Kısa cevap: Sertifika isteğinde CAA hatası görmek her zaman yanlış bir izin kaydı eklediğiniz anlamına gelmez. DNS cevabı alınamıyorsa kontrol tamamlanamaz; cevap alınabiliyor fakat otorite izinli değilse politika reddi oluşabilir. Bu iki durumun çözümü farklıdır.
Hata metnini kısaltmadan kaydedin
Hangi ad için, hangi zamanda ve hangi sertifika sağlayıcısıyla işlem yapıldığını yazın. Sadece kırmızı bir durum etiketi tanı için yeterli değildir. Ekran görüntüsünde başarısız ad ve açıklama görünsün; erişim anahtarları veya hesap kimlik bilgileri görünmesin. cPanel kullanım rehberi kendi hesabınızdaki durum ekranıyla sunucu yöneticisinin ayarlarının ayrı olduğunu hatırlatır.
Kayıt okunamıyor mu, izin mi vermiyor?
Let's Encrypt CAA belgesi, izin politikasının yanı sıra CAA sorgusuna ilişkin hata durumlarını da açıklar. Alan adında kayıt olmadığını tahmin etmek yerine sorgunun gerçek sonucunu isteyin. DNSSEC doğrulaması, yetkili sunucunun erişimi veya isim zinciriyle ilgili bir sorun varsa yalnız yeni bir izin satırı eklemek hedefe ulaşmayabilir. Bu aşamada belirsizliği hata türüyle sınırlandırın.
Kullanılan otoriteyi doğru eşleştirin
cPanel SSL/TLS Status belgesi CAA kayıtlarının sertifika otoritesi seçimine etkisini anlatır. Hosting firmasının adını kayıt değerine yazmak yerine gerçek sertifika otoritesinin belgelenmiş tanımlayıcısını doğrulayın. Bir CDN ile origin ayrı sertifikalar kullanıyorsa iki sürecin gereksinimlerini de kontrol edin. Bir hizmeti düzeltirken diğerini izinsiz bırakmak sonraki yenilemede başka bir hata yaratabilir.
Değişiklik doğru DNS hizmetinde yapılmalı
Alan adının aktif nameserver adreslerine bakın. Yerel bir cPanel bölgesindeki değişiklik dış DNS sağlayıcısında yayınlanmıyorsa sertifika otoritesi yeni kaydı göremez. Domain ve DNS rehberi bu yönetim ayrımını açıklar. CNAME varsa aynı isimde kayıt çakışması kontrolünü de yapın. Çözüm uğruna tüm DNS bölgesini silmek web ve posta hizmetlerini birlikte bozabilir.
Bir değişiklikten sonra tek kontrollü deneme
Kayıt değişikliğinin saatini ve önceki değerini saklayın. Yayınlanan cevabı kontrol ettirdikten sonra sağlayıcının uygun gördüğü yenileme testini yapın. Başarılı sonuçtan sonra ziyaretçiye sunulan sertifikanın adını ve tarihini de doğrulayın. SSL uyarıları rehberi başka bir tarayıcı problemini CAA hatasıyla karıştırmamanıza yardımcı olur. DNS cevabı hâlâ hatalıysa yeni denemeler yapmak yerine otoriteye veya DNS sağlayıcısına güncel kanıtla başvurun.
Bu konunun diğer kontrolleri
- CAA issue ve issuewild Farkı: Normal ve Wildcard Sertifika İzinleri
- Alt Alan Adında CAA Kaydı Yok Ama SSL Engelleniyor: Üst Alan Politikasını İnceleme
Sıkça Sorulan Sorular
CAA hatası varsa bütün kayıtları silelim mi?
Hayır. Önce hata bir DNS sorgu başarısızlığı mı yoksa açık bir izin reddi mi, bunu ayırın. Şirketin mevcut politikasını kaldırmak başka sertifika süreçlerini etkileyebilir. En dar gerekli değişikliği yetkili sorumlu yapmalıdır.
CAA yokken de CAA hatası görülebilir mi?
Kayıt bulunmaması ile kaydın bulunup bulunmadığının güvenilir şekilde sorgulanamaması aynı durum değildir. DNS erişimi veya doğrulama sorunu varsa sertifika otoritesi güvenli karar veremeyebilir; güncel hata metni önemlidir.
Hata düzeldiğinde eski sertifikayı silmeli miyim?
Yeni sertifikanın doğru hizmete kurulduğu ve beklenen adları kapsadığı görülmeden çalışan sertifikayı kaldırmayın. Önce tanı, sonra kontrollü yenileme ve bağlantı testi yapın; sertifika silmek zorunlu bir ilk adım değildir.
CAA cevabı farklı ağlarda farklı görünüyorsa hangisini esas alayım?
Önce doğru yetkili sunucuların güncel cevabını doğrulatın, sonra çözümleyicilerin cevaplarını saatleriyle karşılaştırın. Bir ekranın yeni değeri göstermesi başka bir çözümleyicinin aynı anda güncellendiğini kanıtlamaz. Sertifika denemesinin zamanı da bu kayıtlarla karşılaştırılmalıdır. DNS cevabı istikrarlı hâle gelmeden tekrar tekrar yeni izin satırları eklemek tanıyı zorlaştırır ve gereksiz politika değişikliği yaratır.