İçeriğe atla
Noroxi

SSL sorgulama: sertifika ve TLS kontrolü

SSL/TLS kontrolü

Sertifikanızın geçerliliğini ve zincirini, açık TLS sürümlerini ve zayıf şifre setlerinin kabul edilip edilmediğini kontrol eder; eski ya da zayıf ayarları düzeltme adımlarıyla listeler.

Örnek sonuçlar:

Tarama nasıl çalışır, kaç hakkım var?

Yazdığınız alan adı gerçekten taranır: yalnızca herkese açık bilgi okunur (HTTP başlıkları, sayfa ve yüklediği betikler, TLS el sıkışması, DNS, sertifika kayıtları). Sonuç kaydedilir (aynı alan adı 10 dakika içinde yeniden taranmaz); hesapsız günde 3, ücretsiz üyeye saatte 10 tarama.

Bu test ne yapar?

SSL/TLS kontrolü, sitenizin HTTPS bağlantısını bir tarayıcının göreceği gibi denetler: sertifika geçerli mi ve ne zaman doluyor, zincir eksiksiz mi, alan adıyla eşleşiyor mu, eski TLS 1.0/1.1 ya da zayıf şifreler hâlâ kabul ediliyor mu. Yalnızca TLS el sıkışması ve tek bir başlık isteğiyle çalışır.

Kaynaklar ve yöntem

TLS el sıkışmalarıyla sertifikayı ve protokolleri okur; HTTP→HTTPS yönlendirmesi için ana sayfaya tek bir başlık isteği gönderir. Form doldurmaz, yük oluşturmaz.

Neyi kontrol eder, nasıl düzeltilir

Testin baktığı her madde, neden önemli olduğu ve eksikse ne yapmanız gerektiği. Sonuç ekranında yalnızca sizin sitenizde eksik olanlar çıkar.

Sertifika geçerlilik süresi

Süresi dolan sertifika siteyi tüm ziyaretçiler için tarayıcı uyarısının arkasına iter. En sık yaşanan ve en kolay önlenen kesinti budur.

Nasıl düzeltilir

Otomatik yenileme kurun ve bitişe 21 gün kala uyarı alacak bir izleme ekleyin.

certbotbash
$ sudo certbot renew --dry-run

Sertifika zinciri

Ara sertifika eksikse masaüstü tarayıcılar çoğu zaman tamamlar, ama mobil uygulamalar, API istemcileri ve bazı Android sürümleri bağlantıyı reddeder.

Nasıl düzeltilir

Sunucuda yalnızca site sertifikasını değil, ara sertifikayı da içeren tam zinciri gösterin.

nginx
ssl_certificate     /etc/ssl/fullchain.pem;ssl_certificate_key /etc/ssl/privkey.pem;

Ad eşleşmesi

Sertifikadaki adlar alan adınızla eşleşmezse tarayıcı bağlantıyı güvensiz sayar.

Nasıl düzeltilir

Sertifikaya hem çıplak alan adını hem www’yu ekleyin.

Eski protokoller (TLS 1.0 / 1.1)

TLS 1.0 ve 1.1’in bilinen zayıflıkları var ve 2020’den beri tüm büyük tarayıcılarda kapalı. Açık bırakmak yalnızca eski ve güvensiz istemcilere kapı açar.

Nasıl düzeltilir

Yalnızca TLS 1.2 ve 1.3’ü açık bırakın.

nginx
ssl_protocols TLSv1.2 TLSv1.3;

TLS 1.3 desteği

Daha hızlı el sıkışma ve yalnızca güçlü şifre setleri. Açmak için genellikle tek satır yeterlidir.

Nasıl düzeltilir

OpenSSL 1.1.1 ve üstüyle ssl_protocols satırına TLSv1.3 ekleyin.

Zayıf şifre setleri

3DES ve ileri gizlilik sağlamayan RSA anahtar değişimi, trafiğin ileride çözülebilmesine ya da zayıflatılmasına yol açar.

Nasıl düzeltilir

Yalnızca ECDHE tabanlı, AEAD şifre setlerine izin verin.

nginx
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;ssl_prefer_server_ciphers off;

HTTP’den HTTPS’e yönlendirme

HTTP sürümü içerik sunuyorsa kullanıcı şifresiz sayfada oturum açabilir, bağlantı değiştirilebilir.

Nasıl düzeltilir

80 numaralı porttaki her isteği 301 ile HTTPS’e yönlendirin.

nginx
server {  listen 80;  return 301 https://$host$request_uri;}

OCSP stapling

Tarayıcının sertifika iptal durumunu ayrıca sormasına gerek kalmaz; bağlantı hızlanır ve ziyaretçi bilgisi sertifika sağlayıcıya gitmez.

Nasıl düzeltilir

Sunucuda stapling’i açın.

nginx
ssl_stapling on;ssl_stapling_verify on;

CAA kaydı

Alan adınız için hangi sertifika sağlayıcılarının sertifika üretebileceğini DNS’te sınırlar; yetkisiz sertifika çıkarılmasını zorlaştırır.

Nasıl düzeltilir

Kullandığınız sağlayıcıyı DNS’e CAA kaydı olarak ekleyin.

dns
alanadiniz.com.  IN  CAA  0 issue "letsencrypt.org"

Hızlı sorgular

Tek soruya tek cevap: SPF kaydım doğru mu, site çöktü mü, sertifikam ne zaman doluyor? Günlük tarama hakkınızdan düşmez, hesap gerekmez.

Sık sorulan sorular

SSL sertifikamın ne zaman dolacağını nasıl öğrenirim?
Alan adınızı yazın; sonuçta sertifikanın bitiş tarihi ve kalan gün sayısı görünür. Sürekli takip için ücretsiz hesapla site izlemesi açarsanız sertifika bitmeden önce e-posta alırsınız.
TLS 1.0 ve 1.1 kapatılmalı mı?
Evet. Güncel tarayıcıların hiçbiri bu sürümleri kullanmıyor; açık kalmaları yalnızca bilinen zayıflıklara kapı bırakır. Sunucuda yalnızca TLS 1.2 ve 1.3'ü açık bırakın.
Ücretsiz mi, hesap gerekiyor mu?
Evet, ücretsiz ve hesap gerekmez: hesapsız günde 3 tarama hakkı var (tüm ücretsiz araçlar ve karne ortak). Ücretsiz hesapla saatte 10, günde en çok 30 tarama yapabilir, sonuçlarınızı ve geçmişinizi saklayabilirsiniz.
Sitemde çalıştırmak güvenli mi?
Hafif tarama yalnızca herkese açık bilgiyi okur (DNS, TLS el sıkışması, HTTP yanıtı, sertifika kayıtları); form doldurmaz, parola denemez, açık sömürmez. Her aracın tam olarak neyi okuduğu "Kaynaklar ve yöntem" bölümünde yazar.

Birincil kaynaklar

Diğer testler

  • E-posta güvenliği

    Adınıza sahte e-posta gönderilip gönderilemeyeceğini SPF, DKIM ve DMARC kayıtlarınızdan okur.

  • Güvenlik başlıkları testi

    Sitenizin tarayıcıya gönderdiği güvenlik ayarlarını (HSTS, CSP, çerezler) puanlar ve eksikleri gösterir.

  • DNS ve alan adı güvenliği

    Alan adınızın bitiş tarihine, transfer kilidine ve DNS kayıtlarının korunmasına (DNSSEC, CAA) bakar.

  • Çerez ve KVKK onayı

    Ziyaretçi izin vermeden önce Google Analytics, Meta Pixel gibi izleyicilerin yüklenip yüklenmediğini gösterir.

  • JavaScript kütüphane açıkları

    Sitenizdeki jQuery, Bootstrap gibi kütüphanelerin sürümünde bilinen açık olup olmadığını ve güvenli sürümü söyler.

  • Alt alan adı keşfi

    Alt alan adlarınızı bulur; unutulmuş ve başkasının ele geçirebileceği kayıtları işaretler.

  • Saldırı yüzeyi keşfi

    Bir saldırganın herkese açık kaynaklardan sizin hakkınızda öğrenebildiklerini toplar: alt alan adları, yazılımlar, DNS.

Diğer ücretsiz taramalar

  • WP Lens: WordPress taraması

    WordPress çekirdeğinin, eklentilerin ve temaların sürümlerini bilinen açıklarla eşleştirir.

  • Port taraması

    Sunucunuzda dışarıya açık portları ve servis sürümlerini bulur, bilinen açıklarla eşleştirir. Onayınızla çalışır.

  • Bağımlılık taraması (SBOM)

    package-lock, yarn.lock ya da SBOM dosyanızdaki bağımlılıkları bilinen açıklarla eşleştirir.

  • Banner'dan CVE bulma

    Bir servisin sürüm satırını yapıştırın, o sürümün bilinen açıklarını görün. Tarama yapmaz.