SSL’de CA Paketi Nedir ve Nasıl Oluşturulur?

Sunucunuza bir SSL sertifikası yüklüyorsunuz ve aniden takılıp kaldınız. Yapılandırma bir“CA Bundle” dosyası istiyor ve siz bunun ne olduğundan ya da nerede bulunacağından emin değilsiniz. Yalnız değilsiniz; bu durum SSL kurulumu sırasında pek çok kişinin kafasını karıştırıyor.

Ne işe yaradıklarını anladıktan sonra CA Paketleri karmaşık değildir. Bu kılavuzda, CA Paketinin tam olarak ne olduğunu, sunucunuzun neden buna ihtiyaç duyduğunu ve birkaç dakika içinde nasıl oluşturulacağını veya edinileceğini anlatacağız. Sonunda, CA Paketlerini güvenle kullanabilecek ve sinir bozucu “sertifika güvenilir değil” hatalarından kaçınabileceksiniz.

---

İçindekiler

1. CA Paketi nedir?
2. SSL Güvenliği için CA Paketi Neden Önemlidir?
3. CA Paketinizi Nasıl Alabilirsiniz?
4. CA Paketi Nasıl Oluşturulur
5. CA Paketinizi Doğrulama
6. CA Paketini Sunucunuza Yükleme
7. Yaygın CA Bundle Sorunları ve Çözümleri
8. CA Bundle En İyi Uygulamaları

---

---

CA Paketi nedir?

CA Paketi, Sertifika Yetkilinizden gelen ara sertifikaları ve kök sertifikaları içeren tek bir dosyadır. Sunucu sertifikanızla birleştirildiğinde, tarayıcıların sitenizin yasal olduğunu doğrulamak için kullandığı sertifikalar dizisi olan SSL sertifika güven zincirinizi tamamlar.

Şöyle düşünün: sunucu sertifikanızda “Ben example.com’um” yazıyor, ancak tarayıcıların kanıta ihtiyacı var. CA Bundle, sertifikanızdan tarayıcıların zaten güvendiği bir kök sertifikaya kadar olan güvenilir yolu göstererek bu kanıtı sağlar.

Çoğu SSL sertifikası bir CA Bundle gerektirir (bunun ana istisnası zaten bundle içeren PKCS#7 formatındaki sertifikalardır). Bu paket olmadan tarayıcılar sertifikanızın gerçekliğini doğrulayamaz ve bu da ziyaretçileri uzaklaştıran güvenlik uyarılarına yol açar.

CA Bundle Bileşenleri

Tipik bir CA Paketi iki tür sertifika içerir:

1. Ara Sertifikalar. Bunlar, sunucu sertifikanız ile kök sertifika arasındaki boşluğu doldurmak için Sertifika Yetkilisi tarafından verilen sertifikalardır. Sectigo ve DigiCert gibi büyük CA’lar sertifika imzalama iş yükünü dağıtmak ve farklı sertifika türlerini yönetmek için genellikle birden fazla aracı kullanır.
2. Kök Sertifikalar. Bunlar güven zincirindeki en üst düzey sertifikalardır. Tarayıcılar ve işletim sistemleri, güvenilir CA’lardan alınan kök sertifikalarla önceden yüklenmiş olarak gelir. Bir tarayıcı tanıdığı bir kök sertifika gördüğünde, tüm sertifika zincirinin geçerli olduğunu bilir.

The file itself usually has a .pem, .crt, or .ca-bundle extension. Inside, you’ll find the certificates in PEM format—blocks of text starting with —–BEGIN CERTIFICATE—– and ending with —–END CERTIFICATE—–.

Sertifika Güven Zinciri

SSL sertifika zinciri pratikte şu şekilde çalışır:

1. Sunucu Sertifikası (web sitenizin sertifikası) – Alan adınızı ve ortak anahtarınızı içerir
2. Ara Sertifika( lar) (CA Bundle’dan) – Kök CA tarafından imzalanır, sertifikanızı imzalar
3. Kök Sertifika (CA Bundle’dan) – Tarayıcılar ve işletim sistemleri tarafından önceden güvenilen

Birisi sitenizi HTTPS üzerinden ziyaret ettiğinde, tarayıcısı bir SSL el sıkışması gerçekleştirir. Bu işlem sırasında tarayıcı, sunucu sertifikanızdan başlayarak ve güvenilir bir köke doğru ilerleyerek zincirdeki her bir bağlantıyı doğrular. Bu PKI (Açık Anahtar Altyapısı) işlemidir.

Bu zincirdeki herhangi bir bağlantı eksikse (genellikle CA Bundle yüklenmediği için) tarayıcı doğrulamayı tamamlayamaz. Sonuç ne olur? “Bağlantınız gizli değil” veya “Sertifikaya güvenilmiyor” gibi güvenlik uyarıları.

---

SSL Güvenliği için CA Paketi Neden Önemlidir?

CA Bundle, asma kilit simgesinin görünmesinin ötesinde birkaç kritik işlev görür.

Tarayıcı Uyumluluğu
Farklı tarayıcılar ve işletim sistemleri farklı sertifika güven depoları bulundurur. CA Bundle’ınız masaüstü tarayıcılar, mobil cihazlar, e-posta istemcileri ve API araçları arasında uyumluluk sağlar. Bu, özellikle en son ara sertifikalara sahip olmayabilecek eski tarayıcı sürümleri için önemlidir.

Güvenlik Tehditlerine Karşı Koruma
Düzgün yapılandırılmış bir CA Paketi, sertifikanın gerçekliğini birden fazla düzeyde doğrulayarak ortadaki adam saldırılarını önlemeye yardımcı olur. Sertifika zinciri sahteciliği neredeyse imkansız hale getirir çünkü her sertifika bir üstündeki sertifika tarafından kriptografik olarak imzalanır.

Uyumluluk Gereksinimlerini Karşılamak
Birçok sektör uygun SSL/TLS yapılandırması gerektirir:

• PCI DSS, kart sahibi verilerinin güvenli bir şekilde iletilmesini gerektirir
• GDPR kişisel veriler için uygun güvenlik önlemlerini zorunlu kılar
• HIPAA, sağlık bilgileri için güvenli iletişim gerektirir

Eksik veya yanlış yapılandırılmış bir CA Bundle, sertifikanızın kendisi geçerli olsa bile sizi uyumluluk dışına çıkarabilir.

---

CA Paketinizi Nasıl Alabilirsiniz?

Her seferinde sıfırdan bir CA Bundle oluşturmanız gerekmez. İşte bir tane edinmenin ana yolları:

1. Sertifika Yetkilinizden
Sectigo, DigiCert veya GeoTrust gibi sağlayıcılardan bir SSL sertifikası satın aldığınızda, genellikle sunucu sertifikanızla birlikte CA Paketini de sağlarlar. SSL Dragon müşterileri için CA Bundle’ınızı sertifika verildikten hemen sonra sertifika panonuzda bulabilirsiniz.

2. Resmi CA Depolarından İndirin
Çoğu büyük Sertifika Yetkilisi, kök ve ara sertifikaları indirebileceğiniz genel depolar bulundurur. Sectigo, DigiCert, Let’s Encrypt ve diğer CA’lar sertifika zincirlerini kendi destek sitelerinde yayınlarlar.

3. Sertifika Deposundan Çıkarma
İşletim sistemleri erişebileceğiniz sertifika güven depoları bulundurur:

• Windows: Sertifika yöneticisine erişmek için certmgr.msc dosyasını kullanın
• Linux/macOS: /etc/ssl/certs/ dizini

---

CA Paketi Nasıl Oluşturulur (Adım Adım Kılavuz)

Bazen CA Bundle’ı manuel olarak oluşturmanız gerekir; belki de yalnızca tek tek sertifika dosyaları almışsınızdır. İşte bunu nasıl yapacağınız.

Ön Koşullar

Başlamadan önce, sahip olduğunuzdan emin olun:

• Ara sertifika dosya(lar)ınız
• Kök sertifika dosyanız
• Bir metin editörü (Notepad++, nano, vim veya hatta basit Not Defteri)

Yöntem 1: Bir Metin Düzenleyici Kullanma

Bu yöntem her platformda çalışır ve teknik uzmanlık gerektirmez.

Adım 1: Sertifika Dosyalarınızı Bulun

CA’nız tarafından sağlanan sertifika dosyalarını bulun. Ara ve kök sertifikaları arıyorsunuz, sunucu sertifikanızı değil. Dosyalar genellikle .crt, .pem veya .cer gibi uzantılara sahiptir.

Adım 2: Her Sertifikayı Açın

Ara sertifikanızı bir metin düzenleyicide açın. Aşağıdaki gibi bir içerik göreceksiniz:

-----BEGIN CERTIFICATE-----
MIIGEzCCA/ugAwIBAgIQfVtRJrR2uhHbdBYLvFMNpzANBgkqhkiG9w0BAQwFADCB
[many lines of encoded data]
-----END CERTIFICATE-----

Önemli kısımlar—–BEGIN CERTIFICATE—– üstbilgisi ve—–END CERTIFICATE—– altbilgisidir. Her ikisinin de mevcut ve eksiksiz olduğundan emin olun.

Adım 3: Bundle Dosyanızı Oluşturun

Metin düzenleyicinizde yeni bir boş dosya oluşturun. Buna yourdomain.ca-bundle veya ca-bundle.crt adını verin. Uzantı çok önemli değildir; .pem, .crt veya .ca-bundle kullanabilirsiniz.

Adım 4: Sertifikaları Doğru Sırayla Kopyalayın

Bu kritik bir adımdır. Emir şöyle olmalı:

1. Birincisi: Ara sertifikanız (sunucu sertifikanızı doğrudan imzalayan sertifika)
2. İkincisi: Herhangi bir ek ara sertifika (birden fazla varsa)
3. Son: Kök sertifika

Her sertifikayı BAŞLANGIÇ ve SON satırları da dahil olmak üzere tamamen kopyalayın. Sertifikalar arasına fazladan boşluk veya boş satır eklemeyin.

İşte doğru bir CA Paketi böyle görünür:

-----BEGIN CERTIFICATE-----
[Intermediate Certificate 1]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[Root Certificate]
-----END CERTIFICATE-----

Adım 5: Dosyayı Kaydedin

Dosyanızı UTF-8 kodlamasıyla kaydedin. Her sertifikanın —–BEGIN CERTIFICATE—– ile başlayıp—–END CERTIFICATE—– ile bittiğini ve fazladan boşluk olmadığını iki kez kontrol edin.

Yöntem 2: Komut Satırını Kullanma

Komut satırıyla aranız iyiyse, saniyeler içinde bir CA Paketi oluşturabilirsiniz.

Linux/macOS:

cat intermediate.crt root.crt > ca-bundle.crt

Windows Komut İstemi:

copy /b intermediate.crt + root.crt ca-bundle.crt

Bu komutlar sertifika dosyalarını sırayla birleştirir. Bunları doğru sırayla listelediğinizden emin olun: önce ara sertifikalar, sonra kök sertifika.

Kaçınılması Gereken Yaygın Hatalar

• Yanlış sertifika sırası – En yaygın hata kök sertifikayı ilk sıraya koymaktır
• Ekstra boşluk – Sertifikalar arasına boş satır eklemeyin
• Eksik başlıklar – BEGIN/END satırları dahil tüm sertifika bloğunu kopyalayın
• Sunucu sertifikanızı dahil etme – CA Bundle yalnızca ara ve kök sertifikaları içermelidir

---

---

CA Paketinizi Doğrulama

CA Bundle’ınızı bir üretim sunucusuna yüklemeden önce, doğru olduğunu doğrulayın.

OpenSSL Kullanımı

OpenSSL, SSL sertifikaları ile çalışmak için standart bir araçtır:

openssl verify -CAfile ca-bundle.crt your-server-certificate.crt

Her şey doğruysa, göreceksiniz:

your-server-certificate.crt: OK

Bir sorun varsa, OpenSSL size eksik sertifikalar veya yanlış sıralama gibi neyin yanlış olduğunu söyleyecektir.

Çevrimiçi SSL Denetleyici Araçlarını Kullanma

SSL Dragon, sertifika zincirinizi doğrulayan ücretsiz bir SSL Checker aracı sunar. Sertifikanız yüklendikten sonra, araç:

• Sertifika zincirinin tamamını göster
• Eksik ara sertifikaları belirleyin
• Sertifika son kullanma tarihlerini kontrol edin
• Farklı tarayıcılarda uyumluluğu test edin

---

CA Paketini Sunucunuza Yükleme

Kurulum süreci platforma göre değişir. İşte hızlı bir genel bakış:

Apache. SSLCertificateChainFile yönergesini kullanın:

SSLCertificateChainFile /path/to/ca-bundle.crt

Nginx. Güvenilir sertifikayı belirtin:

ssl_trusted_certificate /path/to/ca-bundle.crt;

cPanel/WHM. CA Bundle’ınızı “Certificate Authority Bundle” alanına yapıştırmak için web arayüzünü kullanın.

IIS (Windows Server). Sertifika Yöneticisini kullanarak ara sertifikaları “Ara Sertifika Yetkililerine” ve kök sertifikaları “Güvenilir Kök Sertifika Yetkililerine” aktarın.

Sunucu ortamınıza özel ayrıntılı kurulum kılavuzları için SSL Dragon’un kurulum belgelerine bakın.

---

Yaygın CA Bundle Sorunları ve Çözümleri

Sorun 1: “Sertifika Zinciri Tamamlanmadı” Hatası

Belirtiler: SSL test araçları eksik bir ara sertifika bildirir veya bazı tarayıcılar uyarı gösterir.

Çözüm: CA’nızın web sitesinden tüm sertifika paketini indirin. Yalnızca bir değil TÜM ara sertifikaları dahil ettiğinizi kontrol edin. Sıralamanın doğru olduğunu doğrulayın.

Sorun 2: Yanlış Sertifika Sırası

Belirtiler: Sertifika doğrulama hataları veya tarayıcılarda aralıklı SSL uyarıları.

Çözüm: Sertifikalarınızı, sunucu sertifikanızı imzalayan sertifika önce, kök sertifika en son gelecek şekilde yeniden düzenleyin. Kaydedin ve sunucunuza yeniden yükleyin.

Sorun 3: PKCS#7 Format Karışıklığı

Belirtiler: Bir .p7b dosyası aldınız ve CA Bundle’a ihtiyacınız olup olmadığından emin değilsiniz.

Çözüm: PKCS#7 (.p7b) dosyaları zaten CA Bundle’ı içerir. Ayrı bir tane oluşturmanıza gerek yoktur. Sunucunuz PEM biçimi gerektiriyorsa, dönüştürün:

openssl pkcs7 -print_certs -in certificate.p7b -out certificate-with-chain.pem

Sorun 4: Süresi Dolmuş Ara Sertifika

Semptomlar: Önceden çalışan bir sitede ani SSL hataları.

Çözüm: Sertifika Yetkilinizden en son CA Paketini indirin. Büyük CA’lar, eskilerinin süresi dolmadan önce güncellenmiş ara ürünleri yayınlar. Eski paketinizi yenisiyle değiştirin.

---

CA Bundle En İyi Uygulamaları

• Yedekleri Saklayın – Sunucu sertifikanızı, özel anahtarınızı ve CA Bundle’ınızı güvenli bir yerde saklayın. Sunucuları taşıdığınızda veya yeniden yüklediğinizde bunlara ihtiyacınız olacaktır.
• Yalnızca Resmi Kaynakları Kullanın – CA Bundle’ınızı her zaman Sertifika Yetkilinizin resmi web sitesinden alın. Üçüncü taraf depoları güncelliğini yitirmiş veya tehlikede olabilir.
• Sona Erme Tarihlerini İzleme – Kök ve ara sertifikaların da süresi dolar. CA güncellemelerini kontrol etmek için hatırlatıcılar ayarlayın.
• Üretimden Önce Test Edin – Yeni yapılandırmaları önce bir hazırlık ortamında test edin. Üretime geçmeden önce her şeyin çalıştığını doğrulamak için SSL test araçlarını kullanın.
• Kurulumunuzu Belgeleyin – Hangi sertifikaları kullandığınız, nereye yüklendikleri ve yenileme tarihleri hakkında notlar tutun. Gelecekte bunu takdir edeceksiniz.

---

CA Bundle SSS

Otomatik olarak bir CA Bundle oluşturabilir miyim?
Kendi oluşturduğunuz CSR‘den farklı olarak, CA Bundle Sertifika Yetkilinizden gelmelidir. Sağladıkları sertifikaları birleştirerek manuel olarak bir tane oluşturabilirsiniz.

CA Bundle ile sertifika zinciri arasındaki fark nedir?
CA Paketi yalnızca ara ve kök sertifikaları içerir. Tam sertifika zinciri, sunucu sertifikanızı ve CA Bundle’ı içerir.

Tüm sertifikalar için CA Bundle gerekir mi?
Çoğu SSL/TLS sertifikası bir tane gerektirir. Ana istisna, dosyanın kendisinde aracıları içeren PKCS#7 formatındaki sertifikalardır (.p7b dosyaları).

CA Bundle bir CA’dan alınan tüm sertifikalar için aynı mı?
Genel olarak evet. Aynı CA’dan alınan aynı türdeki sertifikalar (DV, OV veya EV) genellikle aynı ara sertifikaları kullanır.

---

SSL Dragon’dan Sorunsuz CA Paketi ile SSL Sertifikanızı Alın

SSL sertifikalarının kurulumu karmaşık olmak zorunda değil. SSL Ejderhası önceden yapılandırılmış CA Paketleri, ayrıntılı kurulum kılavuzları ve uzman desteği dahil olmak üzere sorunsuz bir kurulum için ihtiyacınız olan her şeyi sağlar.

SSL Dragon müşterileri CA Bundle sorunlarından neden kaçınıyor?

✓ Eksiksiz kurulum paketleri – Sunucu sertifikası, özel anahtar ve CA Bundle birlikte
✓ Önceden doğrulanmış paketler – Tüm sertifikalar teslimattan önce test edilir
✓ 7/24 uzman desteği – SSL’den anlayan gerçek insanlar
✓ Hızlı düzenleme – 5 dakika gibi kısa bir sürede Etki Alanı Doğrulanmış sertifikalar
✓ Evrensel uyumluluk – %99,99 tarayıcı tanıma
✓ 25 günlük para iade garantisi – Risksiz deneyin

SSL Sertifikalarına Gözat