Özel anahtar, bir sertifikanın gizli yarısıdır; onu ele geçiren, sitenizin kimliğiyle konuşabilir veya trafiği çözebilir. Bu yüzden anahtarın üretiminden imhasına kadar yönetimi, sertifikanın kendisinden daha önemlidir.
Üretim
- Anahtarı mümkünse kullanılacağı sunucuda üretin; başka bir makinede üretip taşımak gereksiz risktir.
- En az RSA 2048 bit veya ECDSA P-256 gibi güncel parametreleri kullanın.
openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out sunucu.key
openssl req -new -key sunucu.key -out sunucu.csr -subj "/CN=example.com"
chmod 600 sunucu.key
Alternatif olarak CSR oluşturucuyu kullanabilirsiniz. Bizde müşteri anahtarı üretilmez veya saklanmaz; CSR'ı siz oluşturur ve sunarsınız.
Saklama
- Dosya izinlerini sınırlayın: yalnızca web sunucusunu çalıştıran hesap okuyabilsin.
- Anahtarı web kök dizininin (public_html) içinde tutmayın.
- Git depolarına, e-postaya ve sohbet araçlarına koymayın.
- Kritik ortamlarda HSM veya anahtar kasası kullanın.
- Yedekleri şifreli tutun.
Eşleşme kontrolü
openssl x509 -noout -modulus -in sunucu.crt | openssl md5
openssl rsa -noout -modulus -in sunucu.key | openssl md5
İki çıktı aynı olmalıdır; değilse sertifika ile anahtar eşleşmiyordur ve sunucu "key values mismatch" benzeri bir hata verir.
Döndürme ve ele geçirilme
- Her yenileme veya re-issue sırasında yeni anahtar üretmek iyi bir alışkanlıktır.
- Anahtar sızdıysa yeni anahtarla sertifikayı yeniden düzenletin ve eskisini iptal ettirin.
- Çalışan ayrıldığında anahtara erişimi olanları gözden geçirin.
Ürünler için SSL sertifikaları sayfasına göz atın. Anahtarı kopyalanabilir bir dosya olarak gördüğünüzde, onu bir parola gibi ele alın.
Yaygın hatalar
- Anahtarı parolasız bırakıp herkesin okuyabildiği dizinde tutmak.
- Test anahtarını üretimde kullanmak.
- Aynı özel anahtarı birçok sertifika ve sunucuda paylaşmak.
- Yedeği düz metin olarak e-postayla göndermek.