Ücretsiz ve ücretli sertifikalar aynı TLS şifrelemesini sağlar; tarayıcıdaki kilit simgesi de ikisinde aynı görünür. Asıl fark, sertifikanın arkasındaki doğrulama düzeyinde, yaşam döngüsü yönetiminde ve satış sonrası hizmettedir.
Teknik olarak ne değişir?
Let's Encrypt gibi ACME tabanlı ücretsiz CA'lar yalnızca alan adı doğrulamalı (DV) sertifika üretir. Şifreleme gücü ücretli bir DV sertifikayla eşdeğerdir. Farklar şunlardır:
- Doğrulama türü: Ücretsiz CA'larda OV (kurum doğrulamalı) ve EV (genişletilmiş doğrulamalı) sertifika yoktur; sertifikada kuruluş adı yer almaz.
- Geçerlilik süresi: Ücretsiz sertifikalar kısa ömürlüdür ve otomatik yenilemeye dayanır. Yenileme betiği bozulursa site süresi dolmuş sertifikayla kalır.
- Garanti: Ticari CA'lar yanlış düzenlenmiş sertifikaya karşı belirli koşullarla bir güvence (warranty) sunar; ücretsiz CA'larda bu yoktur.
- Destek: Ücretsiz hizmette topluluk forumu vardır; ticari tarafta sağlayıcıdan ya da bayiden teknik destek alınabilir.
- Kurulum ortamı: Bazı yönetilen cihazlar, kurumsal ağ ürünleri ve eski sistemler ACME istemcisi çalıştıramaz; bu durumda elle yüklenen ticari sertifika daha pratiktir.
Hangi durumda hangisi?
- Kişisel blog, test ortamı, iç servisler: ücretsiz DV çoğu zaman yeterlidir.
- E-ticaret, üyelik ve ödeme sayfaları: kurum kimliğini gösteren OV ya da EV sertifika ziyaretçi güvenini destekler.
- Çok sayıda alt alan adı: wildcard sertifika tek noktadan yönetim sağlar; ücretsiz seçenekte de wildcard mümkündür ancak DNS-01 doğrulaması ve DNS API entegrasyonu gerektirir.
- Kurumsal uyumluluk: denetimlerde belge ve kuruluş doğrulaması istenebilir.
Maliyet hesabı
Ücretsiz sertifikanın bedeli sıfır olsa da yenileme otomasyonunu kurma, izleme ve arıza durumunda müdahale zaman maliyeti yaratır. Ücretli sertifikada ise uzun dönemli tek seferlik işlem ve hazır destek söz konusudur.
İhtiyacınıza uygun türü seçmek için SSL seçim rehberine bakabilir, sunucunuzdaki mevcut sertifikayı SSL kontrol aracıyla inceleyebilir, ticari seçenekleri SSL sertifikaları sayfasında görebilirsiniz.
Karar verirken sorulacak sorular
- Sitenin ziyaretçiye kurumsal kimlik göstermesi gerekiyor mu?
- Yenileme otomasyonunu izleyecek ve bozulursa müdahale edecek biri var mı?
- Kurumsal denetim, sözleşme veya tedarikçi politikası belirli bir sertifika türü istiyor mu?
Özetle: şifreleme kalitesi aynıdır; kurum doğrulaması, güvence, destek ve yönetim rahatlığı gerekiyorsa ticari sertifika, basit ve otomatikleştirilebilir bir ortam için ücretsiz sertifika mantıklı bir tercihtir.