SSL sertifikasının süresi dolunca ne olur?

Sertifikanın süresi dolduğu gün site kapanmaz. Sunucu çalışır, sayfalar yerinde durur. Değişen şey, ziyaretçinin sayfadan önce gördüğü ekrandır: tarayıcı siteyi açmak yerine tam ekran bir güvenlik uyarısı gösterir. Ziyaretçilerin çoğu bu ekranda geri döner. Firma ise durumu çoğu zaman bir müşteri haber verdiğinde öğrenir.

Her sertifikanın bir bitiş tarihi vardır. O tarih geçtiğinde tarayıcı, sunucunun gerçekten o alan adına ait olduğunu artık doğrulayamaz ve siteyi açmak yerine uyarı gösterir.

Ziyaretçi ne görür?

Metin tarayıcıya göre değişir, sonuç aynıdır: sayfa yerine bir uyarı ekranı.

• Chrome ve Edge: "Bağlantınız gizli değil" başlığı ve altında NET::ERR_CERT_DATE_INVALID kodu.
• Firefox: bir güvenlik riski ekranı ve SEC_ERROR_EXPIRED_CERTIFICATE kodu.
• Safari: bağlantının gizli olmadığını söyleyen bir uyarı.

Uyarıyı geçip siteye girmek çoğu zaman mümkündür ama birkaç tıklama ister ve ziyaretçiye siteyi tehlikeli gösterir. Site HSTS kullanıyorsa tarayıcı geçiş seçeneğini hiç sunmaz; site o ziyaretçi için tamamen kapanmış olur.

Neden olur?

Sertifikalar bugün çoğunlukla otomatik yenileniyor. Süresi dolan sertifikaların büyük kısmı, otomatik yenilemenin kimse fark etmeden durmasından kaynaklanır:

• Alan adının DNS kaydı değişmiştir. Site başka bir sunucuya taşınmıştır; yenilemeyi deneyen sunucu artık alan adının sahibi olduğunu kanıtlayamaz.
• Doğrulama yolu kapanmıştır. Bir güvenlik duvarı ya da yönlendirme kuralı, sertifika sağlayıcısının kontrol isteğini engeller.
• Hosting ya da ödeme durmuştur. Ücretli sertifikada kartın süresi, ücretsiz sertifikada hosting paketinin süresi dolmuştur.
• Siteyle artık kimse ilgilenmiyordur. Siteyi kuran kişi ya da firma ayrılmıştır; uyarılar kimsenin okumadığı bir adrese gider.

Hatırlatma e-postasına güvenmek de artık yetmiyor. Ücretsiz sertifikaların en yaygın sağlayıcısı Let's Encrypt, süre bitimi hatırlatma e-postalarını 2025'te kaldırdı.

Sertifika ömürleri de kısalıyor. Tarayıcı üreticileri ve sertifika sağlayıcılarının ortak kararıyla en uzun geçerlilik süresi Mart 2026'da 200 güne indi ve 2029'a kadar adım adım 47 güne inecek. Elle yenilenen bir sertifika, yılda birkaç kez hatırlanması gereken bir iş haline geliyor.

Nasıl anlaşılır?

1. Siteyi tarayıcının gizli penceresinde açın. Uyarı çıkıyorsa hata kodunu okuyun; kodda DATE_INVALID ya da EXPIRED geçiyorsa sorun sertifikanın tarihidir.
2. Uyarı çıkmıyorsa adres çubuğunun solundaki site bilgisi simgesine tıklayın, sertifika ayrıntılarını açın ve bitiş tarihine bakın. Birkaç hafta içindeyse yenilemenin çalışıp çalışmadığını şimdiden kontrol edin.
3. Adresi hem www'lu hem www'suz yazarak deneyin. İki adres farklı sertifika kullanıyor olabilir; biri yenilenirken diğeri unutulmuş olabilir. Aynı sitenin birden fazla adreste ayrı ayrı açılması da başlı başına bir sorundur: Siteniz www ile girince farklı mı açılıyor?

Uyarı yalnızca bir bilgisayarda çıkıyorsa önce o bilgisayarın tarih ve saatine bakın. Yanlış saat de aynı hatayı üretir.

Nasıl düzelir?

Çözüm, sertifikanın nereden geldiğine bağlıdır:

• Hosting panelinin verdiği ücretsiz sertifika: Paneldeki SSL bölümünden yenilemeyi elle başlatın. Hata verirse mesajı okuyun; genellikle alan adının bu sunucuyu göstermediğini ya da doğrulama isteğine ulaşılamadığını söyler.
• Ücretli sertifika: Satın alındığı yerden yenileyin, ardından yeni sertifikayı sunucuya yükleyin. Yalnızca yenilemek yetmez; yükleme yapılmazsa site eski sertifikayı göstermeye devam eder.
• Kendi sunucunuzda otomatik sertifika: Yenileme komutunu elle çalıştırıp çıkan hatayı okuyun, sorunu giderdikten sonra web sunucusunu yeniden yükleyin.

Yeniledikten sonra siteyi gizli pencerede, www'lu ve www'suz adresle ve telefondan açarak tekrar kontrol edin. Bazı sunucular yeni sertifikayı ancak yeniden yüklendiğinde kullanmaya başlar.

Bir daha olmaması için

• Otomatik yenilemenin açık olmasına değil, çalışmasına bakın: son yenileme tarihi, beklenen tarihle uyuşmalı.
• Sertifikanın bitiş tarihini siteyi dışarıdan kontrol eden bir izleme ile takip edin. Uyarı bitişten en az iki hafta önce, kimsenin kaçırmayacağı bir adrese gelsin.
• Sitenin, alan adının ve hosting hesabının kimin sorumluluğunda olduğunu yazılı hale getirin. Süresi dolan sertifikaların çoğu teknik bir sorun değil, sahipsizlik sorunudur.
• Kurumsal e-posta aynı alan adındaysa posta sunucusu çoğu kurulumda web sitesinden ayrı bir sertifika kullanır; biri yenilenirken diğeri dolabilir. Mail tarafındaki en sessiz arıza ise müşterinin gönderdiği mailin geri dönmesidir: Firma adresinize gönderilen mailler geri mi dönüyor?