İptal (revoke) işlemi, bir sertifikanın süresi dolmadan geçersiz sayılmasını sağlar. Özel anahtar sızdığında ya da sertifika yanlış bilgiyle alındığında başvurulur; bu nedenle API üzerinden iptal çağrısı dikkatle tasarlanmalıdır.
Ne zaman iptal edilir?
- Özel anahtarın ele geçirildiğinden veya yanlış kişilere ulaştığından şüphelenildiğinde
- Sertifikadaki alan adı veya kuruluş bilgisi artık geçerli olmadığında
- Sertifika yanlış alan adı için alındığında
Yalnızca sunucu taşındı diye iptale gerek yoktur; sertifika yeni sunucuya kopyalanabilir ya da yeniden yayınlanabilir.
API ile iptal akışı
- İptal edilecek siparişi kimliğiyle belirleyin.
- İptal nedenini sağlayıcının kabul ettiği değerlerle (ör. key compromise) iletin.
- Yanıtta iptal durumunu doğrulayın.
- Yerine yeni bir sertifika yayınlayıp sunuculara dağıtın.
Bazı sağlayıcı API'lerinde doğrudan iptal uç noktası bulunmayabilir; bu durumda iptal bir destek talebi veya panel işlemiyle yapılır. Kendi bayi panelinizde hangi yolun geçerli olduğunu önceden netleştirin.
İptal sonrası
İptal edilen sertifika CA'nın iptal listesine (CRL) ve OCSP yanıtlarına yansır. Ancak tarayıcıların iptal kontrolünü sıkı uyguladığı varsayılmamalıdır; bu yüzden hızlıca yeni anahtar ve sertifikaya geçmek esastır.
# OCSP yanıtı kontrolü (sertifika ve ara sertifika ile)
openssl ocsp -issuer ara.pem -cert sertifika.pem -url http://ocsp.ornek-ca.example -resp_textOCSP adresi sertifikanın "Authority Information Access" alanında yazar. Emin olmadığınızda Türkçe teknik destek ekibimizle iletişime geçebilir, sonrasında SSL denetleyici ile yeni sertifikayı doğrulayabilirsiniz.
Sık yapılan hatalar
- Şüphe varken iptal etmeyi geciktirmek; anahtar sızıntısında zaman kritiktir.
- İptalden önce yerine geçecek yeni sertifikayı hazırlamamak ve hizmet kesintisi yaşamak.
- Yeni sertifikada aynı özel anahtarı yeniden kullanmak; anahtar ele geçirildiyse mutlaka yeni anahtar üretin.