SSL Sertifikası

DeepFilter'ın yönetim paneli ve son kullanıcı portalı yalnızca HTTPS üzerinden yayınlanır. Kurulum, hizmetin ilk dakikadan itibaren şifreli çalışabilmesi için kendinden imzalı (self-signed) bir sertifika ile başlar. Bu sayfa, bu geçici sertifikanın neden tarayıcı uyarısı ürettiğini ve panel üzerinden Let's Encrypt sertifikasına nasıl geçileceğini anlatır.

Kurulum sonrası durum: kendinden imzalı sertifika

Kurulum tamamlandığında sunucu kendi ürettiği bir sertifikayı kullanır. Bu sertifika trafiği şifreler, ancak hiçbir genel sertifika otoritesi tarafından imzalanmamıştır. Tarayıcı sertifikayı doğrulayamadığı için "Bağlantınız özel değil" veya "Bu siteye ilerlemek güvenli değil" benzeri bir uyarı gösterir.

Uyarı bir arıza belirtisi değildir. İlk kurulum sihirbazına ve panele erişmek için uyarıyı geçip devam edebilirsiniz. Kalıcı kullanımda ise güvenilir bir sertifikaya geçilmesi önerilir; aksi halde her yönetici ve portal kullanıcısı bu uyarıyla karşılaşır.

UYARI

Kendinden imzalı sertifika kullanılırken son kullanıcılara portal adresini duyurmayın. Kullanıcıların sertifika uyarısını normalleştirmesi, ileride gerçek bir sertifika sorununu fark etmelerini zorlaştırır.

Let's Encrypt sertifikası alma

Güvenilir bir sertifikaya iki yoldan geçebilirsiniz: elinizde bir sertifika otoritesinden (ticari CA veya kurumunuzun kendi PKI'sı) alınmış hazır bir sertifika varsa onu panelden doğrudan yükleyebilirsiniz (bkz. Yönetim → Genel Ayarlar); böyle bir sertifikanız yoksa panel üzerinden Let's Encrypt ile ücretsiz bir sertifika alabilirsiniz. Bu sayfa ilk kurulumda en yaygın yol olan Let's Encrypt akışını anlatır.

Let's Encrypt için iki doğrulama yöntemi vardır ve yöntem panelden elle seçilir — sistem ortamınıza bakıp otomatik olarak bir yöntem seçmez.

Her iki yöntem için de ortak ön koşul, sertifikayı alacağınız alan adının (örneğin mail.alanadi.com) DNS'te tanımlı olması ve bu sunucuyu göstermesidir. Alan adı kayıtları için Ağ Gereksinimleri sayfasındaki DNS Kayıtları bölümüne bakın.

HTTP-01 yöntemi

Let's Encrypt, alan adının size ait olduğunu doğrulamak için sunucunuza 80/tcp portundan bağlanır ve doğrulama dosyasını okur.

Koşullar:

Gereksinim	Açıklama
Port 80/tcp açık	İnternetten sunucuya erişilebilir olmalı; güvenlik duvarı ve varsa üst katman filtreler izin vermeli
Alan adının A kaydı	Sertifika alınacak ad doğrudan bu sunucunun genel IP'sini göstermeli
NAT arkasındaysa yönlendirme	Dış IP'nin 80. portu sunucuya yönlendirilmiş olmalı

Adımlar:

1. Panelde SSL sertifikası ekranını açın.
2. Yöntem olarak HTTP-01'i seçin.
3. Sertifika alınacak alan adını girin.
4. Bildirim adresi olarak yöneticinin e-posta adresini girin.
5. İşlemi başlatın ve doğrulamanın tamamlanmasını bekleyin.

Doğrulama tamamlandığında sertifika durum kartında sağlayıcı olarak Let's Encrypt ve yeni geçerlilik tarihi görünür; paneli yenilediğinizde tarayıcı artık güvenlik uyarısı göstermez. Bu, sertifikanın alındığının işaretidir.

BİLGİ

Port 80 yalnızca sertifika doğrulaması ve HTTPS yönlendirmesi için kullanılır. Yönetim paneli 9443, son kullanıcı portalı 9445 portundan yayınlanır; port 443 açık değildir.

DNS-01 yöntemi

Bu yöntemde doğrulama, sunucuya bağlanılarak değil, alan adınızın DNS bölgesine geçici bir TXT kaydı yazılarak yapılır. Sunucunun internetten erişilebilir olması gerekmez.

UYARI

DNS-01 yöntemi yalnızca Cloudflare üzerinde barındırılan DNS bölgeleri için desteklenir. Alan adınızın DNS yönetimi Cloudflare'de değilse HTTP-01 yöntemini kullanın.

Adımlar:

1. Cloudflare hesabınızda, ilgili bölgede DNS kaydı düzenleme yetkisi olan bir API anahtarı oluşturun.
2. Panelde SSL sertifikası ekranında yöntem olarak DNS-01'i seçin.
3. Alan adını ve Cloudflare API bilgisini girin.
4. Bildirim adresi olarak yöneticinin e-posta adresini girin.
5. İşlemi başlatın; TXT kaydı otomatik yazılır, doğrulama sonrası kaldırılır.

Doğrulama tamamlandığında sertifika durum kartında sağlayıcı olarak Let's Encrypt ve yeni geçerlilik tarihi görünür; paneli yenilediğinizde tarayıcı artık güvenlik uyarısı göstermez.

Hangi yöntemi seçmeliyim

Durum	Önerilen yöntem
Sunucu genel IP'ye sahip, port 80 dışarıya açılabiliyor	HTTP-01
Port 80 kurum politikası gereği açılamıyor	DNS-01 (DNS Cloudflare'deyse)
Sunucu NAT arkasında ve port yönlendirmesi yapılamıyor	DNS-01 (DNS Cloudflare'deyse)
DNS Cloudflare'de değil	HTTP-01

Kısacası: port 80'i geçici olarak dahi açabiliyorsanız HTTP-01 en basit yoldur. Açamıyorsanız ve DNS'iniz Cloudflare'deyse DNS-01'e geçin.

Otomatik yenileme

Sertifika alındıktan sonra yenileme otomatik yapılır; süre dolmadan önce sistem sertifikayı kendisi tazeler. Elle müdahale gerekmez.

Yenileme başarısız olursa, sertifika alınırken girdiğiniz bildirim adresine e-posta gönderilir. Bu uyarıyı aldığınızda kontrol edilecekler:

1. Alan adının A kaydı hâlâ bu sunucuyu gösteriyor mu.
2. HTTP-01 kullanıyorsanız port 80 dışarıya açık mı.
3. DNS-01 kullanıyorsanız Cloudflare API bilgisi hâlâ geçerli mi (anahtar iptal edilmiş veya süresi dolmuş olabilir).
4. Sunucunun internete çıkışı ve DNS çözümlemesi çalışıyor mu.

DİKKAT

Bildirim e-postası için, DeepFilter'ın kendi taradığı bir alan adı yerine dışarıdan erişilebilen bir yönetici adresi kullanın. Sertifika sorunu bir teslimat sorununa dönüşürse, uyarıyı kendi sisteminizin dışından okuyabilmelisiniz.

Yenileme sorunu giderildikten sonra panelden sertifikayı yeniden alarak durumu normale döndürebilirsiniz.