Let's Encrypt, ACME protokolüyle ücretsiz alan adı doğrulamalı (DV) sertifika veren bir CA'dır. Sertifikaların ömrü kısa tutulduğundan yönetim başarısı tamamen yenileme otomasyonuna bağlıdır.
Kurulum ve ilk sertifika
Yaygın yol certbot'tur. Nginx üzerinde tek alan adı için:
sudo certbot --nginx -d example.com -d www.example.comApache için --apache kullanılır. Web sunucusuna dokunmadan almak isterseniz certbot certonly --webroot -w /var/www/html -d example.com komutu doğrulama dosyasını belirtilen dizine yazar.
Yenileme yönetimi
certbot certificates: hangi sertifikaların ne zaman biteceğini listeler.certbot renew --dry-run: gerçek sertifika almadan yenileme akışını dener.- Zamanlayıcı: paket kurulumu genelde bir systemd timer veya cron girdisi ekler;
systemctl list-timersile doğrulayın. - Yenilemeden sonra servis yüklemesi için
--deploy-hookkullanın.
Wildcard ve DNS doğrulaması
Wildcard sertifikalar yalnızca DNS-01 doğrulamasıyla alınabilir. DNS sağlayıcınızın API eklentisi yoksa yenileme elle kalır; bu da otomasyonu anlamsız kılar. Sağlayıcıya uygun eklenti veya acme.sh gibi alternatif istemci seçmek gerekir.
Ne zaman ticari sertifika düşünülmeli?
Let's Encrypt yalnızca DV verir; kuruluş adının doğrulandığı OV/EV ihtiyacı, kurumsal sözleşme gereksinimi veya çok sayıda sunucuda merkezi yönetim gerekiyorsa ticari sertifika daha uygun olabilir. Seçenekleri SSL seçim rehberinde karşılaştırabilirsiniz.
Sık hatalar
- Güvenlik duvarında 80 veya 443 portunun kapalı olması.
- Alan adının A kaydının yanlış sunucuya işaret etmesi.
- Hız sınırlarına (rate limit) takılmak için aynı alan adıyla çok sayıda deneme yapmak; testlerde staging ortamını kullanın.
Kurulumdan sonra sonucu SSL kontrol aracıyla doğrulamayı unutmayın.
Yenilemenin çalıştığını nasıl anlarsınız?
Kurulumdan bir süre sonra certbot certificates çıktısındaki bitiş tarihinin ilerlediğini, /var/log/letsencrypt/letsencrypt.log dosyasında hata olmadığını kontrol edin. Sunucu taşıma, güvenlik duvarı değişikliği veya web sunucusu yapılandırma güncellemesi yenilemeyi sessizce bozabilir. Bu yüzden takvime üç ayda bir 'yenileme denemesi' görevi koymak iyi bir alışkanlıktır.