"Sertifika transferi" iki farklı durumu kapsar: sertifikayı bir sunucudan başka bir sunucuya taşımak veya sertifika sağlayıcısı değiştirmek. İlkinde dosyaları taşırsınız, ikincisinde ise sertifika değil hizmet ilişkisi taşınır ve yeni bir sertifika düzenlenir.
Sunucudan sunucuya taşıma
Yeni sunucuda sertifikayı kurmak için üç parçaya ihtiyacınız vardır: sertifika, ara sertifika zinciri ve özel anahtar. Özel anahtar güvenli yolla (şifreli kanal, parolalı arşiv) taşınmalıdır.
- Eski sunucudan sertifika, zincir ve anahtarı alın.
- Gerekirse PFX formatına dönüştürün (Windows/IIS, Tomcat):
openssl pkcs12 -export -out sertifika.pfx -inkey sunucu.key \
-in sunucu.crt -certfile ara.crt
# PFX'ten PEM'e
openssl pkcs12 -in sertifika.pfx -nodes -out tumu.pem
- Yeni sunucuda ilgili yapılandırmaya ekleyin (nginx
ssl_certificate/ssl_certificate_key, ApacheSSLCertificateFile/SSLCertificateKeyFile). - Web sunucusunu yeniden yükleyin ve SSL kontrol aracıyla doğrulayın.
Anahtarı taşımak yerine yeniden düzenlemek
Anahtarın ağ üzerinde dolaşması risk demektir. Bunun yerine yeni sunucuda yeni anahtar ve CSR üretip sertifikayı re-issue ettirmek daha temizdir. Bizde özel anahtar saklanmaz; CSR'ı müşteri üretir. CSR oluşturucuyu kullanabilirsiniz.
Sağlayıcı değiştirirken
- Sertifikanın kendisi sağlayıcılar arasında taşınmaz; yeni CA'dan yeni sertifika alınır.
- Eski sertifikanın süresi bitene kadar geçişi planlayıp çakışmayı kesintisiz yönetin.
- CAA kayıtlarınız yeni CA'ya izin vermelidir.
Kontrol listesi
- Zincir sırası doğru mu?
- Anahtar dosyasının izinleri kısıtlı mı (
chmod 600)? - Eski sunucudan anahtar silindi mi?
Yeni sertifika için SSL sertifikaları sayfasına göz atabilirsiniz.
Platforma özel notlar
- IIS: sertifikayı MMC veya IIS Yöneticisi ile PFX olarak içe aktarın, ardından site bağlamasında seçin.
- Tomcat/Java: PFX'i
keytool -importkeystoreile JKS'ye dönüştürebilirsiniz. - Yük dengeleyiciler: sertifikayı her düğümde aynı şekilde güncelleyin.