayabilirsiniz:

location /.well-known/acme-challenge/ {
    root /var/www/certbot;
    default_type text/plain;
}

Gereksinimler ve sınırlar

• Port 80 internetten erişilebilir olmalı; güvenlik duvarı ve bulut güvenlik grupları kontrol edilmelidir.
• Alan adı, doğrulamayı yapan sunucuya çözülmelidir; doğru A/AAAA kaydı şarttır.
• Wildcard sertifika bu yöntemle alınamaz; DNS-01 gerekir.
• CA'nın izlediği yönlendirmeler: HTTP'den HTTPS'ye yönlendirme genellikle sorun çıkarmaz, ancak farklı bir alan adına veya hata veren sertifikaya yönlendirme doğrulamayı bozar.

Sık hatalar

• Timeout: 80 portu kapalı ya da IPv6 (AAAA) kaydı yanlış sunucuyu gösteriyor.
• 404: Webroot yolu web sunucusunun gerçek kök dizinini göstermiyor.
• 403: WAF, .htaccess veya "nokta ile başlayan dosyaları engelle" kuralı .well-known yolunu kapatıyor.
• CDN/proxy: İstek kaynak sunucuya ulaşmıyor; DNS-01'e geçin.

Doğrulama

Yenilemeyi certbot renew --dry-run ile sınayın. Kalıcı çalışıp çalışmadığını düzenli olarak SSL kontrol aracıyla izleyin.

Güvenlik notu

Doğrulama dosyasının yalnızca ilgili yolda ve kısa süreliğine bulunması yeterlidir. Web sunucusunda .well-known dışındaki yolları açmak gerekmez. Yenileme için 80 portunu açık tutmanız, trafiği HTTPS'ye yönlendirme politikanızla çelişmez; yalnızca doğrulama yolunu istisna bırakmak yeterlidir.

Elle yönetimi tercih ederseniz ya da kurumsal doğrulama gerekiyorsa ticari SSL sertifikalarına bakabilirsiniz; sorun giderme için SSL sorun giderici kullanışlıdır.