SSL Labs A+ Alma Rehberi

Qualys SSL Labs, bir sunucunun TLS yapılandırmasını sertifika, protokol desteği, anahtar değişimi ve cipher gücü açısından puanlayıp A'dan F'ye harf notu verir. A+ notu ise A seviyesindeki yapılandırmaya ek olarak güçlü bir HSTS politikası gerektirir.

Notu etkileyen başlıca unsurlar

• Sertifika: Güvenilir CA tarafından verilmiş, süresi dolmamış, alan adıyla eşleşen ve tam zincirle sunulan sertifika.
• Protokoller: TLS 1.2 ve TLS 1.3 açık; SSL 2.0/3.0, TLS 1.0/1.1 kapalı.
• Cipher suite: ECDHE tabanlı, AES-GCM veya ChaCha20 kullanan, forward secrecy sağlayan paketler.
• HSTS: A+ için yeterince uzun bir max-age ile gönderilmesi gerekir.

Nginx örnek yapılandırma

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_session_tickets off;
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

Cipher listesini elle hazırlamak yerine, Mozilla'nın yayımladığı "intermediate" yapılandırma önerilerini temel almak daha güvenlidir.

Adımlar

1. Mevcut durumu SSL Labs sayfasından taratın ve raporda kırmızı/sarı uyarıları not edin.
2. Eksik ara sertifika varsa tam zinciri (fullchain) sunun.
3. Eski protokolleri ve zayıf cipher'ları kapatın.
4. HSTS başlığını ekleyin ve sunucuyu yeniden yükleyin.
5. Testi önbelleği temizleme seçeneğiyle yeniden çalıştırın.

Dikkat

• A+ için eski istemci uyumluluğundan vazgeçmek gerekebilir; hedef kitlenizi düşünün.
• HSTS'te includeSubDomains kullanmadan önce tüm alt alan adlarını kontrol edin.

Sık görülen puan düşürücüler

• Zincirde eksik ara sertifika bulunması.
• Yalnızca TLS 1.2 desteklenip TLS 1.3'ün kapalı olması notu doğrudan düşürmez ama modern istemci desteğini sınırlar.
• HSTS başlığının yalnızca bazı alan adlarında bulunması.
• Yük dengeleyici arkasındaki düğümlerin farklı yapılandırılmış olması; her düğümü ayrı kontrol edin.
• Eski RSA anahtar değişimi yapan paketlerin listede bırakılması.

Hızlı ön kontrol için SSL denetleyici aracını kullanabilir, sertifika seçimi için SSL sertifikaları sayfasına bakabilirsiniz. Not bir hedef değil yapılandırma kalitesinin göstergesidir; sunucunuzu güncel tutmak esastır.