SSL Testi Nasıl Yapılır? Sertifika ve TLS Ayarlarını Denetleyin

SSL testi, bir sitenin sertifikasının geçerli, eksiksiz zincirle kurulmuş ve güncel TLS (Transport Layer Security) ayarlarıyla sunulduğunu doğrulamak için yapılan denetimdir. Tarayıcıdaki kilit simgesi yalnızca o anki bağlantının şifreli olduğunu gösterir; eksik ara sertifika, yaklaşan bitiş tarihi ya da hâlâ açık duran TLS 1.0 gibi sorunlar kilidin arkasında saklı kalabilir.

Yeni bir sertifika kurduktan, sunucu taşıdıktan ya da web sunucusu yapılandırmasını değiştirdikten sonra beş dakikalık bir kontrol, müşterinin göreceği uyarıyı önceden yakalar. Aşağıdaki yöntemler, SSL sertifikası LIONFIN’den ya da başka bir sağlayıcıdan alınmış olsun, aynı şekilde çalışır; testte bir hata çıkarsa çözüm yolları SSL hataları ve çözümleri rehberindedir.

SSL testi neleri kapsar?

Eksiksiz bir SSL testi yedi noktaya bakar; her biri ayrı bir arızanın kaynağı olabilir:

Tarayıcıların bir kısmı eksik ara sertifikayı kendi önbelleğinden tamamladığı için “bende açılıyor” demek testi geçmek anlamına gelmez; mobil uygulamalar, API istemcileri ve bazı Android sürümleri aynı siteyi hatalı görebilir.

Tarayıcıda SSL sertifikası nasıl kontrol edilir?

Tarayıcıda adres çubuğunun solundaki site bilgisi simgesine tıklayıp bağlantı ayrıntılarından sertifika görüntüleyicisini açarak sertifikanın temel bilgilerini görebilirsiniz.

1. Chrome ve Edge: Simgeye tıklayın, Bağlantı güvenli satırını, ardından Sertifika geçerli bağlantısını açın.
2. Firefox: Kilit simgesi → Bağlantı güvenli → Daha fazla bilgi → Sertifikayı göster yolunu izleyin.
3. Genel sekmesinde sertifikanın verildiği ad (Issued To), veren otorite (Issued By) ve geçerlilik aralığını okuyun.
4. Ayrıntılar sekmesinde Subject Alternative Name alanını açıp ziyaret ettiğiniz adın listede olduğunu doğrulayın; zincir görünümünde kök ve ara sertifikaları görün.

Chrome geliştirici araçlarındaki güvenlik paneli (sürüme göre Security ya da Privacy and security), bağlantının hangi protokol, anahtar değişimi ve şifreyle kurulduğunu da gösterir. Tarayıcı kontrolü hızlıdır ama yalnızca sizin tarayıcınızın deneyimini yansıtır; sunucunun neleri desteklediğini görmek için komut satırına geçin.

openssl s_client ile SSL testi nasıl yapılır?

openssl s_client, sunucuyla gerçek bir TLS el sıkışması yapıp sunucunun gönderdiği zinciri ve anlaşılan protokolü olduğu gibi gösterir. -servername parametresi, aynı IP’de birden çok site barındıran sunucularda doğru sertifikanın istenmesi (SNI) için gereklidir:

openssl s_client -connect ornek.com:443 -servername ornek.com < /dev/null

Çıktıda üç yere bakın: Certificate chain altında en az iki kayıt (0 sizin sertifikanız, 1 ara sertifika), sonda Verify return code: 0 (ok) ve New, TLSv1.3, Cipher is ... satırı. Bitiş tarihi, verildiği ad ve ek adlar için çıktıyı x509 komutuna aktarın:

openssl s_client -connect ornek.com:443 -servername ornek.com < /dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates -ext subjectAltName

Eski protokollerin kapalı olduğunu denemek için sürümü zorlayın; -tls1_2 bağlanmalı, -tls1_1 el sıkışma hatası vermelidir:

openssl s_client -connect ornek.com:443 -servername ornek.com -tls1_1 < /dev/null

Güncel OpenSSL derlemeleri TLS 1.1’i istemci tarafında da kapatmış olabileceği için bu denemedeki hata her zaman sunucudan kaynaklanmaz; sonucu bir çevrimiçi tarayıcıyla teyit edin. -status eklediğinizde OCSP Response Status: successful görürseniz OCSP stapling çalışıyordur.

curl -vI ile neye bakılır?

curl -vI, sertifika doğrulamasının sonucunu ve sunucunun döndürdüğü HTTP başlıklarını tek seferde gösterir; özellikle yönlendirmeleri ve HSTS başlığını kontrol etmek için pratiktir:

curl -vI https://ornek.com/

Çıktının TLS bölümünde SSL connection using TLSv1.3 satırı protokolü, Server certificate bloğu ise subject, expire date, subjectAltName: host "ornek.com" matched ve SSL certificate verify ok bilgilerini verir. Doğrulama başarısızsa curl bağlantıyı keser ve nedenini yazar; bu mesaj, hata kodunu çözmenin en kısa yoludur.

HSTS başlığını ve HTTP’den HTTPS’e yönlendirmeyi ayrıca denetleyin:

curl -sI https://ornek.com/ | grep -i strict-transport-security
curl -sI http://ornek.com/ | grep -i -E "^HTTP|^location"

İkinci komut 301 ve https:// ile başlayan bir Location döndürmelidir; döndürmüyorsa HTTP’den HTTPS’e yönlendirme ayarını tamamlayın. Sayfa HTTPS’te açıldığı hâlde kilit uyarı veriyorsa sorun sertifikada değil, sayfadaki karışık içeriktedir.

Çevrimiçi SSL test araçları ne gösterir?

Çevrimiçi tarayıcılar sunucunuza farklı istemcilerle bağlanmayı deneyip protokol, şifre takımı ve zincir sonuçlarını tek bir raporda toplar. En bilinen örnek olan Qualys SSL Labs SSL Server Test, sonucu A+ ile F arasında bir notla özetler ve şu bölümleri içerir:

• Certificate: Ek adlar, anahtar türü ve uzunluğu, zincirin eksik ya da fazla sertifika içerip içermediği (Chain issues).
• Configuration: Açık protokoller ve her protokolde sunulan şifre takımları.
• Handshake Simulation: Farklı tarayıcı, işletim sistemi ve kütüphane sürümlerinin bağlanıp bağlanamadığı.
• Protocol Details: HSTS, OCSP stapling, ileri gizlilik ve bilinen protokol açıklarına karşı durum.

Test herkese açık bir siteyi tarar ve bir iki dakika sürer; sonuçların herkese açık listede görünmesini istemiyorsanız formdaki gizleme seçeneğini işaretleyin. İnternete açık olmayan iç sunucular için açık kaynak komut satırı aracı testssl.sh benzer bir denetimi kendi ağınızdan yapar. Sertifika sağlayıcılarının sunduğu basit “sertifika denetleyicileri” ise çoğunlukla yalnızca zincir ve tarih kontrolü yapar.

SSL testi sonuçları nasıl yorumlanır ve düzeltilir?

Test sonucunda çıkan bulguların çoğu birkaç yapılandırma satırıyla düzelir; önemli olan önceliği doğru vermektir:

1. Zincir eksikse: Sertifikayı ara sertifika paketiyle (CA bundle ya da fullchain.pem) yeniden kurun. Bu, notu en çok düşüren ve gerçek kullanıcılara hata gösteren sorundur.
2. Bitiş yakınsa: Otomatik yenilemeyi kontrol edin. 15 Mart 2026’dan beri yeni sertifikalar en fazla 200 gün geçerli olduğundan elle yenilenen sertifikalar daha sık takip ister; adımlar SSL yenileme rehberinde.
3. Eski protokoller açıksa: TLS 1.0 ve 1.1’i kapatın, 1.2 ve 1.3’ü açık bırakın.
4. Zayıf şifreler listeleniyorsa: RC4, 3DES ve ileri gizlilik sağlamayan RSA anahtar değişimli takımları çıkarın.
5. HSTS yoksa: Önce kısa bir max-age ile deneyin, tüm alt alan adları HTTPS’e hazırsa süreyi uzatın.

ssl_protocols TLSv1.2 TLSv1.3;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Örnek Nginx içindir; Apache’de karşılığı SSLProtocol -all +TLSv1.2 +TLSv1.3 satırıdır. OCSP konusunda bir not: Let’s Encrypt 2025’te OCSP hizmetini sonlandırdı, bu yüzden Let’s Encrypt sertifikalı sitelerde stapling yanıtı olmaması bir hata değildir. Paylaşımlı hostingde protokol ayarı sunucu düzeyinde yönetilir; sonuç beklediğiniz gibi değilse raporu destek talebine ekleyin. Kendi sunucunuzda tam kontrol isterseniz VPS sunucu üzerinde bu satırları doğrudan yönetebilirsiniz.