Firefox, sertifika zinciri temel doğrulamadan geçse bile kendi ek kurallarına uymayan sertifikaları reddedebilir. Bu hata, sertifikanın Mozilla'nın ilave politika kısıtlamalarını karşılamadığını gösterir.
Bu kısıtlamalar neler olabilir?
Ayrıntılar sürümden sürüme değişir; tipik örnekler şunlardır:
- Mozilla'nın güvenini geri çektiği (distrust) bir CA'dan verilmiş sertifika
- Belirli bir tarihten sonra verilen sertifikalar için uygulanan kısıtlamalar
- Geçerlilik süresi ya da zincir yapısının güncel kurallara uymaması
Teşhis
- Zinciri ve vereni görün:
openssl s_client -connect ornek.com:443 -servername ornek.com -showcerts
openssl x509 -in site.crt -noout -issuer -dates- Aynı siteyi Chrome'da ve Firefox'ta deneyin; yalnızca Firefox hata veriyorsa politika farkı söz konusudur.
- Firefox'un hata sayfasındaki "Gelişmiş" bölümünü ve sertifika ayrıntılarını inceleyin.
Çözüm
- Sertifikayı güvenilir ve güncel bir CA'dan yeniden düzenleyin (reissue) ya da yeni bir sertifika alın.
- Sunucuya CA'nın verdiği tam ve güncel zinciri kurun.
- Kurumsal bir iç CA kullanıyorsanız, istemcilere kökü Firefox'un tanıyacağı şekilde dağıtın.
Sertifika almadan önce SSL seçim rehberi ve SSL ürünlerimiz işinize yarayabilir. Ayrıntılı kontrol için SSL Checker kullanılabilir.
Özet: Hata genellikle sertifikanın veya CA'nın güncel tarayıcı politikalarına uymamasından gelir; çözüm uyumlu bir sertifika ve doğru zincirdir.
Hangi sertifikalar risk altında?
Politika değişiklikleri çoğunlukla yeni verilen sertifikaları etkiler; bu nedenle yıllar önce alınmış ve sorunsuz çalışan bir sertifika aynı hatayı vermeyebilir. Eski sistemlerde yenileme sırasında CA değiştirildiyse veya bir yeniden basım sırasında farklı bir zincir kullanıldıysa sorun yeni ortaya çıkabilir.
- Sertifikanın hangi CA hiyerarşisinden geldiğini vereni ve zinciri inceleyerek doğrulayın.
- Yalnızca Firefox'ta görülen hata, genellikle Mozilla'nın kök programı politikalarıyla ilgilidir.
- Sertifikayı yeniden düzenlettikten sonra sunucudaki eski dosyaların gerçekten değiştirildiğinden emin olun.
Hata mesajı ve sertifika ayrıntılarıyla birlikte bize ulaşırsanız Türkçe teknik destek ekibi yardımcı olur.