SSL sertifika hataları: ne anlama gelir, nasıl düzeltilir

• Hataların çoğu dört nedenden çıkar: süresi dolmuş sertifika, açılan adı kapsamayan sertifika, eksik ara sertifika ya da tarayıcının güvenmediği bir sağlayıcı.
• Let's Encrypt gibi ücretsiz sertifikalar kısa ömürlüdür; otomatik yenileme bir seçenek değil, zorunluluktur.
• 15 Mart 2026'dan beri herkesçe güvenilen sertifikalar en fazla 200 gün geçerli olabilir; bu süre 2027'de 100, 2029'da 47 güne iniyor.
• SSL kontrolüyle sertifikayı inceleyin, İzleme ile süresi dolmadan uyarı alın.

Firefox'ta aynı hata SEC_ERROR_EXPIRED_CERTIFICATE olarak görünür. Let's Encrypt sertifikaları 90 gün geçerlidir ve certbot gibi bir ACME istemcisi ya da hosting paneli tarafından otomatik yenilenir. Yenileme çoğu zaman sessizce başarısız olur: 80. port kapatılmıştır, DNS başka sunucuya taşınmıştır ya da yenilenen sertifika alındıktan sonra web sunucusu yeniden yüklenmemiştir.

CA/Browser Forum kuralları sertifika ömrünü kısaltıyor: 15 Mart 2026'ya kadar en fazla 398 gün, o tarihten sonra 200 gün, 15 Mart 2027'den itibaren 100 gün ve 15 Mart 2029'dan itibaren 47 gün. Elle yenileme artık pratik değil; yenilemeyi ACME ile otomatikleştirin.

Sunucu kendi sertifikasıyla birlikte ara sertifika(lar)ı da göndermelidir. Masaüstü tarayıcılar eksiği önbellekten tamamlayabildiği için site “bende çalışıyor” der ama telefonlarda, uygulamalarda, curl'de ya da API istemcilerinde hata verir. Tam zinciri kurun: Let's Encrypt'te fullchain.pem, panellerde “CA bundle” alanı. SSL kontrolü zincirin eksiksiz olup olmadığını gösterir.

Sertifikanın kapsadığı adlar SAN (Subject Alternative Name) alanında listelenir; Firefox bu hatayı SSL_ERROR_BAD_CERT_DOMAIN olarak gösterir. *.ornek.com gibi bir joker sertifika yalnızca bir seviyeyi kapsar (magaza.ornek.com); ornek.com'un kendisini ya da a.b.ornek.com'u kapsamaz. Site www ile de açılıyorsa sertifikada her iki ad da olmalıdır.

• Karışık içerik: HTTPS sayfası betik, resim ya da stil dosyalarını http:// ile yüklüyor; kilit simgesi kaybolur ya da içerik engellenir. Adresleri https:// yapın.
• HSTS: Site bir kez HSTS gönderdiyse tarayıcılar, süre (max-age) dolana kadar kullanıcının sertifika hatasını geçmesine izin vermez. Çözüm HTTPS'i kapatmak değil, sertifikayı düzeltmektir.
• CAA: Alan adınızda CAA kaydı varsa yalnızca listelenen sağlayıcılar sertifika verebilir; kullandığınız sağlayıcıyı eklemezseniz yenileme başarısız olur.
• Cihaz saati yanlışsa sertifikalar süresi dolmuş ya da henüz geçerli değil görünür.
• HTTPS trafiğini inceleyen antivirüs ya da şirket proxy'leri kendi sertifikalarını sunar; hata yalnızca o ağda ya da cihazda görülür.

• SSL kontrolü geçerlilik tarihlerini, kapsanan adları, zinciri, TLS sürümlerini, HSTS'yi, HTTP→HTTPS yönlendirmesini ve CAA kayıtlarını gösterir.
• Alan adını İzleme listesine ekleyin: sertifikanın süresi dolmadan ve sertifika geçersiz hale geldiğinde e-posta ya da Telegram uyarısı alırsınız.