SAN Sertifikası Nedir? Multi-Domain SSL Hakkında Tam Rehber

Birden fazla web sitesini, alt etki alanını ve hizmeti ayrı SSL sertifikalarıyla güvence altına almak hızla bir yönetim kabusu haline gelir. Bir SAN (Subject Alternative Name) sertifikası — ayrıca çok etki alanı SSL sertifikası olarak da adlandırılır — bu sorunu zarif bir şekilde çözerek tek bir birleştirilmiş sertifika altında düzinelerce farklı etki alanı adını korur. Bir SaaS platformu, kurumsal bir ağ veya birden fazla bölgesel etki alanına yayılan bir e-ticaret işletmesi yönetiyor olsanız da, SAN sertifikalarını anlamak altyapınızı hem güvenli hem de yönetilebilir tutmak için gereklidir.

SAN Sertifikası Nedir?

SAN sertifikası, tek bir sertifika içinde birden fazla etki alanı adını listelemek için Subject Alternative Name uzantısını kullanan bir SSL/TLS sertifikası türüdür. Sahip olduğunuz her etki alanı için ayrı sertifikalar satın almak, yüklemek ve yenilemek yerine, bir SAN sertifikası hepsini birinde birleştirir.

Örneğin, tek bir SAN sertifikası aynı anda şunları koruyabilir:

• www.example.com
• mail.example.com
• shop.example.org
• app.example.net
• secure.example.io

Bu yetenek, SAN sertifikalarını büyük kuruluşlar, SaaS sağlayıcıları ve birden fazla web özelliğini yöneten herhangi bir işletme için tercih edilen çözüm haline getirir.

SAN Sertifikaları Nasıl Çalışır?

Her SSL/TLS sertifikası, hangi etki alanı(ları)nı güvence altına almak için yetkilendirildiğini tanımlayan yapılandırılmış veri alanları içerir. Standart bir tek etki alanı sertifikasında, yalnızca Common Name (CN) alanı kullanılır. SAN sertifikası bunu, sertifikanın kapsaması gereken her etki alanının bir listesiyle Subject Alternative Names uzantısını doldurarak genişletir.

Bir tarayıcı veya sunucu HTTPS bağlantısı başlattığında, istenen etki alanının Common Name veya sertifikada listelenen SAN’lardan herhangi biriyle eşleşip eşleşmediğini kontrol eder. Bir eşleşme bulunursa, bağlantı doğrulanır ve kilit simgesi görünür. Değilse, tarayıcı bir güvenlik uyarısı görüntüler.

Örnek SAN Sertifikası Yapısı

Bu mimari, kapsanan etki alanlarının eklenmesi veya güncellenmesinin sertifika düzeyinde işlendiği anlamına gelir — sıfırdan tamamen yeni bir sertifika sağlamak yerine sertifikayı güncellenmiş SAN listesiyle yeniden yayınlarsınız.

SAN Sertifikası Kullanmanın Temel Faydaları

1. Önemli Maliyet Tasarrufu

Yönettiğiniz her etki alanı için bireysel SSL sertifikaları satın almak pahalıdır. Tek bir SAN sertifikası birleştirilmiş maliyetin bir kısmına karşılık birden fazla etki alanını kapsar ve bu da büyüyen işletmeler için finansal açıdan akıllı bir seçimdir.

2. Basitleştirilmiş Sertifika Yönetimi

Düzinelerce ayrı sertifika için yenileme tarihlerini, doğrulama durumlarını ve kurulum prosedürlerini izlemek yerine, sadece birini yönetirsiniz. Bu, yönetim yükünü dramatik olarak azaltır ve bir sertifikanın fark edilmeden sona ermesi riskini — sitenizi çevrimdışı alabilir ve kullanıcı güvenini bir anda yok edebilir — ortadan kaldırır.

3. Güvenlikte Hiçbir Uzlaşma Yok

SAN sertifikaları, tek etki alanı sertifikaları ile aynı güçlü şifreleme standartlarını (RSA veya ECDSA anahtarları, SHA-256 hashing) kullanır. Etki alanlarını bir sertifika altında birleştirmek, herhangi bir bireysel etki alanının güvenlik duruşunu zayıflatmaz.

4. Geniş Sunucu ve İstemci Uyumluluğu

SAN sertifikaları, neredeyse tüm modern web sunucuları (Apache, Nginx, IIS, LiteSpeed), posta sunucuları ve istemci tarayıcıları tarafından desteklenir. Bunlar çok etki alanı dağıtımları için endüstri standardı yaklaşımdır.

5. TLD’ler Arasında Esneklik

Tek bir etki alanın alt etki alanlarıyla sınırlı olan joker sertifikaların aksine, SAN sertifikaları aynı anda farklı üst düzey etki alanları (.com, .net, .org, .io, vb.) arasında tamamen farklı etki alanı adlarını koruyabilir.

SAN Sertifikası Türleri

Tüm SAN sertifikaları aynı değildir. Mevcut türleri anlamak, belirli kullanım durumunuz için doğru doğrulama düzeyini ve kapsamını seçmenize yardımcı olur.

Çok Etki Alanı SSL Sertifikası (DV veya OV)

En yaygın tür. Farklı TLD’ler arasında birden fazla tam nitelikli etki alanı adını korur. Domain Validation (DV) ile hızlı yayınlama için veya ek güven sinyalleri için Organization Validation (OV) ile kullanılabilir.

• En uygun: Birkaç farklı web sitesi veya web uygulaması yöneten işletmeler.

Joker SAN Sertifikası

Joker kapsamını (*.example.com) çok etki alanı desteğiyle birleştirir. Tek bir sertifika, aynı anda birden fazla temel etki alanının tüm alt etki alanlarını kapsayabilir.

• En uygun: Birden fazla kök etki alanı arasında çok sayıda alt etki alanı olan kuruluşlar.

EV (Extended Validation) SAN Sertifikası

Mevcut en yüksek kimlik doğrulama düzeyini sağlar. Sertifika yetkilisi yayınlanmadan önce kuruluşu titizlikle inceler. Listelenen tüm etki alanları genişletilmiş doğrulama durumundan yararlanır.

• En uygun: Maksimum kullanıcı güveninin kritik olduğu finansal kurumlar, kurumsal portallar ve e-ticaret platformları.

SAN Sertifikaları vs. Joker Sertifikaları: Temel Farklar

Yaygın bir karışıklık noktası, SAN sertifikası yerine joker sertifikası seçmenin ne zaman uygun olduğudur. İşte doğrudan bir karşılaştırma:

Birçok gerçek dünya dağıtımında, yöneticiler her iki yaklaşımın faydalarını elde etmek için Joker SAN sertifikası kullanırlar.

SAN Sertifikası Nasıl Alınır: Adım Adım

Adım 1: Güvenilir Bir Sertifika Yetkilisi (CA) Seçin

İhtiyaç duyduğunuz doğrulama düzeyine sahip SAN sertifikaları sunan saygın bir CA seçin. Tüm büyük tarayıcı güven depolarına dahil olan CA’ları arayın. Zaten AlexHost SSL Sertifikaları ile barındırılıyorsanız, sertifika tedarikini doğrudan barındırma paneliniz aracılığıyla yönetebilirsiniz.

Adım 2: Sertifika İmzalama İsteği (CSR) Oluşturun

Sunucunuzda, birincil etki alanınızı Common Name olarak içeren bir CSR oluşturun. Çoğu modern sunucu yazılımı ve kontrol paneli, CSR oluşturma sırasında ek SAN’ları belirtmenize izin verir.

openssl req -new -newkey rsa:2048 -nodes 
  -keyout yourdomain.key 
  -out yourdomain.csr 
  -subj "/CN=www.example.com"

SAN girişleri için, bunları genellikle openssl.cnf dosyanızda veya uygulama işlemi sırasında doğrudan CA’nın web portalı aracılığıyla yapılandırırsınız.

Adım 3: Tüm SAN Etki Alanlarını Belirtin

Sertifika başvurusu sırasında, sertifikanın kapsamasını istediğiniz her etki alanı ve alt etki alanını listeleyin. Kapsamlı olun — yayınlandıktan sonra etki alanları eklemek sertifika yeniden yayınlanmasını gerektirir.

Adım 4: Etki Alanı Doğrulamasını Tamamlayın

SAN alanlarında listelenen her etki alanı için, sahipliğini kanıtlamanız gerekir. Üç standart doğrulama yöntemi şunlardır:

• E-posta doğrulaması: Etki alanı için kayıtlı bir adrese gönderilen bir onay e-postasına yanıt verin.
• DNS doğrulaması: Etki alanının DNS bölgesine belirli bir TXT veya CNAME kaydı ekleyin.
• Dosya tabanlı (HTTP) doğrulaması: Web sunucusundaki belirlenmiş bir yola belirli bir dosya yükleyin.

DNS doğrulaması, SAN sertifikaları için genellikle tercih edilir çünkü otomatikleştirilebilir ve doğrulama sırasında web sunucusunun herkese açık olmasını gerektirmez.

Adım 5: Sertifikayı Sunucunuza Yükleyin

CA sertifikayı yayınladıktan sonra, sunucunuza yükleyin ve listelenen her etki alanını kullanacak şekilde yapılandırın. Bir Nginx sunucusunda, temel bir yapılandırma şöyle görünür:

server {
    listen 443 ssl;
    server_name www.example.com blog.example.com shop.example.org;

    ssl_certificate     /etc/ssl/certs/san_certificate.crt;
    ssl_certificate_key /etc/ssl/private/san_certificate.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
}

Bir VPS Barındırma ortamı çalıştırıyorsanız, SSL’yi altyapınızın gerektirdiği şekilde yapılandırmak için tam kök erişimine sahipsiniz, paylaşılan ortamların kısıtlamaları olmadan.

SAN Sertifikanızı Yönetme ve Yenileme

Uygun yaşam döngüsü yönetimi kritiktir. Tek bir süresi dolan SAN sertifikası, kapladığı her etki alanı için HTTPS’yi aynı anda bozabilir — potansiyel olarak felaket niteliğinde bir kesinti.

SAN Sertifikası Yönetimi için En İyi Uygulamalar

• Etki alanı envanteri tutun: Her SAN sertifikası tarafından kapsanan tüm etki alanlarının, sona erme tarihleri de dahil olmak üzere güncel bir listesini tutun.
• Yenileme hatırlatıcılarını erken ayarlayın: Sona ermeden en az 30 gün önce yenileme işlemine başlayın. Birçok CA artık 90 günlük sertifikaları (Let’s Encrypt gibi) destekler, bu nedenle otomasyon şiddetle önerilir.
• Yenileme sırasında SAN listenizi denetleyin: Her yenilemeyi, devre dışı bırakılan etki alanlarını kaldırmak ve yenilerini eklemek için bir fırsat olarak kullanın.
• ACME istemcileriyle otomatikleştirin: Certbot gibi araçlar SAN sertifikalarını destekler ve ACME protokolü aracılığıyla hem yayınlamayı hem de yenilemeyi otomatikleştirebilir.
• Kurulumdan sonra test edin: Yenilenen bir sertifikayı yükledikten sonra, listelenen tüm etki alanlarının doğru şekilde güvence altına alındığını doğrulamak için SSL Labs’ın SSL Test gibi araçları kullanın.

SAN Listesini Güncelleme

Döngü ortasında etki alanları eklemeniz veya kaldırmanız gerekirse, sertifikayı yeniden yayınlamanız gerekir (sadece yenilemek değil). Çoğu CA, sertifikanın geçerlilik süresi içinde ücretsiz yeniden yayınlamaya izin verir. İşlem orijinal başvuruyu yansıtır — güncellenmiş SAN listesiyle yeni bir CSR gönderirsiniz ve yeni eklenen etki alanlarını yeniden doğrularsınız.

SAN Sertifikaları için Yaygın Kullanım Durumları

SaaS ve Web Uygulamaları

SaaS sağlayıcıları, ana uygulama etki alanlarını, API uç noktalarını, müşteri portallarını ve pazarlama sitelerini tek bir sertifika altında güvence altına almak için sıklıkla SAN sertifikaları kullanırlar. Bu, dağıtım işlem hatlarını basitleştirir ve tüm ürün paketi arasında tutarlı SSL kapsamını sağlar.

Kurumsal Ağlar

Büyük şirketler sıklıkla iç alt etki alanları, ortak portalları ve herkese açık web sitelerinin bir karışımını yönetir. Bir SAN sertifikası — veya bir dizi — tüm etki alanı portföyü arasında merkezi SSL yönetişimi sağlar. Kuruluşunuz Dedicated Servers çalıştırıyorsa, ölçekte karmaşık SAN yapılandırmalarını dağıtmak ve yönetmek için gereken altyapı kontrolüne sahipsiniz.

E-Ticaret Platformları

Bölgesel mağazaları olan çevrimiçi perakendeciler (shop.example.co.uk, shop.example.de, shop.example.fr) tek bir SAN sertifikası ile her mağazayı koruyabilir ve dünya çapında müşteriler için tutarlı ve güvenilir bir alışveriş deneyimi sağlayabilir.

E-Posta Altyapısı

SAN sertifika