SSL Hatası Nedir? Nedenleri ve Sunucu Tarafında Çözümü

SSL hatası, tarayıcı ile sunucu arasındaki şifreli bağlantının sertifika doğrulaması aşamasında kurulamamasıdır. Site sunucuda çalışmaktadır ve içerik yerindedir; tarayıcı sunucunun kimliğini doğrulayamadığı için bağlantıyı kurmayı reddeder ve tam ekran bir güvenlik uyarısı gösterir. Uyarı ziyaretçilerin büyük bölümünü siteye girmeden geri döndürür.

Bu rehberde SSL hata kodlarının ne anlama geldiğini, hatanın oluşma nedenlerini ve sunucu tarafında nasıl test edileceğini açıklıyoruz. Ardından kontrol panelleri üzerinden çözümü, el sıkışma hatasının giderilmesini ve hatanın tekrar etmemesi için alınacak önlemleri ele alıyoruz. Son bölümlerde SSL hatasının arama motoru performansına etkisini ve ziyaretçi cihazından kaynaklanan hataların nasıl ayırt edileceğini anlatıyoruz.

SSL Hatası Ne Demek?

SSL hatası, tarayıcı ile sunucu arasındaki şifreli bağlantının sertifika doğrulaması aşamasında kurulamamasıdır. Tarayıcı bağlantı kurmadan önce sunucunun sertifikasını inceler ve dört şeyi denetler: sertifikanın süresi, sertifikayı veren otoritenin güvenilirliği, sertifikanın kapsadığı alan adı ve sertifika zincirinin bütünlüğü. Denetimlerden biri başarısız olduğunda bağlantı kurulmaz.

SSL Hata Kodları Ne Anlama Gelir?

Tarayıcılar SSL hatalarını kod adlarıyla raporlar ve her kod farklı bir sunucu tarafı nedene karşılık gelir. Kodların anlamları aşağıdaki tabloda verilmiştir.

Kod, çözümün hangi katmanda aranacağını doğrudan gösterir. Tarih hatası sertifika yenilemeye, alan adı hatası sertifika kapsamına, otorite hatası ise sertifika zincirine işaret eder.

SSL Hatası Neden Oluşur?

SSL hatasının başlıca nedenleri aşağıda listelenmiştir:

• Sertifika süresinin dolması
• Eksik ara sertifika
• Alan adı uyuşmazlığı
• Karışık içerik
• Eski TLS sürümü ve şifre takımı uyuşmazlığı
• Sunucu saatinin yanlış olması
• Kendinden imzalı sertifika kullanımı

Sertifika Süresinin Dolması

Ücretsiz sertifikalar 90 gün, ticari sertifikalar bir yıl geçerlidir. Süre dolduğunda tarayıcı sertifikayı geçersiz sayar. Otomatik yenileme kurulu sistemlerde süre dolmadan yenileme yapılır; yenilemenin başarısız olma nedenleri arasında doğrulama dizinine erişimin engellenmesi, zamanlanmış görevin çalışmaması ve alan adının farklı bir sunucuya taşınması yer alır. Yenileme yapılandırması Let’s Encrypt SSL kurulumu rehberinde anlatılmıştır.

Eksik Ara Sertifika (Intermediate Chain)

Sertifika tek bir dosya değil, bir zincirdir. Zincir üç halkadan oluşur: sunucu sertifikası, ara sertifika ve kök sertifika. Sunucuya yalnızca sunucu sertifikası yüklendiğinde zincir kopar ve tarayıcı sertifikayı kök otoriteye bağlayamaz.

Eksik ara sertifika, masaüstü tarayıcıda çalışan bir sitenin mobil cihazda hata vermesinin en yaygın nedenidir. Masaüstü tarayıcılar eksik ara sertifikayı çoğu durumda kendi deposundan tamamlar, mobil tarayıcılar bu tamamlamayı yapmaz. Zincir aşağıdaki komutla doğrulanır:

openssl s_client -connect alanadi.com:443 -showcerts

Çıktıdaki Certificate chain bölümünde en az iki sertifika görünmelidir. Tek sertifika görünüyorsa ara sertifika eksiktir. Çözüm, sertifika sağlayıcısından alınan ara sertifika dosyasının sunucu yapılandırmasına eklenmesidir.

Alan Adı Uyuşmazlığı

Sertifika yalnızca kapsadığı alan adları için geçerlidir. alanadi.com için düzenlenmiş bir sertifika www.alanadi.com adresini kapsamaz ve iki adresin de kapsanması için sertifika talebinde ikisinin birlikte belirtilmesi gerekir. Alt alan adları için tek tek sertifika almak yerine tüm alt alan adlarını kapsayan sertifika tercih edilir; kapsam kuralları Wildcard SSL rehberinde açıklanmıştır.

Karışık İçerik (Mixed Content)

HTTPS üzerinden sunulan bir sayfada HTTP adresli kaynaklar bulunduğunda tarayıcı karışık içerik uyarısı gösterir. Görsel, betik ve stil dosyaları en sık karşılaşılan kaynaklardır. Sorun genellikle HTTPS geçişi sonrasında veritabanındaki eski adreslerin güncellenmemesinden doğar. Veritabanı üzerinden toplu düzeltme aşağıdaki sorguyla yapılır:

UPDATE wp_posts SET post_content = REPLACE(post_content, 'http://alanadi.com', 'https://alanadi.com');

Sorgu çalıştırılmadan önce veritabanı yedeği alınır. Betik ve stil dosyalarındaki sabit adresler tema dosyalarından ayrıca düzeltilir.

Eski TLS Sürümü ve Şifre Takımı Uyuşmazlığı

Tarayıcılar güvenlik açığı bulunan eski protokol sürümlerini desteklemez. Sürümlerin güncel durumu aşağıdaki tabloda verilmiştir.

Yalnızca TLS 1.0 ve 1.1 destekleyen bir sunucuya hiçbir güncel tarayıcı bağlanamaz. Nginx tarafında desteklenen sürümler aşağıdaki satırla tanımlanır:

ssl_protocols TLSv1.2 TLSv1.3;

Sunucu Saatinin Yanlış Olması

Sertifika doğrulaması sunucu ve istemci saatlerini karşılaştırır. Sunucu saati birkaç saat kaydığında geçerli bir sertifika bile süresi dolmuş ya da henüz başlamamış görünür. Saat eşitlemesi aşağıdaki komutlarla yapılır:

timedatectl set-ntp true
systemctl restart systemd-timesyncd

SSL Hatası Sunucu Tarafında Nasıl Test Edilir?

Sertifika durumu sunucu üzerinden tek komutla incelenir:

openssl s_client -connect alanadi.com:443 -servername alanadi.com

Çıktıdaki üç alan tanı için yeterlidir:

• Certificate chain: Zincirdeki sertifika sayısını gösterir. Tek sertifika görünüyorsa ara sertifika eksiktir.
• Verify return code: Doğrulama sonucunu verir. 0 (ok) değeri zincirin sağlam olduğunu, diğer değerler hata türünü belirtir.
• NotBefore ve NotAfter: Sertifikanın geçerlilik aralığını verir. Bitiş tarihi geçmişse sertifika yenilenmelidir.

Sertifikanın kapsadığı alan adları openssl s_client -connect alanadi.com:443 | openssl x509 -noout -text | grep DNS komutuyla listelenir ve alan adı uyuşmazlığı bu çıktıdan doğrulanır.

cPanel ve Plesk Üzerinden SSL Hatası Nasıl Çözülür?

Kontrol paneli kullanılan sunucularda sertifika sorunları arayüz üzerinden çözülür. İki panelde izlenecek adımlar aşağıda verilmiştir:

1. cPanel: Güvenlik bölümündeki SSL/TLS Status sayfası açılır. Sorunlu alan adı işaretlenir ve Run AutoSSL düğmesine basılır. Sertifika yeniden düzenlenir ve zincir eksiksiz kurulur. Sertifikanın el ile yüklenmesi gerekiyorsa SSL/TLS bölümündeki Manage SSL sites sayfasından sertifika, özel anahtar ve ara sertifika alanları birlikte doldurulur.
2. Plesk: Alan adı seçilir ve SSL/TLS Certificates sayfası açılır. Mevcut sertifikanın yanındaki yenileme bağlantısına tıklanır. Sertifika el ile yükleniyorsa Add SSL/TLS Certificate sayfasındaki CA certificate alanına ara sertifika mutlaka girilir.

Panel üzerinden yapılan yenilemelerde en sık atlanan alan ara sertifikadır. Alan boş bırakıldığında sertifika kurulur fakat zincir kopuk kalır. Panel araçları cPanel hosting rehberinde anlatılmıştır.

El Sıkışma (Handshake) Hatası Nasıl Giderilir?

El sıkışma hatası, tarayıcı ile sunucunun ortak bir protokol sürümü ve şifre takımı üzerinde anlaşamamasıdır. El sıkışma dört aşamada tamamlanır ve her aşamada farklı bir hata oluşur:

1. İstemci merhabası: Tarayıcı desteklediği TLS sürümlerini ve şifre takımlarını bildirir. Sunucu bu listeden hiçbirini desteklemiyorsa ERR_SSL_VERSION_OR_CIPHER_MISMATCH hatası oluşur.
2. Sunucu merhabası ve sertifika: Sunucu sertifikayı gönderir. Zincir eksikse NET::ERR_CERT_AUTHORITY_INVALID hatası oluşur.
3. Anahtar değişimi: Şifreleme anahtarı üretilir. Sunucudaki özel anahtar sertifikayla eşleşmiyorsa ERR_SSL_PROTOCOL_ERROR hatası oluşur.
4. Şifreli iletişim: Bağlantı kurulur ve veri aktarımı başlar.

Özel anahtarın sertifikayla eşleştiği aşağıdaki iki komutun aynı çıktıyı vermesiyle doğrulanır:

openssl x509 -noout -modulus -in sertifika.crt | openssl md5
openssl rsa -noout -modulus -in ozelanahtar.key | openssl md5

SSL Hatası Tekrar Etmemesi İçin Ne Yapılmalı?

SSL hatasının tekrarını önleyen önlemler aşağıda sıralanmıştır:

1. Otomatik yenilemeyi doğrulayın. Yenileme görevinin çalıştığı sınanmadığında sertifika sessizce süresini doldurur ve site bir sabah uyarı ekranıyla açılır.
2. Süre bitimi uyarısı kurun. Uyarı tanımlanmadığında sorun ziyaretçi bildirimiyle öğrenilir.
3. Zincir kontrolünü kurulum sonrası yapın. Kontrol atlandığında hata yalnızca mobil cihazlarda görülür ve haftalarca fark edilmez.
4. HSTS başlığı tanımlayın. Başlık tanımlanmadığında ziyaretçiler HTTP üzerinden bağlanmayı sürdürür ve karışık içerik riski devam eder.
5. Karışık içerik denetimi yapın. Denetim yapılmadığında tema güncellemeleri yeni HTTP kaynakları getirir.
6. İzleme servisi kullanın. Servis kurulmadığında sertifika sorunu ile fark edilmesi arasındaki süre uzar.

Güvenli bağlantının zorunlu kılınması ve başlık yapılandırması HSTS nedir rehberinde anlatılmıştır.

SSL Hatası Arama Motoru Sıralamasını Etkiler mi?

Evet, SSL hatası hem sıralamayı hem de tıklama sonrası davranışı olumsuz etkiler. HTTPS bir sıralama sinyalidir ve geçersiz sertifika bu sinyali ortadan kaldırır. Etki iki koldan gelir.

Birinci kol tarama tarafındadır. Googlebot geçersiz sertifikalı bir sayfaya bağlandığında içeriği alamaz ve sayfa taranamamış sayılır. Durum sürdüğünde sayfalar dizinden düşer. İkinci kol kullanıcı davranışıdır. Arama sonucuna tıklayan ziyaretçi tam ekran güvenlik uyarısıyla karşılaşır ve büyük çoğunlukla geri döner. Yükselen geri dönüş oranı sonuçların kalitesine dair olumsuz bir sinyal üretir. Sunucu yanıtlarının sayfa deneyimi metriklerine yansıması Core Web Vitals rehberinde ele alınmıştır.

Ziyaretçinin Cihazından Kaynaklanan SSL Hataları Nasıl Ayırt Edilir?

SSL hatalarının bir bölümü sunucudan değil, ziyaretçinin cihazından kaynaklanır. Cihaz kaynaklı hataların nedenleri aşağıda listelenmiştir:

• Cihaz tarih ve saat ayarının yanlış olması
• Güncellenmemiş işletim sisteminin yeni kök sertifikaları tanımaması
• Antivirüs yazılımının şifreli trafiği kendi sertifikasıyla taraması
• Kurumsal ağdaki vekil sunucunun trafiği araya girerek çözmesi
• Genel kablosuz ağlardaki giriş sayfası yönlendirmesi

Site sahibi olarak hatanın kaynağını ayırt etmek için üç test uygulanır: site farklı bir cihazdan açılır, farklı bir ağ üzerinden denenir ve sunucu tarafındaki openssl çıktısı incelenir. Üç testin tamamı sorunsuz sonuç veriyorsa hata ziyaretçinin cihazındadır ve sunucuda yapılacak bir işlem bulunmaz. Bu durumda ziyaretçiye cihaz saatini kontrol etmesi ve işletim sistemini güncellemesi bildirilir.

SSL Hatası Sitenin Hacklendiği Anlamına Gelir mi?

Hayır, SSL hatası tek başına bir güvenlik ihlaline işaret etmez. Hata çoğunlukla süre dolması veya yapılandırma eksikliği kaynaklıdır. İstisna, sertifikanın beklenmedik bir otorite tarafından düzenlenmiş görünmesidir; bu durum araya girme girişimine işaret eder ve malware temizleme süreciyle birlikte incelenir.

Ücretsiz SSL Sertifikaları Daha Çok Hata Verir mi?

Hayır, ücretsiz sertifikalar ticari sertifikalardan daha fazla hata üretmez. Şifreleme gücü ve tarayıcı güveni her iki türde aynıdır. Fark doğrulama derinliğinde ve geçerlilik süresindedir; ücretsiz sertifikaların 90 günlük süresi otomatik yenileme kurulmadığında daha sık yenileme gerektirir. Kapsam farkları ücretsiz SSL rehberinde ele alınmıştır.

SSL Hatası Alan Adı Yenilenmediğinde Oluşur mu?

Hayır, alan adı süresi ile sertifika süresi birbirinden bağımsızdır. Alan adı süresi dolduğunda ad çözümlemesi durur ve tarayıcı siteye hiç ulaşamaz; ekranda SSL uyarısı değil bağlantı hatası görüntülenir. Yenileme süreci ve ek süre kuralları domain yenileme rehberinde açıklanmıştır.

Tarayıcı Uyarısını Geçerek Siteye Girmek Güvenli midir?

Hayır, güvenlik uyarısını geçerek siteye girmek güvenli değildir. Uyarı, bağlantının şifrelenmediğini ya da sunucunun kimliğinin doğrulanamadığını bildirir. Uyarı geçildikten sonra girilen parola, kart bilgisi ve kişisel veriler araya giren taraflarca okunabilir. Kendi sitenizde test yaparken uyarıyı geçebilirsiniz; veri girişi yapılan sayfalarda ise sertifika düzeltilene kadar işlem yapılmaz.

SSL Hatası Devam Ediyorsa Ne Yapılmalı?

Panel üzerinden yenileme yapıldığı halde süren SSL hatası sunucu yapılandırmasında aranır. Destek talebi açarken aşağıdaki dört bilgiyi iletmeniz inceleme süresini kısaltır:

• Hatanın görüldüğü alan adı
• Tarayıcıda görünen hata kodu
• openssl s_client komutunun çıktısı
• Test edilen ağ ve cihaz bilgisi

Verimin olarak sertifika zincirini, protokol sürümlerini ve yenileme yapılandırmasını inceliyor, eksik ara sertifikaları sunucu tarafında tamamlıyoruz. Sertifika türleri ve yenileme seçenekleri için SSL sertifikaları sayfamızı inceleyebilirsiniz.