Alan Adı ve SSL Sertifikası Süresi Doldu: Neden Olur, Nasıl Önlenir?

Süresi dolmuş bir alan adı veya TLS sertifikası, küçük bir BT altyapısının yaşayabileceği en görünür arızadır: Web sitesi bir tarayıcı uyarısı ya da reklamlarla dolu bir park sayfası gösterir, e-postalar gelmez olur ve müşteriler işletmenin kapandığını veya hacklendiğini düşünür. Aynı zamanda en kolay önlenebilecek arızalardan biridir, çünkü her alan adının ve sertifikanın bitiş tarihi aylar öncesinden bellidir. Bu rehber, buna rağmen neden sürelerinin dolduğunu, dolduğunda gerçekte ne olduğunu, nasıl envanter çıkaracağınızı, otomatik yenilemeye güvenmenin tuzaklarını, 90 günlük sertifikalarla nasıl başa çıkacağınızı, transfer kilitlerini ve bir izleme kontrol listesini ele alıyor.

Alan adlarının ve sertifikaların süresi neden dolar

Neredeyse hiçbir zaman tarihi kimse bilmediği için değil. Olağan nedenler şunlardır:

• Kayıtlı kartın süresi dolmuştur. Otomatik yenileme açıktı; ödeme başarısız oldu; uyarı e-postaları kimsenin okumadığı bir adrese gitti.
• Kayıt sahibi e-postası artık kullanılmıyordur. Alan adı yıllar önce bir kurucu, eski bir çalışan veya bir web ajansı tarafından, artık var olmayan bir adresle kaydedilmiştir. Yenileme bildirimleri, doğrulama talepleri ve transfer onayları boşluğa gider.
• Ajansla ilişki sona ermiştir. Siteyi kuran geliştirici, alan adının veya sertifikanın ücretini kendi hesabından ödüyordu. İş birliği bittiğinde yenilemeler de bitti.
• Sertifikalar bir kez elle kurulmuştur. Bir yıllık bir sertifika satın alınıp elle kuruldu; bir yıl sonra bunu yapan kişi başka işe geçmiştir ve hiçbir şey planlanmamıştır.
• Çok fazla sağlayıcı vardır. Alan adları iki ayrı kayıt şirketinde, sertifikalar üçüncü bir sağlayıcıda, DNS dördüncü bir sağlayıcıda; her birinin ayrı girişi ve yenileme döngüsü vardır.
• Kimse sahiplenmemiştir. Pazarlama alan adıyla BT’nin ilgilendiğini sanır; BT ajansın ilgilendiğini sanır; ajans ise müşterinin ilgilendiğini sanır.

Süre dolduğunda gerçekte ne olur

Alan adının süresinin dolması ani bir uçurum değil, bir süreçtir. Bitiş tarihinde çoğu kayıt şirketi DNS çözümlemesini askıya alır; alan adı henüz kaybedilmemiş olsa da web sitesi ve e-posta hemen çalışmaz hâle gelir. Ardından alan adını normal fiyatla yenileyebileceğiniz bir ek süre (grace period) gelir, sonra genellikle yenilemenin hâlâ mümkün olduğu ama çok daha yüksek bir ücretle yapılabildiği bir kurtarma dönemi (redemption period) ve son olarak alan adı herkesin kaydedebileceği şekilde serbest bırakılır. Kesin süreler ve ücretler kayıt şirketine ve üst düzey alan adına göre değişir; kayıt şirketinizin güncel koşullarını kontrol edin. Trafik geçmişi olan süresi dolmuş alan adları, serbest bırakıldıktan dakikalar sonra spekülatörler ve alan adı korsanları tarafından sıklıkla satın alınır.

Web sitesinin ötesinde asıl kayıp e-postadır. Alan adınıza gönderilen her ileti geri döner; kullandığınız diğer tüm hizmetlerin şifre sıfırlama e-postaları hiçbir yere ulaşmaz; alan adı başkasının eline geçerse, onu elinde tutan kişi e-postalarınızı alabilir ve bu şifreleri sıfırlayabilir.

Sertifikanın süresinin dolması ise gerçek bir uçurumdur. Süre dolduğu anda tarayıcılar site için tam sayfa bir uyarı gösterir, API istemcileri bağlanmayı reddeder ve bu bağlantıya dayanan her şey — ödeme sayfaları, mobil uygulamalar, iş ortaklarıyla entegrasyonlar — çalışmaz. Posta sunucularındaki, VPN’lerdeki ve yönetim arayüzlerindeki dahili sertifikaların süresi de aynı sertlikte dolar, yalnızca daha geç fark edilir.

Envanteri oluşturun

Bilmediğiniz bir şeyi yenileyemezsiniz. Alan adları için:

• İşletmenin sahip olduğu her alan adını listeleyin; savunma amaçlı kayıtlar, ülke uzantıları, eski marka adları ve kampanya alan adları dahil. Kart ekstrelerinizde ve borç hesapları defterinizde kayıt şirketi ödemelerini arayın ve uzun süredir çalışan personele sorun.
• Her biri için şunları kaydedin: kayıt şirketi, hesap girişinin sahibi, kayıt sahibi ve yönetici iletişim e-postaları, bitiş tarihi, otomatik yenileme durumu, ödeme yöntemi, DNS’in nerede barındırıldığı ve ona nelerin bağlı olduğu (web sitesi, e-posta, SaaS özel alan adları).
• Bitiş tarihinin ve kayıt sahibi iletişim bilgilerinin düşündüğünüz gibi olduğunu doğrulamak için her biri için bir WHOIS veya RDAP sorgusu yapın.

Sertifikalar için:

• TLS sunan her ana bilgisayar adını listeleyin: herkese açık web siteleri, alt alan adları, API’ler, posta sunucuları, VPN uç noktaları, dahili yönetim konsolları, yük dengeleyiciler ve CDN uç sunucuları.
• Her biri için şunları kaydedin: sertifika yetkilisi, bitiş tarihi, nasıl düzenlendiği (elle, ACME otomasyonuyla, bir CDN veya barındırma sağlayıcısı tarafından yönetilen), özel anahtarın nerede durduğu ve sertifikayı kimin yeniden düzenleyebileceği.
• Alan adlarınız için varlığından haberdar olmadığınız sertifikaları bulmak üzere sertifika şeffaflığı (Certificate Transparency) kayıtlarını, yani düzenlenmiş sertifikaların aranabilir herkese açık veritabanlarını kullanın.

Otomatik yenilemenin tuzakları

Otomatik yenileme gereklidir ama yeterli değildir. Başarısız olma biçimleri tahmin edilebilir:

• Kendisi de bir gün süresi dolacak bir ödeme yöntemine bağlıdır. Kartın son kullanma tarihini alan adının bitiş tarihiyle birlikte kaydedin ve ikisini birlikte gözden geçirin.
• Kayıt şirketleri genellikle yenilemeyi bitişten belirli bir gün önce dener ve birkaç kez yeniden dener; yeniden denemeler de başarısız olursa durur ve e-posta gönderir. Bu e-posta okunmazsa, alan adının süresi otomatik yenileme “açık” olduğu hâlde dolar.
• Bazı kayıt şirketleri başarısız bir ödemeden, hesap e-postasının değiştirilmesinden veya bir transferden sonra otomatik yenilemeyi kapatır.
• Çok yıllık yenilemeler sorunun sıklığını azaltır ama ciddiyetini azaltmaz; üstelik aradaki sürenin uzaması, yenilemenin kurum içinde unutulmasını kolaylaştırır.

Otomatik yenilemeyi ikinci savunma hattı olarak görün. İlki, hatırlatmayı zamanında alan ve yenilemenin gerçekten yapıldığını kontrol eden bir insandır.

90 günlük sertifikalar ve otomasyon

Herkesçe güvenilen sertifikaların ömrü yıllardır kısalıyor ve sektör, bir yıl yerine haftalarla ölçülen geçerlilik sürelerine doğru ilerliyor. Bu aralıklarla elle yenileme gerçekçi bir seçenek değildir; sürdürülebilir tek yaklaşım, sunucudaki bir istemcinin (veya CDN ya da barındırma sağlayıcınızın) sertifikaları insan müdahalesi olmadan belirli bir takvime göre talep ettiği, doğruladığı ve kurduğu ACME protokolüyle otomasyondur.

Otomasyon izleme ihtiyacını ortadan kaldırmaz; yalnızca neyi izlediğinizi değiştirir. Otomatik yenilemeler; DNS değişiklikleri doğrulamayı bozduğunda, bir güvenlik duvarı kuralı doğrulama isteğini engellediğinde veya istemci yazılımı güncel olmadığında sessizce başarısız olur. Herkese açık her ana bilgisayar adı için, sunulan sertifikanın kalan süresi örneğin 14 günün altına düştüğünde uyarı veren harici bir kontrol tutun — otomasyon çalışıyorsa bu uyarı hiç tetiklenmemelidir; tetiklendiğinde ise hâlâ iki haftanız vardır.

Otomatikleştirilemeyen sertifikalar — bazı dahili sistemler, kod imzalama sertifikaları, cihazlara ait sertifikalar — tıpkı bir alan adı gibi, açık hatırlatmalarla envantere eklenir.

Transfer kilidi ve hesap güvenliği

Envanter açıkken diğer yaygın açıkları da kapatın:

• Her alan adında, açıkça kilidi kaldırılmadan başka bir yere transfer edilememesi için kayıt şirketi kilidini (transfer kilidi) etkinleştirin.
• Kayıt şirketi, DNS ve sertifika yetkilisi hesaplarında iki faktörlü kimlik doğrulamayı açın ve birden fazla kişinin giriş yapabildiğinden emin olun.
• Kayıt sahibi ve yönetici iletişim e-postalarını bir kişinin adresine değil, işletmenin kontrol ettiği bir rol posta kutusuna (domains@ veya it@ gibi) ayarlayın ve bu kutunun takip edildiğinden emin olun.
• Uygun olduğu yerlerde alan adlarını bir veya iki kayıt şirketinde toplayın.
• Kayıt şirketi bu seçeneği sunuyorsa, yenileme bildirimi ayarlarını kullanarak uyarıların ikinci bir adrese de gitmesini sağlayın.

İzleme kontrol listesi

1. Her alan adı ve sertifika, bir sorumlu ve bir bitiş tarihiyle tek bir envanterde yer alır.
2. Her alan adı için bitişten 90, 30 ve 7 gün önce, birden fazla kişiye gönderilen hatırlatmalar.
3. Otomatik yenilenen her hesap için ödeme kartlarının son kullanma tarihleri, kendi hatırlatmalarıyla birlikte kayıtlı.
4. Herkese açık her ana bilgisayar adında, 14 gün kaldığında uyarı veren harici sertifika izleme.
5. Üç ayda bir: Her kayıt şirketi hesabında kayıt sahibi iletişim bilgilerini, kilitleri ve iki faktörlü doğrulama durumunu teyit edin.
6. Yılda bir: Yeni olan her şeyi yakalamak için envanteri ekstrelerden, WHOIS sorgularından ve sertifika şeffaflığı kayıtlarından yeniden oluşturun.
7. İşten ayrılışlarda: Ayrılan kişinin herhangi bir alan adı, sertifika veya DNS sağlayıcısı için hesap sahibi ya da iletişim kişisi olup olmadığını kontrol edin.

Trackords nasıl yardımcı olur

Trackords, kredi kartı gerektirmeyen ücretsiz bir takip aracıdır ve alan adları ile sertifikalar ona doğal olarak uyar. Kayıt şirketi veya sertifika yetkilisi, hesap sahibi, DNS sağlayıcısı, otomatik yenileme durumu ve ödeme kartının son kullanma tarihi için özel alanlar içeren “Alan adı” ve “Sertifika” kayıt türleri oluşturun. Her kayda, bitişten seçtiğiniz gün sayısı kadar önce veya sabit bir tarihte gönderilen en fazla üç e-posta hatırlatması ve isteğe bağlı olarak bitiş gününde bir uyarı eklenebilir — yukarıdaki 90/30/7 takvimi her kayıt için bir kez ayarlanır.

Hatırlatmalar çalışma alanının tüm aktif kullanıcılarına ve her kayıt için isteğe bağlı bir ek adrese e-postayla gönderilir; böylece uyarı, girişi elinde tutan tek kişiden fazlasına ulaşır. CSV içe aktarma, envanteri bir elektronik tablodan dakikalar içinde yükler; denetim günlüğü de yenileme tarihini kimin güncellediğini gösterir. Trackords canlı bir sertifika izleyicisi değil, bir hatırlatma ve kayıt sistemidir; bu yüzden en önemli ana bilgisayar adları için onu harici bir çalışma süresi veya TLS kontrolüyle birlikte kullanın. Operasyon takibi sayfasına veya canlı demoya göz atın; tekrarlayan BT maliyetlerinin daha kapsamlı bir envanteri için SaaS abonelik denetimi kontrol listesini okuyun.