ISPConfig’de CSR Nasıl Oluşturulur

Bu kılavuzda size ISPConfig’de nasıl CSR oluşturulacağını göstereceğiz; ISPConfig, açık kaynaklı Linux barındırma kontrol panelidir. ISPConfig, SSL’i site bazında yönetir: siteyi panelde açarsınız, Domain sekmesinde SSL’i etkinleştirerek SSL sekmesinin görünmesini sağlarsınız, kurum alanlarını doldurursunuz ve SSL Action ayarını Create Certificate olarak belirlersiniz. ISPConfig, CSR’yi ve ona ait özel anahtarı birlikte oluşturur, ikisini de siteyle birlikte kaydeder ve Sertifika Otoritenizin sipariş formuna yapıştıracağınız CSR metnini gösterir.

Ücretli bir sertifikanın garanti veya kurum doğrulama özelliklerine ihtiyacınız yoksa, ISPConfig 3.2 ve daha yeni sürümler tek bir onay kutusuyla ücretsiz bir Let’s Encrypt sertifikası da düzenleyebilir; CSR gerekmez. Aşağıdaki Let’s Encrypt alternatifi bölümüne bakın.

ISPConfig’de CSR Oluşturma

Zaten bir CSR’niz varsa (örneğin CSR oluşturucumuzla veya başka bir araçla oluşturduysanız), doğrudan ISPConfig’e SSL sertifikası nasıl kurulur bölümüne geçebilirsiniz. Aşağıdaki adımlar, bu yazının yazıldığı tarihte güncel kararlı sürüm olan ISPConfig 3.2.x’i kapsar.

Adım 1: ISPConfig’e Giriş Yapın

ISPConfig panelinizi bir tarayıcıda açın. Varsayılan URL, sunucu ana bilgisayar adı veya IP’sinin 8080 portudur, örneğin:

https://your-server.example.com:8080/

Yönetici veya bayi hesabınızla giriş yapın.

Adım 2: Güvenceye Almak İstediğiniz Web Sitesini Açın

• Üst gezinme çubuğunda Sites öğesine tıklayın.
• Sol kenar çubuğunda Websites bölümünü açın ve Websites öğesine tıklayın.
• Sertifikayı istediğiniz alan adına tıklayın.

Adım 3: Web Sitesinde SSL’i Etkinleştirin

Web sitesinin Domain sekmesinde, SSL onay kutusunu işaretleyin ve Save düğmesine tıklayın. ISPConfig, SSL sekmesini yalnızca bu seçenek etkinleştirildikten sonra gösterir; bu yüzden 4. adımda sekmeyi göremiyorsanız eksik olan budur.

Let’s Encrypt SSL onay kutusunu şimdilik işaretlemeden bırakın. Bu seçenek, bu kılavuzda daha sonra ele alınan ücretsiz, otomatik alternatif içindir. Onu işaretlerseniz ISPConfig, ücretli bir CA için CSR oluşturmak yerine bir Let’s Encrypt sertifikası düzenlemeye çalışır.

Adım 4: SSL Sekmesini Açın ve CSR Alanlarını Doldurun

Aynı web sitesinde SSL sekmesine tıklayın. Her alanı, alan adının sahibi olan kurumun yasal bilgileriyle doldurun. Sertifika Otoriteleri bu değerleri doğrulama için kullanır; bu nedenle resmi kayıtlarla (Kuruluş Sözleşmesi, devlet tescili vb.) eşleşmelidir:

• State: kurumunuzun yasal olarak kayıtlı olduğu eyalet veya ilin tam adı (örneğin California, CA değil).
• Locality: kurumunuzun yasal olarak kayıtlı olduğu şehir veya kasabanın tam adı.
• Organization: şirketinizin tam yasal adı, örneğin Example LLC. Domain Validation (DV) sertifikası için alan adını veya kişisel bir isim girebilirsiniz; OV veya EV için bu, resmi tescil kayıtlarıyla birebir eşleşmelidir.
• Organization Unit: bu alanı boş bırakın. OU alanı, CA/Browser Forum tarafından kullanımdan kaldırılmıştır ve birçok CA, sertifika düzenlerken bu alanı kaldırır.
• Country: açılır menüden kurumunuzun yasal adresinin iki harfli ülke kodunu seçin (örneğin, US, GB, DE).
• Common Name (FQDN): sertifikanın koruyacağı Tam Nitelikli Alan Adı. ISPConfig, web sitesinin ana alan adını önceden seçer. Wildcard sertifika için yıldız işaretiyle başlayan girdiyi seçin, örneğin *.example.com. Wildcard formu, tüm birinci düzey alt alan adlarını (shop.example.com ve mail.example.com gibi) kapsar, ancak CA’nız açıkça dahil etmedikçe çıplak alan adını kapsamaz.

Kaydetmeden önce değerleri iki kez kontrol edin. CSR bu bilgileri olduğu gibi kodlar ve Organization veya Common Name alanındaki tek bir yazım hatası, CA’nın siparişi reddetmesine ve baştan başlamak zorunda kalmanıza neden olur.

Adım 5: SSL Action’ı Create Certificate Olarak Ayarlayın ve Kaydedin

• SSL sekmesinin altındaki SSL Action açılır menüsüne kaydırın.
• Create Certificate seçeneğini seçin.
• Save düğmesine tıklayın.

ISPConfig artık arka planda özel anahtarı ve CSR’yi oluşturur. İşlem genellikle birkaç saniye sürer. Sayfayı yeniden yükleyin veya işlem tamamlandıktan sonra web sitesinin SSL sekmesini yeniden açın.

Adım 6: CSR’yi SSL Request Alanından Kopyalayın

Kaydettikten sonra SSL sekmesine geri dönün. SSL Request metin alanı artık CSR’nizi içerir ve altındaki SSL Key alanı eşleşen özel anahtarı içerir. Başlık ve alt bilgi satırları dahil olmak üzere tüm SSL Request bloğunu seçin ve kopyalayın. CSR şu şekilde görünür:

-----BEGIN CERTIFICATE REQUEST-----
MIIC2TCCAcECAQAwgZMxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApDYWxpZm9ybmlh
... (many lines of base64-encoded data) ...
wIDAQABoAAwDQYJKoZIhvcNAQELBQADggEBAA==
-----END CERTIFICATE REQUEST-----

Ödeme yaparken Sertifika Otoritesinin sipariş formundaki CSR alanına tüm bloğu (başlık ve alt bilgi dahil) yapıştırın. Web sitesini ISPConfig’de açık bırakın; düzenlenen sertifikayı kurmak için aynı SSL sekmesine geri döneceksiniz.

Özel Anahtarı Koruyun

Özel anahtar sertifikanızın yarısını oluşturur. Onsuz düzenlenen sertifika HTTPS sunamaz ve onu kopyalayan herkes, sertifika geçerli olduğu sürece sitenizi taklit edebilir. Birkaç kural:

• Özel anahtarı asla Sertifika Otoritesine göndermeyin. Yalnızca CSR’yi gönderirsiniz. CA’nın anahtara ihtiyacı yoktur ve anahtarı isteyen herhangi bir CA yanlış bir şey yapıyor demektir.
• Sertifikanız düzenlenene kadar SSL Key alanını düzenlemeyin veya değiştirmeyin. CA’nın döndürdüğü sertifika yalnızca CSR ile birlikte oluşturulan tam anahtarla çalışır. Üzerine yazarsanız sertifika kullanılamaz hale gelir ve yeniden düzenlemeniz gerekir.
• Anahtarı yedekleyin. SSH erişiminiz varsa, ISPConfig özel anahtarı diskte /var/www/yourdomain.com/ssl/yourdomain.com.key konumunda ve CSR’yi /var/www/yourdomain.com/ssl/yourdomain.com.csr konumunda saklar. İkisini de kısıtlı izinlere sahip özel bir konumda tutun ve bir kod deposuna göndermeyin.

CA sertifikayı düzenledikten sonra SSL sekmesine geri dönün ve sertifika ile CA paketini SSL Action ayarını Save Certificate olarak ayarlayarak ilgili alanlara yapıştırın. Adım adım talimatlar için ISPConfig’e SSL sertifikası nasıl kurulur kılavuzumuza bakın.

Göndermeden Önce CSR’yi Doğrulayın

CSR’yi sipariş formuna yapıştırmadan önce, onu çözümleyin ve her alanın beklediğiniz gibi olduğunu doğrulayın. Common Name veya Organization alanında yazım hatası olan bir CSR, siparişi zaten ödedikten sonra CA tarafından reddedilir. Bunu kontrol etmenin iki yolu vardır:

• CSR’yi ücretsiz CSR Çözücümüze yapıştırın. Common Name, Organization, Country, anahtar türü ve anahtar boyutunu okunabilir bir biçimde döndürür.
• Sunucuya SSH erişiminiz varsa, OpenSSL’i doğrudan dosyaya karşı çalıştırın:

openssl req -in /var/www/yourdomain.com/ssl/yourdomain.com.csr -noout -text

CN, O, ST, L ve C değerleriniz için Subject satırını ve anahtar boyutu için Public-Key satırını kontrol edin (modern minimum RSA 2048 veya daha yüksektir).

Let’s Encrypt Alternatifi (CSR Gerekmez)

ISPConfig 3.2 ve daha yeni sürümlerde Let’s Encrypt yerleşik olarak bulunur. Yalnızca Domain Validation’a ihtiyacınız varsa ve garanti umursamıyorsanız, bu en basit yoldur: oluşturulacak bir CSR yoktur, yapıştırılacak sertifika dosyası yoktur ve manuel yenileme gerekmez. Etkinleştirmek için:

• Sites > Websites bölümünü açın ve alan adına tıklayın.
• Domain sekmesinde hem SSL onay kutusunu hem de Let’s Encrypt SSL onay kutusunu işaretleyin.
• Save düğmesine tıklayın.

Etkinleştirmeden önce, alan adının (ve web sitesi altında işaretlediğiniz herhangi bir takma adın veya alt alan adının) DNS’te zaten bu sunucuya çözümlendiğinden ve 80 numaralı portun genel internetten erişilebilir olduğundan emin olun. Let’s Encrypt, sertifikayı düzenlemeden önce alan adını HTTP üzerinden doğrular; bu yüzden ad henüz sunucuya çözümlenmiyorsa veya bir güvenlik duvarı 80 numaralı portu engelliyorsa düzenleme başarısız olur. Let’s Encrypt sertifikaları 90 gün geçerlidir ve ISPConfig, süreleri dolmadan önce onları otomatik olarak yeniler.

Kurum veya Genişletilmiş Doğrulamaya, ticari bir CA’dan wildcard sertifikaya, daha uzun ömürlü bir dağıtıma veya sertifikayı destekleyen bir garantiye ihtiyacınız olduğunda ticari bir CA’dan ücretli bir sertifika kullanın. Aksi takdirde Let’s Encrypt iyi bir varsayılan seçenektir.