SSL Sertifikası
DeepFilter'ın yönetim paneli ve son kullanıcı portalı yalnızca HTTPS üzerinden yayınlanır. Kurulum, hizmetin ilk dakikadan itibaren şifreli çalışabilmesi için kendinden imzalı (self-signed) bir sertifika ile başlar. Bu sayfa, bu geçici sertifikanın neden tarayıcı uyarısı ürettiğini ve panel üzerinden Let's Encrypt sertifikasına nasıl geçileceğini anlatır.
Kurulum sonrası durum: kendinden imzalı sertifika
Kurulum tamamlandığında sunucu kendi ürettiği bir sertifikayı kullanır. Bu sertifika trafiği şifreler, ancak hiçbir genel sertifika otoritesi tarafından imzalanmamıştır. Tarayıcı sertifikayı doğrulayamadığı için "Bağlantınız özel değil" veya "Bu siteye ilerlemek güvenli değil" benzeri bir uyarı gösterir.
Uyarı bir arıza belirtisi değildir. İlk kurulum sihirbazına ve panele erişmek için uyarıyı geçip devam edebilirsiniz. Kalıcı kullanımda ise güvenilir bir sertifikaya geçilmesi önerilir; aksi halde her yönetici ve portal kullanıcısı bu uyarıyla karşılaşır.
Kendinden imzalı sertifika kullanılırken son kullanıcılara portal adresini duyurmayın. Kullanıcıların sertifika uyarısını normalleştirmesi, ileride gerçek bir sertifika sorununu fark etmelerini zorlaştırır.
Let's Encrypt sertifikası alma
Güvenilir bir sertifikaya iki yoldan geçebilirsiniz: elinizde bir sertifika otoritesinden (ticari CA veya kurumunuzun kendi PKI'sı) alınmış hazır bir sertifika varsa onu panelden doğrudan yükleyebilirsiniz (bkz. Yönetim → Genel Ayarlar); böyle bir sertifikanız yoksa panel üzerinden Let's Encrypt ile ücretsiz bir sertifika alabilirsiniz. Bu sayfa ilk kurulumda en yaygın yol olan Let's Encrypt akışını anlatır.
Let's Encrypt için iki doğrulama yöntemi vardır ve yöntem panelden elle seçilir — sistem ortamınıza bakıp otomatik olarak bir yöntem seçmez.
Her iki yöntem için de ortak ön koşul, sertifikayı alacağınız alan adının (örneğin mail.alanadi.com) DNS'te tanımlı olması ve bu sunucuyu göstermesidir. Alan adı kayıtları için Ağ Gereksinimleri sayfasındaki DNS Kayıtları bölümüne bakın.
HTTP-01 yöntemi
Let's Encrypt, alan adının size ait olduğunu doğrulamak için sunucunuza 80/tcp portundan bağlanır ve doğrulama dosyasını okur.
Koşullar:
| Gereksinim | Açıklama |
|---|---|
| Port 80/tcp açık | İnternetten sunucuya erişilebilir olmalı; güvenlik duvarı ve varsa üst katman filtreler izin vermeli. Yalnız ilk alımda değil, her otomatik yenilemede de açık kalmalı |
| Alan adının A kaydı | Sertifika alınacak ad doğrudan bu sunucunun genel IP'sini göstermeli |
| NAT arkasındaysa yönlendirme | Dış IP'nin 80. portu sunucuya yönlendirilmiş olmalı |
Adımlar:
- Yönetim → Genel Ayarlar ekranında SSL Sertifikası kartını bulun ve Let's Encrypt'e tıklayın.
- Doğrulama Yöntemi olarak HTTP (Port 80)'i seçin.
- Let's Encrypt Başlat düğmesine tıklayın ve doğrulamanın tamamlanmasını bekleyin.
Sertifika, Genel Ayarlar'daki SMTP Hostname alanında tanımlı tam alan adı için alınır; bu alan boşsa önce onu doldurun (bkz. Genel Ayarlar).
Doğrulama tamamlandığında sertifika durum kartında sağlayıcı olarak Let's Encrypt ve yeni geçerlilik tarihi görünür; paneli yenilediğinizde tarayıcı artık güvenlik uyarısı göstermez. Bu, sertifikanın alındığının işaretidir.
Port 80 yalnızca sertifika doğrulaması ve HTTPS yönlendirmesi için kullanılır. Yönetim paneli 9443, son kullanıcı portalı 9445 portundan yayınlanır; port 443 açık değildir.
DNS-01 yöntemi
Bu yöntemde doğrulama, sunucuya bağlanılarak değil, alan adınızın DNS bölgesine geçici bir TXT kaydı yazılarak yapılır. Sunucunun internetten erişilebilir olması gerekmez. Otomatik yenileme de aynı yöntemle DNS üzerinden yapılır; bu yüzden port 80'in dışarıdan açık olması gerekmez.
DNS-01 yöntemi yalnızca Cloudflare üzerinde barındırılan DNS bölgeleri için desteklenir. Alan adınızın DNS yönetimi Cloudflare'de değilse HTTP-01 yöntemini kullanın.
Adımlar:
- Yönetim → Genel Ayarlar ekranında SSL Sertifikası kartını bulun, Let's Encrypt'e tıklayın ve Doğrulama Yöntemi olarak Cloudflare DNS'i seçin.
- Token Oluşturma Sayfasını Aç düğmesiyle Cloudflare'de, ilgili bölgede DNS kaydı düzenleme yetkisi olan bir API token'ı oluşturun.
- Token'ı ilgili alana yapıştırıp Doğrula ve Kaydet'e tıklayın.
- Sertifika Al düğmesine tıklayın; TXT kaydı otomatik yazılır, doğrulama sonrası kaldırılır.
Doğrulama tamamlandığında sertifika durum kartında sağlayıcı olarak Let's Encrypt ve yeni geçerlilik tarihi görünür; paneli yenilediğinizde tarayıcı artık güvenlik uyarısı göstermez.
Hangi yöntemi seçmeliyim
| Durum | Önerilen yöntem |
|---|---|
| Sunucu genel IP'ye sahip, port 80 dışarıya kalıcı olarak açık tutulabiliyor | HTTP-01 |
| Port 80 kurum politikası gereği açılamıyor | DNS-01 (DNS Cloudflare'deyse) |
| Sunucu NAT arkasında ve port yönlendirmesi yapılamıyor | DNS-01 (DNS Cloudflare'deyse) |
| DNS Cloudflare'de değil | HTTP-01 |
Kısacası: port 80'i dışarıya kalıcı olarak açık tutabiliyorsanız HTTP-01 en basit yoldur. Yenileme de bu porttan yapıldığı için port yalnızca ilk alım sırasında açılıp sonra kapatılırsa sertifika yenilenemez. Port 80'i açık tutamıyorsanız ve DNS'iniz Cloudflare'deyse DNS-01'e geçin.
Otomatik yenileme
Sertifika alındıktan sonra yenileme otomatik yapılır; süre dolmaya yaklaşık 30 gün kala sistem sertifikayı kendisi tazeler. Elle müdahale gerekmez.
Yenileme, panelde seçtiğiniz doğrulama yöntemiyle yapılır: HTTP (Port 80) seçiliyse port 80 üzerinden, Cloudflare DNS seçiliyse DNS üzerinden. Sistem on beş dakikada bir, yenileme ayarının paneldeki seçimle aynı olup olmadığını denetler. Farklıysa (örneğin yöntemi sonradan değiştirdiyseniz) yenileme ayarını seçtiğiniz yönteme çeker ve sertifikanın yenileme zamanı gelmişse onu hemen yeniler.
Aynı denetim, sertifikayı panelden aldığınız anda da yapılır. Yenileme ayarı seçtiğiniz yönteme çekilemezse, sertifika alınıp hizmetlere dağıtılmış olsa bile panel bunu bir hata olarak gösterir. Bu durumda hatada belirtilen sorunu giderip işlemi yineleyin; aksi halde yenileme eski yöntemle denenir ve başarısız olabilir.
Sertifika alındığında ya da yenilendiğinde yeni sertifika tüm hizmetlere dağıtılır ve e-posta servisi kısa süre yeniden başlar. Bu birkaç saniye sürer: o an açık olan SMTP bağlantıları kopabilir, gönderen sunucular teslimi yeniden dener; kuyruktaki e-postalar korunur.
Otomatik yenileme başarısız olursa sistem bunu e-postayla bildirir. Let's Encrypt sertifikasının bitişine 25 günden az kaldığı hâlde sertifika hâlâ yenilenmemişse yöneticiye bir kez SSL Yenileme Başarısız uyarısı gönderilir; arka plandaki denetim yenileme ayarını seçtiğiniz yönteme çekemediğinde de aynı uyarı gelir. Sertifikanın süresi dolarsa ayrıca SSL Sertifikası Süresi Doldu uyarısı gönderilir. Bitiş tarihi yaklaştığı için önceden uyarı gönderilmez. Uyarılar Yönetim → Bildirimler ekranındaki Admin Uyarı E-postaları adreslerine gider (bkz. Bildirimler); Let's Encrypt kaydında bir e-posta adresi kullanılmaz.
Uyarıyı aldığınızda kontrol edilecekler:
- Alan adının A kaydı hâlâ bu sunucuyu gösteriyor mu.
- HTTP (Port 80) yöntemi seçiliyse port 80 dışarıya açık mı ve sunucu NAT arkasındaysa bu sunucuya yönlendiriliyor mu.
- Cloudflare DNS yöntemi seçiliyse API token'ı hâlâ geçerli mi (token iptal edilmiş, süresi dolmuş veya alan adının bölgesine yetkisi kaldırılmış olabilir).
- Sunucunun internete çıkışı ve DNS çözümlemesi çalışıyor mu.
Admin Uyarı E-postaları için, DeepFilter'ın kendi taradığı bir alan adı yerine dışarıdan erişilebilen bir yönetici adresi kullanın. Sertifika sorunu bir teslimat sorununa dönüşürse, uyarıyı kendi sisteminizin dışından okuyabilmelisiniz.
Yenileme sorunu giderildikten sonra panelden sertifikayı yeniden alarak durumu normale döndürebilirsiniz.