Wildcard SSL Nedir? Tüm Alt Alan Adları İçin Tek Sertifika

Wildcard SSL, *.ornek.com gibi yıldız işaretli bir adla düzenlenen ve bir alan adının hemen altındaki tüm alt alan adlarını tek sertifikayla şifreleyen TLS (Transport Layer Security) sertifikasıdır. Wildcard SSL nedir diye araştıranların derdi genellikle pratiktir: blog., magaza., destek. gibi adresler çoğaldıkça her biri için ayrı sertifika kurmak, yenilemek ve izlemek ciddi bir yüke dönüşür.

Tek sertifika bu yükü azaltır ama sınırları vardır: yıldız yalnızca bir seviyeyi karşılar, EV doğrulamasıyla verilmez ve aynı özel anahtar her sunucuya kopyalanır. Wildcard seçeneklerini LIONFIN SSL sertifikaları sayfasında bulabilirsiniz; DV, OV ve EV gibi temel kavramlara yabancıysanız önce SSL sertifikası türleri rehberine göz atın.

Wildcard SSL nedir, yıldız işareti nasıl eşleşir?

Wildcard sertifikada yıldız (*), adın en solundaki tek bir etiketin yerini tutar; tarayıcı yalnızca o etiketi yıldızla eşleştirir, adın geri kalanının birebir aynı olmasını ister. Bu yüzden *.ornek.com, www.ornek.com ve panel.ornek.com için geçerlidir ama tek başına ornek.com adını kapsamaz: yıldızın yerine boş bir etiket konamaz.

Eşleşmede bakılan yer sertifikanın Subject Alternative Name (SAN, konu alternatif adı) alanıdır; modern tarayıcılar ortak ad (CN) alanına değil bu listeye bakar. Tipik bir wildcard sertifikanın SAN listesi şöyledir:

X509v3 Subject Alternative Name:
    DNS:*.ornek.com, DNS:ornek.com

İkinci ad, çıplak alan adını kapsamak için eklenir. Çoğu sağlayıcı bunu kendiliğinden yapar; yine de siparişten önce ürün açıklamasında ana alan adının dahil olduğunu doğrulayın. Elinizdeki sertifikanın listesini openssl x509 -in sertifika.crt -noout -text çıktısında bu satırı arayarak görebilirsiniz.

Wildcard sertifika hangi adresleri kapsar?

Kural tek cümledir: yıldız tam olarak bir etiketin yerine geçer. Tablo, *.ornek.com ve ornek.com adlarını taşıyan bir sertifikanın hangi adreslerde geçerli olduğunu gösterir:

Birden çok seviyeyi tek yıldızla kapsamanın yolu yoktur; *.*.ornek.com gibi adlar sertifika otoritelerince düzenlenmez. Test ortamlarını test.ornek.com altında topladıysanız ikinci bir wildcard ya da bazı sağlayıcıların sunduğu, birden çok yıldızlı adı tek sertifikada birleştiren ürünler gerekir. Adres yapısına henüz karar vermediyseniz subdomain mi alt klasör mü karşılaştırması sertifika planını da sadeleştirir.

Wildcard mı, multi-domain (SAN) sertifika mı?

Wildcard tek bir alan adının altındaki sınırsız sayıda alt adı, multi-domain (SAN ya da UCC: Unified Communications Certificate) sertifika ise birbirinden farklı alan adlarını tek belgede toplamak için tasarlanmıştır. Seçimi belirleyen soru, adlarınızın aynı alan adının altında mı yoksa farklı alan adlarında mı olduğudur.

İki ihtiyaç bir aradaysa bazı otoritelerin “multi-domain wildcard” ürünleri *.ornek.com ve *.ornek.com.tr gibi adları aynı sertifikaya yazar. Doğrulamada kullanılan TXT ve CAA kayıtlarının ne işe yaradığı DNS kayıt türleri rehberinde anlatılır.

Wildcard SSL ne zaman mantıklı, ne zaman gereksiz?

Wildcard, alt alan adları çok sayıda olduğunda ya da önceden bilinmediğinde mantıklıdır; iki üç sabit adres için çoğu zaman gereksizdir.

• Mantıklı: Her müşteriye musteri1.uygulama.com biçiminde adres açan SaaS ürünleri, sık sık kampanya sayfası yayınlayan ekipler, tek sunucuda çok sayıda alt alan adıyla çalışan ajans ve geliştirme ortamları.
• Gereksiz: Yalnızca ornek.com ve www.ornek.com kullanan siteler; tek alan adı sertifikası ya da panelin ücretsiz sertifikası yeterlidir.
• Dikkatli değerlendirilmeli: Alt alan adları farklı ekiplerin yönettiği farklı sunuculardaysa tek anahtarı her yere dağıtmak yerine her sunucuya kendi sertifikasını vermek daha güvenlidir.

Paylaşımlı hostingde AutoSSL her alt alan adı için ayrı ücretsiz sertifika üretebildiğinden wildcard ihtiyacı çoğu zaman doğmaz; akış cPanel SSL kurulumu rehberindedir. Wildcard’ın asıl kazancı, yönetimi tek sertifikaya ve tek bitiş tarihine indirmesidir. Bir yan etkisi de vardır: herkese açık Sertifika Şeffaflığı (Certificate Transparency) günlüklerinde bu sertifika için yalnızca *.ornek.com görünür, alt alan adlarınız tek tek listelenmez.

Let’s Encrypt ile ücretsiz wildcard nasıl alınır?

Let’s Encrypt wildcard sertifikayı yalnızca DNS-01 doğrulamasıyla verir: alan adının DNS bölgesine _acme-challenge adlı bir TXT kaydı ekleyerek bölgeyi yönettiğinizi kanıtlarsınız; dosya tabanlı HTTP-01 yöntemi wildcard için kabul edilmez. Bir VPS üzerinde certbot ile elle deneme şöyledir:

sudo certbot certonly --manual --preferred-challenges dns -d ornek.com -d "*.ornek.com"

Certbot aşağıdakine benzer bir kayıt ister. İki ad istediğiniz için aynı ada iki farklı değer verilir; ikinciyi eklerken ilkini silmeyin ve dig TXT _acme-challenge.ornek.com +short iki değeri de gösterdiğinde devam edin:

_acme-challenge.ornek.com.   300   IN   TXT   "CERTBOT_VERDIGI_DEGER"

Elle (--manual) alınan sertifika kendiliğinden yenilenmez; Let’s Encrypt sertifikaları 90 gün geçerli olduğundan kalıcı kurulumda DNS sağlayıcınızın API’siyle çalışan bir certbot DNS eklentisi kullanın. Plesk’te Secure the wildcard domain seçeneği, DNS Plesk’te barınıyorsa kaydı ve yenilemeyi kendisi yönetir; ayrıntılar Plesk SSL kurulumu rehberinde. Alan adınızda CAA kaydı varsa issuewild etiketinin (yoksa issue etiketinin) otoriteye izin vermesi gerekir.

Ücretli wildcard sertifika nasıl alınır ve kurulur?

Ücretli wildcard süreci CSR ile başlar; doğrulamanın ardından aynı sertifika, alt alan adlarını sunan her sunucuya kurulur:

1. Sunucuda yeni bir özel anahtar ve CSR üretin, ortak ad (CN) alanına *.ornek.com yazın. Komutlar ve panel ekranları CSR oluşturma rehberindedir.
2. Doğrulama yöntemini seçin. Wildcard siparişlerinde alan adı denetimi genellikle DNS kaydıyla ya da [email protected] gibi bir adrese giden e-postayla yapılır; dosya yükleyerek doğrulama wildcard için kabul edilmez. OV seçtiyseniz şirket doğrulaması da bu aşamada yürür.
3. Gelen sertifikayı ara sertifika paketiyle (CA bundle) kurun: cPanel’de SSL/TLS → Manage SSL sites, Plesk’te SSL/TLS Certificates, IIS’te Server Certificates ekranı kullanılır.
4. Alt alan adları başka sunuculardaysa sertifikayı, zinciri ve özel anahtarı güvenli bir kanalla taşıyın; IIS için hepsini parola korumalı tek bir .pfx dosyasında toplayabilirsiniz.
5. Bitiş tarihini takvime alın. 15 Mart 2026’dan beri düzenlenen sertifikalar en fazla 200 gün geçerlidir; “bir yıllık” bir abonelik bu yüzden süre içinde en az bir kez yeniden düzenlenir (reissue) ve her seferinde tüm sunuculara yeniden kurulum gerekir.

Tek anahtar, çok sunucu: wildcard’ın güvenlik riski

Wildcard’ın en büyük riski, aynı özel anahtarın birçok sunucuda durmasıdır: anahtar yalnızca birinden sızsa bile saldırgan, trafiğin arasına girebildiği durumlarda alan adınızın herhangi bir alt adını taklit edebilir. Az korunan bir test sunucusu böylece ödeme ya da müşteri paneli adresinizi de tehlikeye atar.

• Ödeme, oturum açma ve yönetim paneli gibi kritik adresler için ayrı sertifika ve ayrı anahtar kullanın.
• Üretim ve test ortamlarına farklı wildcard’lar verin (*.ornek.com ile *.test.ornek.com).
• Anahtar dosyasını kısıtlı izinlerle saklayın (chmod 600); e-posta ya da mesajlaşma uygulamasıyla göndermeyin.
• Anahtarın kopyalandığı sunucuların listesini tutun; biri ele geçirilirse sertifikayı iptal ettirip yeni anahtarla yeniden düzenletin.

Anahtar yönetimini tamamen kendi elinizde tutmak istiyorsanız LIONFIN VPS sunucu üzerinde certbot ya da kendi otomasyonunuzla çalışıp sertifikayı yalnızca ihtiyaç duyan sunuculara dağıtabilirsiniz.