CSR Oluşturma: OpenSSL, cPanel, Plesk ve IIS’te Adım Adım

CSR oluşturma, ücretli bir SSL sertifikası sipariş etmeden önce sunucunuzda bir anahtar çifti üretip açık anahtarı alan adı ve kurum bilgileriyle birlikte sertifika otoritesine (CA: Certificate Authority) sunulacak bir isteğe dönüştürme işlemidir. CSR (Certificate Signing Request, sertifika imzalama isteği) otoriteye gider; özel anahtar ise sunucunuzda kalır ve düzenlenen sertifika yalnızca o anahtarla birlikte çalışır.

İşlem birkaç dakika sürer, ama yanlış yazılmış bir ad, eksik bir ek ad ya da kaybedilen bir anahtar siparişi baştan almanıza yol açabilir. LIONFIN üzerinden aldığınız SSL sertifikası dahil, elle kurulan ticari sertifikaların hepsi bu adımla başlar; sunucunuza hangi yöntem uyuyorsa onu kullanmanız yeterlidir.

CSR nedir, içinde hangi bilgiler bulunur?

CSR, PKCS #10 biçiminde, Base64 ile kodlanmış küçük bir metin dosyasıdır ve -----BEGIN CERTIFICATE REQUEST----- satırıyla başlar. İçinde açık anahtarınız, sertifikaya yazılması istenen kimlik bilgileri (subject) ve bunların özel anahtarla atılmış imzası bulunur; imza, anahtarın gerçekten sizde olduğunu otoriteye kanıtlar.

Eskiden doldurulan OU (Organizational Unit) alanını genel güvenilir otoriteler 2022’den beri sertifikalara yazmıyor; boş bırakabilirsiniz. DV sertifikalara kurum ve adres bilgisi yazılmaz, otorite yalnızca alan adını kullanır. OV ve EV’de ise bu alanların resmî kayıtlarla birebir örtüşmesi gerekir.

CSR oluşturmadan önce: anahtar türü ve alan adları

CSR oluşturmadan önce iki karar verirsiniz: anahtar türü ve sertifikanın kapsayacağı adlar. Anahtar için iki yaygın seçenek vardır:

• RSA 2048 bit: En geniş uyumluluğu sunar; eski cihaz ve yazılımlar dahil her yerde çalışır. 3072 ya da 4096 bit daha güçlüdür ama el sıkışmayı biraz yavaşlatır; 1024 bit artık kabul edilmez.
• ECDSA P-256 (prime256v1): Çok daha kısa bir anahtarla RSA 3072 düzeyinde güvenlik ve daha hızlı el sıkışma sağlar; güncel tarayıcıların tamamı destekler. Çok eski istemcilere hizmet veriyorsanız RSA daha risksizdir.

Ad tarafında belirleyici olan SAN listesidir; tarayıcılar ortak ad (CN) alanına değil bu listeye bakar. Tek alan adı siparişlerinde çoğu otorite www sürümünü kendiliğinden ekler, yine de sipariş formunda iki adın da göründüğünü kontrol edin. Çok sayıda alt alan adı için wildcard SSL alacaksanız CN alanına *.ornek.com yazılır. CSR’yi sertifikanın kurulacağı sunucuda üretmek en temiz yoldur; özel anahtar o sunucudan hiç çıkmamış olur.

OpenSSL ile CSR nasıl oluşturulur?

OpenSSL’de anahtarı ve CSR’yi tek komutla üretebilirsiniz; Linux ve macOS’ta araç hazır gelir, Windows’ta Git for Windows ile gelen OpenSSL’i ya da IIS yöntemini kullanabilirsiniz. RSA için:

openssl req -new -newkey rsa:2048 -nodes -keyout ornek.com.key -out ornek.com.csr -subj "/C=TR/ST=Istanbul/L=Istanbul/O=Ornek Ltd/CN=ornek.com"

-nodes özel anahtarı parolasız kaydeder; aksi hâlde web sunucusu her yeniden başlatmada parola ister (OpenSSL 3’te aynı işi -noenc de görür). -subj verilmezse OpenSSL alanları tek tek sorar. ECDSA tercih ediyorsanız önce anahtarı, sonra CSR’yi üretin:

openssl ecparam -genkey -name prime256v1 -out ornek.com.key
openssl req -new -key ornek.com.key -out ornek.com.csr

OpenSSL 1.1.1 ve sonrasında ek adları CSR’ye doğrudan yazmak için komutun sonuna -addext "subjectAltName=DNS:ornek.com,DNS:www.ornek.com" ekleyebilirsiniz; birçok otorite ek adları sipariş formundan da alsa da CSR’de bulunmaları tutarlılık sağlar. Komutun ardından anahtar dosyasını yalnızca sahibinin okuyabileceği hâle getirin:

chmod 600 ornek.com.key

CSR içeriği nasıl doğrulanır?

Otoriteye göndermeden önce CSR’nin bozulmadığını ve bilgilerin doğru olduğunu tek komutla kontrol edebilirsiniz:

openssl req -text -noout -verify -in ornek.com.csr

Çıktıda imzanın sağlam olduğunu belirten verify OK ifadesi, ardından Subject: satırı, anahtar türü ve uzunluğu (Public-Key: (2048 bit)) ve varsa Requested Extensions altında SAN listesi görünür. Ad ya da unvanda yazım hatası görürseniz dosyayı düzeltmeye çalışmayın; yeni bir CSR üretin.

Anahtar ile CSR’nin birbirine ait olduğundan emin olmak için iki dosyanın açık anahtar özetini karşılaştırın; iki satırın çıktısı aynı olmalıdır:

openssl req -in ornek.com.csr -noout -pubkey | openssl sha256
openssl pkey -in ornek.com.key -pubout | openssl sha256

Bu kontrol, birkaç deneme yapıp hangi anahtarın hangi CSR’ye ait olduğunu karıştırdığınızda kurulum günü karşılaşacağınız “anahtar sertifikayla eşleşmiyor” hatasını baştan önler.

cPanel ve Plesk’te CSR oluşturma

Paylaşımlı hostingde komut satırına gerek yoktur; panel anahtarı üretir ve hesabınızda saklar.

cPanel

1. Security → SSL/TLS ekranında Certificate Signing Requests (CSR) bağlantısını açın.
2. Anahtar seçeneğini yeni anahtar üretilecek biçimde bırakın; Domains kutusuna her satıra bir ad yazın (wildcard için *.ornek.com).
3. Şehir, il, ülke ve şirket alanlarını doldurup Generate deyin.
4. Oluşan metni BEGIN ve END satırlarıyla birlikte kopyalayın; anahtar Private Keys listesinde kalır.

Plesk

1. Websites & Domains altında alan adının SSL/TLS Certificates ekranını açın ve yeni sertifika ekleme (Add SSL/TLS Certificate) formuna geçin.
2. Sertifika adı, bit uzunluğu, ülke, il, şehir, kurum ve alan adı alanlarını doldurup Request deyin.
3. Listeye eklenen kaydı açıp CSR metnini kopyalayın.

Sertifika geldiğinde kurulum aynı panelden yapılır; adımlar cPanel SSL kurulumu ve Plesk SSL kurulumu rehberlerinde. cPanel hosting hesaplarında ücretsiz AutoSSL zaten çalıştığı için CSR’ye yalnızca ücretli bir sertifika kuracaksanız ihtiyaç duyarsınız.

IIS’te CSR oluşturma (Windows Server)

Windows Server’da IIS, anahtarı Windows sertifika deposunda üretir ve CSR’yi bir metin dosyasına kaydeder:

1. IIS Manager’da sol ağaçtan sunucu adını seçin ve Server Certificates simgesini açın.
2. Sağdaki Actions panelinden Create Certificate Request sihirbazını başlatın.
3. Distinguished Name Properties ekranında Common name, Organization, Organizational unit, City/locality, State/province ve Country/region alanlarını doldurun. Organizational unit sertifikaya yazılmayacağı için kısa bir değer (ör. BT) yeterlidir.
4. Şifreleme sağlayıcısı olarak Microsoft RSA SChannel Cryptographic Provider ve en az 2048 bit seçin.
5. Dosya adını verip bitirin; oluşan .txt dosyasının içeriği CSR’dir.

Sertifika geldiğinde aynı ekrandaki Complete Certificate Request ile kurulumu, isteği oluşturduğunuz sunucuda tamamlayın; özel anahtar yalnızca orada durur. Başka bir sunucuya taşımanız gerekirse Export ile parola korumalı .pfx dosyası alın. Siteye bağlama (binding) adımları IIS kurulumu rehberindedir; ASP.NET siteniz Windows hosting üzerinde çalışıyorsa aynı işlemler Plesk ekranlarından yapılır.

CSR oluşturma sırasında yapılan hatalar

CSR kaynaklı sorunların çoğu şu altı hatadan birinden doğar:

• Ortak ada adres yazmak: CN alanına https://ornek.com/ değil yalnızca ornek.com yazılır; protokol, yol ve port olmaz.
• Yanlış ülke kodu: Ülke alanı iki harfli ISO kodudur; Türkiye için TR.
• Unvan uyuşmazlığı: OV/EV’de O alanı resmî kayıttaki unvanla örtüşmezse doğrulama durur. Türkçe karakterli unvanı OpenSSL’de yazacaksanız komuta -utf8 ekleyin ya da otoritenin beklediği yazımı sorun.
• Eski CSR’yi yeniden kullanmak: 15 Mart 2026’dan beri sertifikalar en fazla 200 gün geçerlidir, yıllık aboneliklerde bile yeniden düzenleme sık yaşanır. Her seferinde yeni anahtar ve yeni CSR üretin; süreç SSL yenileme rehberinde.
• Özel anahtarı kaybetmek: Anahtarı silinmiş bir CSR’nin sertifikası kurulamaz; yeni CSR ile yeniden düzenleme istemeniz gerekir.
• Anahtarı paylaşmak: Sertifika otoritesinin özel anahtarınıza hiçbir aşamada ihtiyacı yoktur; anahtar isteyen bir e-posta büyük olasılıkla oltalamadır.