ACME Nedir? SSL Sertifikalarının Otomatik Yenilenmesi

Web sitenizin adres çubuğundaki kilit simgesi, geçerli bir SSL/TLS sertifikası sayesinde görünür. Bu sertifikaların süresi her yıl biraz daha kısalıyor ve elle yenilemek giderek zorlaşıyor. Bu yazıda sertifikaları otomatik olarak alıp yenilemeyi sağlayan ACME protokolünü, sizin için ne anlama geldiğini ve sık karşılaşılan sorunları anlatıyoruz.

ACME nedir?

ACME (Automatic Certificate Management Environment – Otomatik Sertifika Yönetim Ortamı), bir sunucunun sertifika otoritesinden (CA) insan müdahalesi olmadan SSL sertifikası almasını, yenilemesini ve gerektiğinde iptal etmesini sağlayan açık bir standarttır (RFC 8555). İlk olarak ücretsiz sertifika sağlayıcısı Let's Encrypt için geliştirildi; bugün pek çok ücretli sertifika sağlayıcısı da ACME desteği sunuyor.

Kısacası: ACME sayesinde sertifikanızın süresinin dolmasını takip etmeniz, yeni sertifika siparişi verip sunucuya yüklemeniz gerekmez. Bu işleri sunucudaki bir yazılım (ACME istemcisi) sizin yerinize yapar.

ACME nasıl çalışır?

1. Hesap oluşturma: Sunucudaki ACME istemcisi, sertifika otoritesinde bir hesap açar.
2. Sertifika talebi: İstemci, hangi alan adları için sertifika istendiğini bildirir (ör. ornek.com.tr ve www.ornek.com.tr).
3. Alan adı doğrulama: Sertifika otoritesi, alan adının gerçekten sizin kontrolünüzde olduğunu kanıtlamanızı ister. Bunun için üç yöntem vardır:
   • HTTP-01: Sitenizin /.well-known/acme-challenge/ klasörüne geçici bir dosya konur ve otorite bu dosyayı internet üzerinden okur. En yaygın yöntemdir.
   • DNS-01: Alan adının DNS'ine _acme-challenge adlı geçici bir TXT kaydı eklenir. Wildcard (*.ornek.com.tr) sertifikalar yalnızca bu yöntemle alınabilir.
   • TLS-ALPN-01: Doğrulama 443 numaralı port üzerinden özel bir TLS bağlantısıyla yapılır. Daha çok özel kurulumlarda kullanılır.
4. Sertifikanın verilmesi: Doğrulama başarılıysa sertifika düzenlenir ve istemci tarafından sunucuya otomatik olarak kurulur.
5. Otomatik yenileme: İstemci, sertifika süresinin yaklaşık üçte ikisi dolduğunda aynı işlemi kendiliğinden tekrarlar.

Neden artık bu kadar önemli?

Tarayıcı üreticileri ve sertifika otoritelerinin oluşturduğu CA/Browser Forum, Nisan 2025'te SSL sertifikalarının azami geçerlilik süresini kademeli olarak kısaltan bir kararı (SC-081v3) kabul etti. Bu kural ücretsiz ve ücretli, DV, OV ve EV dahil tüm herkese açık SSL sertifikalarını kapsar:

Alan adı doğrulamasının tekrar kullanılabilme süresi de aynı takvimle kısalıyor ve 2029'da 10 güne iniyor. Yani yakın gelecekte sertifikaları elle yenilemek pratikte mümkün olmayacak; otomasyon (ACME) bir tercih değil, zorunluluk haline geliyor.

Ücretsiz sertifika sağlayıcısı Let's Encrypt de kendi takvimini açıkladı: bugün 90 gün olan varsayılan sertifika süresi 10 Şubat 2027'de 64 güne, 16 Şubat 2028'de 45 güne iniyor. Otomatik yenileme düzgün çalışan siteler için bu değişiklik fark edilmeden gerçekleşir.

Webevi'de ACME nasıl kullanılıyor?

Webevi hosting paketlerinde ücretsiz SSL sertifikaları ACME ile otomatik olarak alınır ve yenilenir:

• cPanel paketlerinde: AutoSSL özelliği, hesabınızdaki alan adları için sertifikaları otomatik olarak düzenler ve süresi dolmadan yeniler. cPanel'de SSL/TLS Status ekranından durumu görebilirsiniz.
• Plesk paketlerinde: Let's Encrypt eklentisi (SSL It!) ile sertifika tek tıkla alınır; "Otomatik yenile" seçeneği açık olduğu sürece yenileme kendiliğinden yapılır.

Alan adınızın DNS kayıtları Webevi sunucularını gösterdiği sürece genellikle sizin bir şey yapmanız gerekmez.

Otomatik yenileme neden başarısız olur?

Sertifikanız yenilenmediyse en sık karşılaşılan nedenler şunlardır:

• Alan adı başka bir sunucuyu gösteriyor: DNS kayıtları değiştirildiyse veya alan adı başka bir hizmete yönlendirildiyse doğrulama başarısız olur.
• Cloudflare gibi bir proxy/CDN kullanılıyor: Proxy açıkken doğrulama isteği sunucunuza ulaşmayabilir. Bu durumda sertifikayı Cloudflare tarafında yönetmek veya DNS-01 yöntemini kullanmak gerekir.
• .well-known klasörüne erişim engelleniyor: .htaccess / web.config yönlendirme kuralları, güvenlik eklentileri veya "bakım modu" eklentileri doğrulama dosyasını engelleyebilir.
• CAA kaydı izin vermiyor: DNS'inizde bir CAA kaydı varsa, kullanılan sertifika otoritesinin (ör. letsencrypt.org, sectigo.com) bu kayıtta yer alması gerekir.
• www veya alt alan adı için DNS kaydı eksik: Sertifikaya eklenen her ad için geçerli bir DNS kaydı bulunmalıdır.
• Alan adının süresi dolmuş veya askıya alınmış: Bu durumda doğrulama yapılamaz.
• Çok sık deneme yapıldı: Sertifika otoritelerinin belirli bir süre içinde verilebilecek sertifika sayısına sınırları vardır. Art arda başarısız denemelerden sonra bir süre beklemek gerekebilir.

Sıkça sorulan sorular

ACME ile alınan sertifika ücretsiz mi? Let's Encrypt gibi sağlayıcıların sertifikaları ücretsizdir. ACME bir protokoldür; bazı ücretli sertifika sağlayıcıları da ACME ile otomatik yenileme sunar.

Ücretsiz sertifika ile ücretli sertifika arasında güvenlik farkı var mı? Şifreleme gücü açısından fark yoktur. Ücretli sertifikalar kurum doğrulaması (OV/EV), garanti (warranty) ve destek gibi ek özellikler sunar. Kurumsal kimliğin sertifikada görünmesi gereken durumlarda ücretli sertifika tercih edilebilir.

Wildcard sertifika ACME ile alınabilir mi? Evet, ancak yalnızca DNS-01 yöntemiyle. Bunun için DNS'inizin, _acme-challenge TXT kaydını otomatik ekleyebilen bir sistemde (ör. hosting panelimiz veya API destekli bir DNS sağlayıcısı) yönetilmesi gerekir.

Sertifikamın süresinin dolacağına dair e-posta alır mıyım? Let's Encrypt, Haziran 2025'ten itibaren süre bitimi hatırlatma e-postası göndermeyi bıraktı. Bu nedenle otomatik yenilemenin çalıştığından emin olmak önemlidir. Sorun görürseniz destek ekibimizle iletişime geçebilirsiniz.

Elle yüklediğim ücretli sertifikam ne olacak? Şu anda düzenlenen sertifikalar en fazla 200 gün geçerlidir; Mart 2027'den sonra bu süre 100 güne iner. Elle yükleme yapıyorsanız yılda birkaç kez yenileme yapmanız gerekecek. Bu yükü azaltmak için ACME destekli bir çözüme geçmenizi öneririz.

Kendi sunucumda (VDS/VPS) ACME'yi nasıl kullanırım? Linux sunucularda Certbot veya acme.sh, Windows/IIS sunucularda win-acme yaygın kullanılan ücretsiz ACME istemcileridir. Kurulumdan sonra yenileme işi zamanlanmış görev olarak otomatik çalışır.

Sertifikam yenilenmedi, ne yapmalıyım? Önce alan adınızın DNS kayıtlarının Webevi sunucusunu gösterdiğini ve sitenizin http:// üzerinden açıldığını kontrol edin. Ardından panelinizden (cPanel: SSL/TLS Status → Run AutoSSL; Plesk: SSL It! → Yenile) yenilemeyi elle tetikleyin. Sorun devam ederse destek talebi açarak alan adınızı bize bildirin.