Bir yıllık SSL sertifikası bitti: 37 siteyi okuduk

Onaylanan takvim

Üçüncü sütun daha az konuşuluyor ama pratikte daha çok baş ağrıtacak. Alan adı doğrulamasının kullanım süresi, otoritenin "bu alan adı sende" kanıtına ne kadar süre yaslanabileceğini anlatır. Bugün bir kez kanıtlıyorsunuz ve bu kanıt sonraki sertifikalar için 398 güne kadar geçerli sayılıyor. 2029'da bu süre 10 güne iniyor; yani neredeyse her yenilemede sahipliği yeniden kanıtlamak gerekiyor.

37 İran sitesinin sertifikasını okuduk

Kuralın çalıştığımız pazara gerçekten ulaşıp ulaşmadığını merak ettik ve 15 Ağustos 2026'da 37 sitenin sertifikasını okuduk. Liste seçilmiş değil: on sekizi SSL sertifikası ve sanal sunucu aramalarında üst sıralarda çıkan barındırma ve altyapı şirketleri, on dokuzu ise başka iki canlı sonuç sayfasından alınmış SEO, araç ve pazarlama siteleri. Yöntem herkesin tekrarlayabileceği kadar basit:

openssl s_client -connect example.com:443 -servername example.com < /dev/null \
  | openssl x509 -noout -issuer -startdate -enddate

Ömür, notBefore ile notAfter arasındaki fark. Sonuç üç net gruba ayrıldı:

37 sertifikanın 27'si 15 Mart veya sonrasında verilmiş. En uzunu 198 gün. Hiçbiri tavanı aşmıyor. Bu bir plan değil, uygulanan bir kural; dışarıdan bakınca uygulama tam olarak böyle görünüyor.

Kalan on uzun sertifikanın hepsi kesim tarihinden önce verilmiş. En uzunu yektanet.com'a ait ve 2 Mart 2026 tarihli, yani kural yürürlüğe girmeden on iki gün önce. Bu pazarın son bir yıllık sertifikaları dar bir pencerede çıkmış ve hepsinin süresi aylar içinde doluyor.

Kuralın işlediğini kanıtlayan iki yenileme

Respina 4 Nisan'da, Sindad 29 Nisan'da yeniledi; ikisi de kuraldan sonra. İkisinin de sertifikası tam 198 gün.

198 yuvarlak bir sayı değil ve kimse onu seçmedi. Otoritenin saat farkı için bıraktığı payla birlikte 200 demek. Aynı otoriteden alışveriş eden, birbiriyle ilgisiz iki şirket aynı sayıya varıyorsa o sayı tesadüf değil politikadır. Değişimin bu pazara ticari olarak indiğine dair bulabildiğimiz tek doğrudan kanıt bu oldu ve ancak sertifikaları tek tek okuyunca görünür hale geldi.

O uzun sertifikaları satan otorite değişikliğe evet dedi

On uzun sertifikanın yedisi tek bir otoriteden geliyor: sertifikada Asseco Data Systems adıyla görünen Certum. Aynı şirket CA/Browser Forum oylamasında sürenin kısaltılmasına olumlu oy verdi.

Bunu birini köşeye sıkıştırmak için yazmıyoruz. Önemi şu: bu gidişi durduracak kimse yok. Sertifikayı satan şirketle Apple, Google, Microsoft ve Mozilla aynı yöndeyse geriye tek değişken kalıyor, o da yenilemenizin otomatik olup olmadığı.

Sizin siteniz için anlamı

Sertifikanızı elle yeniliyorsanız bu alışkanlık bitti. Yılda bir takvim hatırlatması taşınabilir bir yüktü. 2029'dan itibaren yılda sekiz civarı yenilemeye çıkıyor ve bir kez unutmak, sitenize gelen herkesin karşısına tam sayfa bir tarayıcı uyarısı koyuyor.

Bugün bakılmaya değer üç şey var. Mevcut sertifikanız kaç günlük ve ne zaman doluyor. Yenileme otomatik mi, yoksa birinin bir şey yapması mı gerekiyor. Otomatikse, en son gerçekten kendi kendine ne zaman yenilendi. Kâğıt üzerinde otomatik olmakla üretimde otomatik olmak aynı iddia değil.

Peki kendi sitemiz?

Kendi sitemiz 31 Temmuz'da verilmiş 90 günlük bir Google Trust Services sertifikasıyla çalışıyor. Bunu tavsiye olarak değil, açıklık olsun diye yazıyoruz: örneklemin çoğunluğuyla aynı 90 günlük gruptayız, dolayısıyla 200 gün kuralı bizim tarafımızda hiçbir şeyi değiştirmedi.

Bunların hiçbiri sizi ilgilendirmiyorsa

cPanel veya DirectAdmin'li paylaşımlı bir barındırmadaysanız ve panelin sağladığı ücretsiz sertifikayı kullanıyorsanız muhtemelen hiçbir şey yapmanız gerekmiyor. O sertifikalar zaten 89 ya da 90 günlük ve panel onları sormadan yeniliyor. Okuduğumuz 37 siteden yirmi beşi tam olarak bu durumda.

İki grubun dikkat etmesi gerekiyor. Sertifikayı satın alıp elle kuranlar. Bir de sertifikası web sunucusundan başka bir yerde duranlar: yük dengeleyicide, ağ cihazında ya da mobil uygulamanın içine sabitlenmiş halde. Oralara hiçbir yenileme servisi uzanmıyor.

Henüz kimsenin bilmediği kısım

Barındırma panellerinin 47 günlük döngüyle nasıl baş edeceğini henüz kimse bilmiyor, çünkü o basamak 2029'a kadar gelmiyor ve erkenden denemenin bir yolu yok. 100 günlük basamak Mart 2027'de geliyor; asıl ilk sınav orası. Bugün "altyapımız 47 güne hazır" diyen biri bir test sonucunu değil bir niyeti anlatıyordur.

Gerçekten sorulan sorular

SSL sertifikası ne kadar tutar? Çoğu site için sıfır. Ücretsiz ve ücretli sertifikalar şifreleme açısından birebir aynı ve tarayıcı ikisine de aynı davranıyor. Fark doğrulama türünde; ayrıntısını SSL sertifika türleri arasındaki farklar yazımızda anlattık, her SSL sertifika türü için canlı fiyatlar da hizmet sayfamızda duruyor.

Nasıl yenilerim? Barındırma paneliniz verdiyse yenileme otomatiktir ve tek işiniz bir kez çalıştığını doğrulamaktır. Satın aldıysanız yeni bir istek üretip yeni sertifikayı kurmanız gerekir; bu yıldan itibaren de bunu eskisinden sık yaparsınız.

Çok yıllık sertifika hâlâ satılıyor mu? Hayır, yıllardır yasak. Satılan şey çok yıllık abonelik; içinde arka arkaya kısa sertifikalar veriliyor. Yeni tavanlar bunların süresini değil sayısını artırıyor.

Sitenizin tabloda hangi satırda olduğunu bilmiyorsanız sertifikayı kendiniz okuyun, tek komut yetiyor. Bu döngüyü hiç düşünmek istemiyorsanız, sertifikayı otomatik yenileyen barındırma kendi sunucularımızı işletme biçimimiz; bu yazının müşterilerimiz için bir kriz değil bir bildirim olmasının sebebi de o. Yeni kurulumlarda da ilk günden böyle ayarlanıyor, ister siteyi sıfırdan kuruyor olalım ister hazır bir siteyi devralalım.

Yukarıdaki her sayının kaynağı: SC-081v3 önergesinin metni ve oylama sonucu ile CA/Browser Forum Temel Gereksinimleri. 37 sitelik ölçüm 15 Ağustos 2026 tarihlidir; bugün tekrarlarsanız uzun sertifikalı siteler büyük ihtimalle yenilenmiş olacaktır.