Strict TLS Nedir?

"Strict TLS" tek bir standardın adı değil; bir bağlantının yalnızca güvenli koşullarda kurulmasını zorunlu kılan sıkı yapılandırma yaklaşımlarının genel adıdır. Ortak fikir, güvenlik sağlanamıyorsa şifresiz veya doğrulanmamış bağlantıya düşmemektir.

Sık karşılaşılan anlamları

• Cloudflare "Full (strict)" modu: CDN ile kaynak sunucu arası bağlantının TLS olması ve kaynak sertifikasının geçerli, güvenilir bir sertifika olması gerekir. Kendinden imzalı sertifika bu modda kabul edilmez.
• E-posta: Postfix'te smtp_tls_security_level = encrypt veya verify, TLS başarısız olursa postayı göndermez. MTA-STS de alıcı alan adı için aynı zorunluluğu ilan eder.
• Tarayıcı tarafı: HSTS, bir siteye yalnızca HTTPS ile bağlanılmasını zorunlu kılar ve sertifika hatalarının atlanmasına izin vermez.
• Protokol sıkılığı: Yalnızca TLS 1.2 ve üstünü, yalnızca AEAD paketlerini kabul etmek.

Uygulama adımları

1. Sertifikanızın geçerli, alan adına uygun ve zincirinin tam olduğundan emin olun.
2. Sunucuda eski sürümleri kapatın:

   ssl_protocols TLSv1.2 TLSv1.3;

3. HTTP'den HTTPS'e kalıcı yönlendirme yapın ve HSTS ekleyin:

   add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

4. CDN kullanıyorsanız kaynak bağlantısını "strict" moda alın.

Dikkat edilecekler

• Strict modlar, sertifika yenilemeyi unutmanın bedelini artırır; süresi dolan sertifika doğrudan kesintiye neden olur. Yenileme tarihlerini takip edin.
• HSTS'i önce kısa max-age ile deneyin, sonra uzatın; includeSubDomains için tüm alt alan adlarının HTTPS hazır olması gerekir.

Kaynak sunucunuz için CA onaylı bir SSL sertifikası edinmek strict modun temel koşuludur; durumu SSL denetleme aracıyla kontrol edebilirsiniz.