Ücretsiz SSL denince akla ilk gelen Let's Encrypt, sertifika ömürlerini 90 günden 45 güne indirme planını 2 Aralık 2025'te duyurdu. Değişiklik bir gecede olmayacak; üç aşamalı bir takvim var ve ilk aşama 13 Mayıs 2026'da başladı. Sunucusunda Certbot, acme.sh ya da benzeri bir araç çalıştıran herkesin bu takvimi bilmesi gerekiyor.
Hızlı bir kontrol için Certbot kullanıyorsanız şu komutlar işinizi görür:
Sizin kurulumunuzda hangi ACME istemcisi çalışıyor, ARI desteği var mı? Test profilini denediyseniz izlenimlerinizi yazın.
Üç aşamalı takvim
- 13 Mayıs 2026: İsteğe bağlı tlsserver profili 45 günlük sertifika vermeye başladı. Bu profil erken geçiş yapmak ve test etmek isteyenler için.
- 10 Şubat 2027: Varsayılan classic profil 64 günlük sertifikaya geçecek; alan adı doğrulamasının (authorization) yeniden kullanım süresi 10 gün olacak.
- 16 Şubat 2028: classic profil 45 günlük sertifikaya inecek; doğrulamanın yeniden kullanım süresi 7 saate düşecek.
Neden şimdi?
Let's Encrypt, kısalmanın CA/Browser Forum'un değişen temel gereksinimleriyle uyum için gerektiğini belirtiyor. Sektör genelinde herkese açık sertifikaların azami ömrü 2029'a kadar 47 güne inecek; kısa ömür, ele geçirilmiş ya da yanlış verilmiş bir sertifikanın zarar verebileceği süreyi azaltıyor ve iptal mekanizmalarının zayıflıklarını dengeliyor.Neyi kontrol etmelisiniz?
Let's Encrypt'in önerileri özetle şöyle:- Otomasyonunuzu doğrulayın: Yenileme gerçekten otomatik mi, yoksa bir cron satırı yıllardır çalıştığı varsayılarak mı duruyor?
- ARI desteği: ACME Renewal Information (ARI), yenilemenin ne zaman yapılacağını sertifika otoritesinin önermesini sağlar. İstemciniz destekliyorsa etkinleştirin.
- Sabit gün sayısına güvenmeyin: ARI yoksa yenilemeyi "60 günde bir" gibi sabit bir değere değil, sertifika ömrünün yaklaşık üçte ikisine göre planlayın. 45 günlük bir sertifikada 60 günlük döngü, siteniz için kesinti demektir.
- İzleme kurun: Sertifika beklendiği gibi yenilenmediğinde size haber veren bir uyarı olmalı.
Hızlı bir kontrol için Certbot kullanıyorsanız şu komutlar işinizi görür:
Bash:
sudo certbot certificates # sertifikalar ve bitiş tarihleri
sudo certbot renew --dry-run # yenileme sürecini gerçekten değiştirmeden test eder
systemctl list-timers | grep certbot # zamanlayıcı kuruluysa burada görünürDNS doğrulaması yapanlar için iyi haber
Wildcard sertifika alan ya da HTTP doğrulaması yapamayan kurulumlar genellikle DNS-01 kullanır ve her yenilemede yeni bir TXT kaydı gerekir. Let's Encrypt, 2026 içinde kullanıma sunulması beklenen DNS-PERSIST-01 adlı yeni bir doğrulama yöntemi üzerinde çalışıyor. Bu yöntemde kontrolü kanıtlayan TXT kaydının her yenilemede değişmesi gerekmeyecek. DNS sağlayıcınızın API'si yoksa bu yöntem hayatı ciddi biçimde kolaylaştırabilir.Sık gözden kaçan noktalar
- Eski yenileme betikleri: Yıllar önce yazılmış ve sertifikayı "ayda bir" ya da "60 günde bir" yenileyen cron satırları, kısalan ömürlerle birlikte sorun çıkaracaktır.
- Sertifika dağıtımı: Yenilenen sertifikanın web sunucusuna, yük dengeleyiciye ya da konteynerlere yeniden yüklenmesi gerekir. Yenileme başarılı olsa bile servis eski sertifikayı sunmaya devam edebilir.
- Birden fazla sunucu: Aynı sertifikayı birden çok sunucuda kullanıyorsanız dağıtım adımı otomasyonun parçası olmalı.
- Oran sınırları: Otomasyonu test ederken üretim ortamı yerine test ortamını ya da prova seçeneklerini kullanın; aksi hâlde oran sınırlarına takılabilirsiniz.
Paylaşımlı hosting kullanıcıları ne yapmalı?
cPanel AutoSSL ya da panelin kendi Let's Encrypt entegrasyonunu kullanıyorsanız yenileme genellikle sağlayıcının sorumluluğundadır. Yine de sertifikanın siteye, www alt alan adına ve varsa mail alt alan adlarına doğru uygulandığını ara ara kontrol etmek iyi bir alışkanlık.Sizin kurulumunuzda hangi ACME istemcisi çalışıyor, ARI desteği var mı? Test profilini denediyseniz izlenimlerinizi yazın.
