Kısa cevap: Wildcard SSL ihtiyacında ilk sertifika kurulumundan önce DNS doğrulamasının sonraki yenilemelerde nasıl çalışacağını belirleyin. Elle eklenen TXT kaydı ilk isteği tamamlayabilir; bu işlem kendi başına sürdürülebilir otomasyon planı değildir. Çok sayıda alt alan adı olması da otomatik olarak wildcard gerektirmez.
Önce gerçekten korunacak adları çıkarın
Ana siteyi, www adresini, yönetim panelini ve uygulama alt alanlarını listeleyin. Her adın hangi sunucuda barındırıldığını yazın. Tek bir sertifikanın özel anahtarını gereksiz yere farklı sistemlere dağıtmak yerine hizmetlerin yönetim sınırlarını değerlendirin. SSL kapsamı ve tarayıcı uyarıları sertifika adı ile sayfa içeriğinin ayrı kontrol edildiğini açıklar. Kapsamı satın alma ekranındaki bir ürün adından çıkarmayın.
DNS-01 için doğru bölgeye erişim gerekir
Let's Encrypt'in challenge belgesine göre wildcard doğrulaması DNS-01 ile yapılabilir; HTTP-01 wildcard sertifika vermez. Uygulamanın kullandığı istemci ve sağlayıcı bu süreci desteklemelidir. TXT kaydını yerel panel yerine gerçekten yetkili DNS hizmetine eklemek gerekir. A kaydı veya CNAME ile ilgili bir hata varsa DNS kayıt çakışması rehberini ayrı kullanın; doğrulama TXT'sini başka kayıt türüyle değiştirmeyin.
API erişimini dar yetkiyle tasarlayın
Otomasyon seçilecekse DNS sağlayıcısının desteklediği erişim kapsamını yöneticinizle inceleyin. Yalnız gerekli bölgeyi yönetebilen bir yetki, bütün hesabı kontrol eden anahtardan farklıdır. Kullanılan istemcinin gerçekten hangi izne ihtiyaç duyduğunu belgelemeden rastgele anahtar üretmeyin. Anahtarı paylaşılan destek kaydına yapıştırmayın; günlüğün hassas değerleri göstermediğini de kontrol edin. Otomasyon sorumlusu değiştiğinde kimlik bilgisinin nerede tutulduğu bilinmelidir.
Sertifika bitmeden yenileme yolunu test edin
Let's Encrypt sık sorulan sorularını istemci ve sertifika süreci için başvuru olarak kullanın. Sağlayıcınızın desteklediği güvenli deneme yöntemini seçin; üretimde gereksiz tekrar sipariş vermeyin. Testin başarılı olması için yalnız bir görevin çalışması değil, doğrulama kaydının oluşması ve sertifikanın doğru hizmete kurulması da görülmelidir. Zamanlanmış görev kontrolü çalıştırma ile iş sonucunu ayırır.
DNS veya hosting değişince planı yeniden doğrulayın
Nameserver değiştiğinde eski DNS API erişimi yeni bölgeyi yönetmeyebilir. Bu nedenle taşıma kontrol listesine sertifika yenileme sorumlusunu ekleyin. Özel anahtarın kimde olduğunu, yeni sertifikanın hangi servise yükleneceğini ve hata bildirimini kimin alacağını yazın. Wildcard işlemini desteklemeyen bir hosting paketine sahip olduğunuzu varsaymayın; aynı şekilde her pakette bu özelliğin var olduğunu da söylemeyin. Kapsamı sağlayıcıdan teyit edin.
Bu konunun diğer kontrolleri
- AutoSSL DCV Başarısız: DNS ve Alan Adı Doğrulamasını Ayırma
- SSL Yenilendi Ama Tarayıcı Eski Sertifikayı Gösteriyor: Hangi Sunucuya Bağlanıyorsunuz?
Sıkça Sorulan Sorular
Wildcard SSL bütün adresleri kapsar mı?
Hayır. Sertifikanın ad kapsamı ayrıca incelenmelidir. Bir seviyedeki wildcard adını bütün alt seviyeler veya çıplak ana alan adı için sınırsız kapsam gibi yorumlamayın; gereken adları sipariş ve kurulumda doğrulayın.
İlk TXT kaydını bırakmak yenilemeye yeter mi?
Bunu varsaymayın. Yeni doğrulama için farklı değer gerekebilir. Kullandığınız istemcinin yenileme yöntemini ve TXT kaydının nasıl güncelleneceğini önceden test edin; eski bir TXT değerini başarı garantisi saymayın.
DNS API anahtarını web köküne koyabilir miyim?
Hayır. Otomasyonun gerektirdiği sırları herkese açık dizine veya blog örneğine koymayın. En dar izinleri kullanın, erişimi sınırlandırın ve anahtar değişiminde yenileme işinin de çalıştığını doğrulayın.
DNS API anahtarı yenilendiğinde hangi testi yapmalıyım?
Önce otomasyonun yeni kimlik bilgisine erişebildiğini ve yalnız gereken DNS bölgesinde işlem yetkisi bulunduğunu doğrulatın. Ardından desteklenen kontrollü yenileme testinde TXT oluşturma ve temizleme sonucunu gözleyin. Eski anahtarı iptal etmeden geçişi koordine edin; test çıktısında sır görünüyorsa bunu ortak rapora koymayın. Sertifikanın kurulma aşamasını da ayrı kontrol edin.