Sertifikanız geçerli olsa bile zayıf bir TLS yapılandırması, bağlantıyı koruyamayabilir. Aşağıdaki pratikler, sertifika kadar yapılandırmanın da doğru olması gerektiğini özetler.
Protokol ve Şifre Takımı
- SSLv3, TLS 1.0 ve TLS 1.1'i kapatın; TLS 1.2 ve TLS 1.3'ü etkin tutun.
- İleri gizlilik (forward secrecy) sağlayan ECDHE tabanlı takımları tercih edin.
- RC4, 3DES, NULL ve EXPORT takımlarını kaldırın.
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_session_tickets off;
ssl_stapling on;
ssl_stapling_verify on;Yukarıdaki Nginx yönergeleri örnektir; şifre listesini güncel bir yapılandırma oluşturucusuyla üretin ve sunucu sürümünüzle uyumunu kontrol edin.
Sertifika ve Zincir
- Sunucu sertifikasıyla birlikte ara sertifikaları da sunun.
- Anahtar uzunluğu için en az RSA 2048 bit veya ECDSA P-256 kullanın.
- Son kullanma tarihini izleyin ve yenilemeyi otomatikleştirin.
- Özel anahtarı 0600 izniyle saklayın, paylaşmayın.
HTTP Başlıkları
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Content-Type-Options "nosniff" always;HSTS'i etkinleştirmeden önce tüm alt alan adlarının HTTPS çalıştığından emin olun.
Doğrulama Döngüsü
- Değişiklikten sonra yapılandırmayı test edin (
nginx -t) ve servisi yeniden yükleyin. - Dışarıdan SSL kontrol aracıyla sonucu doğrulayın; hata varsa SSL sorun gidericiyi kullanın.
- Bu denetimi düzenli aralıklarla tekrarlayın.
Doğru sertifika türü için SSL sertifikaları sayfasına bakabilirsiniz.