Tarayıcıda NET::ERR_CERT_REVOKED uyarısı, sertifikanın süresi dolmadan CA tarafından iptal edildiğini gösterir. Bu, sıradan bir yapılandırma hatası değildir; sertifikanın artık güvenilmemesi gerektiği anlamına gelir.
Belirtiler
- Chrome/Edge: "NET::ERR_CERT_REVOKED".
- Firefox: "SEC_ERROR_REVOKED_CERTIFICATE".
- Sertifika süresi geçerli görünür ama bağlantı engellenir.
Olası nedenler
- Özel anahtarın ele geçirildiği veya şüphelendiği için sertifikanın iptal ettirilmesi.
- Bilgilerin hatalı olması ya da doğrulama sorunu nedeniyle CA'nın iptali.
- Sertifikanın yeniden düzenlenmesi (reissue) sonrası eski sertifikanın iptal edilmesi ve sunucuda hâlâ eskisinin kullanılması.
- Siparişin iptal/iade edilmesi.
Çözüm adımları
- Sunucunun gerçekten hangi sertifikayı sunduğunu görün ve seri numarasını not edin.
- OCSP durumunu sorgulayın.
- Durum "revoked" ise sertifika panelinizden siparişin durumunu ve iptal nedenini kontrol edin.
- Yeni bir anahtar çifti ve CSR oluşturarak sertifikayı yeniden düzenletin.
- Yeni sertifikayı ve ara sertifikaları sunucuya kurup servisi yeniden başlatın.
openssl s_client -connect ornek.com:443 -servername ornek.com </dev/null 2>/dev/null | openssl x509 -noout -serial -ocsp_uri
openssl ocsp -issuer ara.pem -cert sunucu.pem -url http://ocsp.ornek-ca.com -textOCSP URL'sini ilk komutun çıktısından alın. Yanıtta revoked görünüyorsa sorun sertifikadadır, sunucu ayarında değil.
Önleme
- Özel anahtarı yalnızca gerekli kişilere açın ve paylaşmayın.
- Reissue sonrası eski sertifikanın tüm sunucu, yük dengeleyici ve CDN'den kalktığından emin olun.
- İptal kararı almadan önce sertifikanın kullanıldığı tüm yerleri envanterden çıkarın.
Yeni sertifika için SSL ürünlerine, CSR için CSR oluşturucuya başvurabilirsiniz.