Tomcat SSL Sertifikası Kurulumu

Tomcat, sertifikayı Java keystore biçiminde kullanır. Elinizde PEM dosyaları varsa önce bunları PKCS12 pakete çevirmek, ardından Tomcat'in HTTPS Connector'ında bu dosyayı göstermek gerekir.

Ön koşullar

• Sunucu sertifikası, ara sertifikalar ve CSR'nin özel anahtarı
• Tomcat 8.5, 9 veya 10 (SSLHostConfig yapısı bu sürümlerde geçerlidir)
• Sunucuda openssl ve keytool (JDK) komutları

Keystore hazırlama

1. Sertifika zincirini tek dosyada toplayın (sunucu sertifikası önce):

   cat alanadi.crt ara.crt kok.crt > zincir.pem

2. Özel anahtarla birlikte PKCS12 dosyası üretin:

   openssl pkcs12 -export -inkey alanadi.key -in zincir.pem   -name tomcat -out alanadi.p12

3. İçeriği kontrol edin:

   keytool -list -v -keystore alanadi.p12 -storetype PKCS12

server.xml ayarı

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           SSLEnabled="true" maxThreads="150">
  <SSLHostConfig protocols="TLSv1.2+TLSv1.3">
    <Certificate certificateKeystoreFile="conf/alanadi.p12"
                 certificateKeystorePassword="parola"
                 certificateKeystoreType="PKCS12" />
  </SSLHostConfig>
</Connector>

Değişikliği uygulamak için Tomcat'i yeniden başlatın ve logs/catalina.out dosyasında hata olup olmadığına bakın. Keystore parolasını düz metin yerine ortam değişkeni veya erişimi kısıtlı bir dosyayla yönetmeniz daha güvenlidir.

Sık hatalar

• Keystore was tampered with, or password was incorrect: Parola yanlış ya da dosya bozuk.
• Zincir eksik: PKCS12 içine ara sertifikalar eklenmemiştir; tarayıcıda uyarı çıkar.
• 443 portunda izin hatası: Linux'ta ayrıcalıksız kullanıcı 1024 altı portu açamaz; 8443 kullanıp ters vekil veya yönlendirme tercih edin.

İzleme ve yenileme

Keystore içindeki sertifikanın bitiş tarihini keytool -list -v çıktısındaki geçerlilik satırından takip edebilirsiniz. Yenileme geldiğinde yeni sertifikayı aynı takma adla (alias) yeni bir PKCS12 dosyasında hazırlayıp eski dosyanın yedeğini aldıktan sonra değiştirin. Emin olmadığınızda kısa bir bakım penceresinde Tomcat'i yeniden başlatmak en güvenli yoldur. Keystore parolası ve dosya izinleri de düzenli gözden geçirilmelidir.

Kurulumu tamamladıktan sonra SSL kontrol aracıyla zinciri sınayın. Sorun sürerse SSL sorun giderici yardımcı olur; ürün seçimi için SSL sertifikalarına göz atın.