CWP Üzerinde CSR Nasıl Oluşturulur

Bu kılavuz, CentOS’un Haziran 2024’te kullanım ömrünü tamamlamasının ardından eskiden CentOS Web Panel olarak bilinen ve şimdi Control Web Panel markasıyla anılan barındırma kontrol panelinde CWP’de CSR (Sertifika İmzalama Talebi) nasıl oluşturulur göstermektedir.

Proje, CWP kısaltmasını korudu ve şimdi AlmaLinux, Rocky Linux, RHEL ve CloudLinux gibi RHEL uyumlu dağıtımlar üzerinde çalışıyor. Aşağıdaki CSR adımları bunların hepsinde aynıdır.

CWP, CSR’ı ve ona karşılık gelen özel anahtarı birlikte oluşturur, anahtarı sunucuya kaydeder ve Sertifika Yetkilinizin sipariş formuna yapıştırmanız için bir metin bloğu verir. Aynı form tek alan adlı, çok alan adlı (SAN) ve wildcard sertifikaları kapsar.

CWP’de CSR Oluşturma

CSR’ınızı başka bir araçla zaten oluşturduysanız, doğrudan CWP’de SSL sertifikası nasıl kurulur bölümüne geçin. Aksi takdirde, aşağıdaki adımları izleyin. Etiketler güncel CWPpro yönetim paneliyle eşleşmektedir; eski menü adları farklı olduğunda belirtilmiştir.

Adım 1: SSL Cert Manager’ı Açın

1. CWP yönetim alanına root olarak giriş yapın. Yönetim paneli varsayılan olarak 2030 (HTTP) veya 2031 (HTTPS) portunu dinler.
2. Sol menüden WebServer Settings‘e tıklayın (eski CWP sürümlerinde Apache Settings olarak etiketlenmiştir).
3. Genişleyen menüden SSL Cert Manager‘ı seçin (bazı sürümlerde SSL Certificates olarak da gösterilir).
4. Generate CSR sekmesine geçin.

Adım 2: CSR Formunu Doldurun

Her alanı doldurun. CWP bu değerleri doğrudan OpenSSL’e besler, dolayısıyla yazım ve biçimlendirme önemlidir. Alan Doğrulamalı (DV) bir sertifika için organizasyon alanları CA tarafından doğrulanmaz, ancak dahil edildiklerinde yine de verilen sertifikada görünürler, bu nedenle onları doğru şekilde doldurun.

• Common Name (Domain): güvence altına almak istediğiniz Tam Nitelikli Alan Adı (FQDN), örneğin www.example.com. Wildcard bir sertifika için, her birinci seviye alt alan adını kapsaması için kök alan adının önüne bir yıldız işareti (asterisk) koyun (örneğin *.example.com).
• Country Name (Code): organizasyonun kayıtlı olduğu ülkenin iki harfli ISO 3166-1 kodu (örneğin US, GB, DE).
• State or Province Name: eyalet, il veya bölgenin tam adı. Kısaltma kullanmayın.
• City Name: organizasyonun kayıtlı olduğu şehrin tam adı. Kısaltma kullanmayın.
• Organization Name: alan adının sahibi olan şirketin yasal adı. Bir bireyin sipariş ettiği DV sertifikası için, tam adınızı veya NA girin. Buraya alan adını girmeyin.
• Organization Unit Name: CA/Browser Forum bu alanı kullanımdan kaldırmıştır, dolayısıyla çoğu genel CA bunu verilen sertifikadan çıkarır. Boş bırakın veya NA girin.
• Email Address: boş bırakın. Modern genel CA’lar artık bu alanı doğrulama için kullanmamaktadır ve verilen sertifikanın Subject bölümünde görünmeyecektir.
• Valid Days: buradaki varsayılan değer, sadece CWP’nin CSR ile birlikte oluşturabileceği kendinden imzalı bir test sertifikasını etkiler. Genel bir CA tarafından verilen bir sertifika üzerinde hiçbir etkisi yoktur, dolayısıyla varsayılan değer yeterlidir.
• Key Size: 2048 bit’i seçin. RSA-2048, 2026 yılında en güvenli varsayılan seçenektir; her CA ve her istemci tarafından desteklenir ve CA/Browser Forum temel gereksinimidir. Daha büyük boyutlara (RSA-4096) izin verilir, ancak genel TLS için anlamlı bir güvenlik kazanımı olmadan el sıkışma (handshake) maliyetini ikiye katlar.

Adım 3: CSR’ı Oluşturun ve Kopyalayın

Generate‘e tıklayın. CWP sunucuda iki dosya oluşturur:

• CSR, /etc/pki/tls/certs/ içinde .csr olarak saklanır.
• Karşılık gelen özel anahtar, /etc/pki/tls/private/ içinde saklanır. Ayrıca SSL Cert Manager’ın Private Key sekmesinde de görünür. Bunu silmeyin: verilen sertifikayı kurarken buna ihtiyacınız olacaktır.

CSR dosyasını herhangi bir metin editörüyle açın. İçerik şu şekilde görünür:

-----BEGIN CERTIFICATE REQUEST-----
MIIC2zCCAcMCAQAwgZUxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApDYWxpZm9ybmlh
...base64 content of your CSR...
EE9aJDxhWjEFqYdxPpJv3yhT/4M3xZJP0YuVqYU3MA==
-----END CERTIFICATE REQUEST-----

-----BEGIN CERTIFICATE REQUEST----- ve -----END CERTIFICATE REQUEST----- satırları dahil (etiketin her iki tarafında beş tire ile) bloğun tamamını seçin ve kopyalayın. Sertifikanızı Sertifika Yetkilisi ile sipariş ederken veya yeniden verdirirken bloğu CSR alanına yapıştırın. Göndermeden önce, ortak adın, SAN listesinin, anahtar boyutunun ve imza algoritmasının beklediğiniz gibi olduğunu doğrulamak için CSR Decoder aracımızla CSR’ı kontrol edin.

CWP formunu tamamen atlamayı tercih ederseniz, CSR’ı sunucu dışında CSR Generator aracımızla oluşturabilirsiniz. Ancak, karşılık gelen özel anahtarın da bu durumda sunucu dışında oluşturulacağını unutmayın, dolayısıyla kurulum sırasında CWP’nin sertifikayı kendi sunucu üzerindeki anahtarıyla eşleştirmesine izin vermek yerine, hem verilen sertifikayı hem de anahtarı yüklemeniz gerekecektir.

Alternatif: CSR’ı OpenSSL ile Sunucuda Oluşturma

CWP, standart bir RHEL ailesi Linux sunucusunda çalışan Apache veya Nginx üzerine kurulu bir web katmanıdır, dolayısıyla CSR’ı OpenSSL ile kabuk (shell) üzerinden de oluşturabilirsiniz. Bu, sertifika yenilemelerini betikleştiriyorsanız veya komut satırını tercih ediyorsanız kullanışlıdır. SSH üzerinden root olarak bağlanın ve şunu çalıştırın:

openssl req -new -newkey rsa:2048 -nodes 
  -keyout /etc/pki/tls/private/example.com.key 
  -out /etc/pki/tls/certs/example.com.csr 
  -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

OpenSSL ardından size CWP formuyla aynı alanları sorar (Common Name, Country, State, Locality, Organization, Organizational Unit, Email). Adım 2’de açıklanan aynı cevapları kullanın. -addext bayrağı, komut istemlerine cevap verirken de geçerlidir ve talebe Subject Alternative Names’i ekleyen şey budur: bu olmadan CSR hiçbir SAN listesi taşımaz ve birden fazla ana bilgisayar adını (hostname) kapsayamaz. Komut, CSR’ı /etc/pki/tls/certs/example.com.csr içine ve özel anahtarı /etc/pki/tls/private/example.com.key içine yazar; bunlar CWP’nin kullandığı konumlarla eşleşir, dolayısıyla SSL Cert Manager, sertifikayı daha sonra kurduğunuzda dosyaları otomatik olarak algılayacaktır.

Anahtarı sadece root’un okuyabilmesi için kilitleyin:

chmod 600 /etc/pki/tls/private/example.com.key

CSR’a İhtiyacınız Olmadığında: AutoSSL (Let’s Encrypt)

Sadece temel bir Alan Doğrulamalı sertifikaya ihtiyacınız varsa, CWP dahili Let’s Encrypt entegrasyonuyla bunu ücretsiz olarak verebilir ve yenileyebilir, panel de CSR’ı arka planda sizin için halleder. Yönetim alanında, WebServer Settings > SSL Cert Manager‘ı açın ve AutoSSL (veya Let’s Encrypt) sekmesine geçin, kapsamak istediğiniz kullanıcıyı ve alan adını seçin, ardından Install SSL‘e tıklayın. Kendi CWP hesabı olan son kullanıcılar, kullanıcı panelinde Domains > AutoSSL üzerinden aynı işlemi yapabilir.

Let’s Encrypt sertifikaları 90 gün geçerlidir ve CWP bunları son kullanma tarihinden yaklaşık 30 gün önce otomatik olarak yeniler. Verilen dosyalar /etc/letsencrypt/live/<domain>/ altında bulunur. CSR’ı kendiniz yalnızca ücretli bir sertifika sipariş ettiğinizde (Organizasyon Doğrulamalı, Genişletilmiş Doğrulamalı, ekstra garantili wildcard, çok alan adlı) veya CA’nız yeniden vermek için bir CSR gerektirdiğinde oluşturun.