SSL Sertifika Değişiklik Yönetimi

Sertifika değişikliği sıradan bir dosya yenilemesi gibi görünse de yanlış yapıldığında sitenin tamamını erişilemez kılabilir. Değişiklik yönetimi, bu riski kayıt ve onayla azaltır.

Hangi değişiklikler kapsamdadır?

• Yeni sertifika kurulumu veya yenileme
• Anahtar yenileme (rekey) ve yeniden düzenleme (reissue)
• CA veya ürün değişikliği
• Alan adı ekleme/çıkarma (SAN değişikliği)
• Sertifikanın iptali

Standart değişiklik akışı

1. Talep: neden, hangi sistemler, hedef tarih ve sorumlu yazılı olarak bildirilir.
2. Etki analizi: bu sertifikaya bağımlı servisler (yük dengeleyici, API istemcisi, e-posta, CDN) listelenir.
3. Test ortamında deneme: yeni zincirin sıralaması ve uyumu sınanır.
4. Onay: bakım penceresi ve geri dönüş planı onaylanır.
5. Uygulama: sertifika kurulur, servis yeniden yüklenir.
6. Doğrulama: dışarıdan bağlantı ve zincir kontrolü yapılır.
7. Kapanış: eski sertifika ve anahtar güvenli biçimde arşivlenir veya imha edilir.

Geri dönüş planı

Eski sertifika ve zincirini değişiklik bitene kadar silmeyin. Nginx'te yapılandırma hatasına karşı önce test, sonra yeniden yükleme yapın:

nginx -t && systemctl reload nginx

Doğrulama komutu

echo | openssl s_client -connect example.com:443 -servername example.com -showcerts 2>/dev/null | openssl x509 -noout -serial -enddate

Seri numarasının yeni sertifikayla eşleştiğini kontrol edin. Yük dengeleyicinin arkasındaki tüm düğümleri tek tek sınamayı unutmayın.

Sık hatalar

• Ara sertifikayı eklemeden yalnızca yaprak sertifikayı yüklemek.
• Anahtar ile sertifikanın eşleşmemesi (yanlış CSR'dan gelen sertifika).
• Değişikliği kayıt altına almayıp sonraki ekibin eski sertifikayı bulamaması.

Kurulumdan sonra SSL kontrol aracıyla zinciri doğrulayın. Takıldığınız noktada SSL sorun giderici yardımcı olur.

Bakım penceresi önerisi

Sertifika değişikliği genelde kesintisiz yapılabilir, ancak ilk kez yapılan bir ortamda düşük trafikli saati tercih edin. Değişiklikten sonra ilk 24 saat hata günlüklerini ve izleme panelini yakından takip edin; eski istemci veya entegrasyon kaynaklı TLS hataları bu sürede ortaya çıkar.