Alesta WEB
Kısa cevap: Let's Encrypt, 10 Şubat 2027'den itibaren verdiği tüm sertifikaların süresini 90 günden 64 güne indiriyor. 64 günlük sertifikalar 14 Ekim 2026'da test (staging) ortamında başlıyor; son 90 günlük sertifikanın 11 Mayıs 2027'de sona ermesi bekleniyor. Alan adı doğrulamasının yeniden kullanım süresi 30 günden 10 güne iniyor. 2028'de varsayılan süre 45 güne, doğrulama yeniden kullanımı 7 saate düşecek. Otomatik yenileme yapan çoğu site için değişiklik sorunsuz; yenileme gününü "bitişe 30 gün kala" gibi sabit yazan betikler ve elle yapılan kurulumlar ise güncellenmeli (Let's Encrypt, 7 Ekim 2026).
Takvim (Timeline)
| Tarih | Değişiklik |
|---|---|
| 14 Ekim 2026 | 64 günlük sertifikalar test (staging) ortamında başlıyor |
| 10 Şubat 2027 | Varsayılan süre tüm aboneler için 64 gün; bu tarihten sonra verilen veya yenilenen her sertifika 64 günlük |
| 11 Mayıs 2027 | Son 90 günlük sertifikanın sona ermesi bekleniyor |
| 2028 | Varsayılan süre 45 gün; doğrulama yeniden kullanım süresi 7 saat |
| 2029 | Azami doğrulama yeniden kullanım süreleri daha da kısalıyor |
Geçerli sertifikalar iptal edilmiyor; değişiklik yalnızca yeni verilen ve yenilenen sertifikaları etkiliyor. İsteyen aboneler daha önce duyurulduğu gibi 45 günlük veya 6 günlük sertifika profillerini şimdiden seçebiliyor. Hız sınırları (rate limits), ACME uç noktaları ve sertifika zincirleri değişmiyor.
Neden kısaltılıyor? (Why shorter lifetimes)
Kısa ömürlü sertifika, özel anahtar sızdığında veya bir sertifika hatalı verildiğinde zararın süresini kısaltıyor. İptal mekanizmaları (CRL, OCSP) pratikte güvenilir çalışmadığı için sektör sorunu "sertifika zaten kısa sürede geçersiz olsun" yaklaşımıyla çözmeye yöneldi. Tarayıcı ve sertifika otoritelerinin oluşturduğu CA/Browser Forum da tüm genel TLS sertifikaları için azami süreyi 2029'a kadar kademeli olarak 47 güne indirme kararı almıştı. Let's Encrypt'in takvimi bu yönelimle uyumlu.
Doğrulama yeniden kullanım süresinin 30 günden 10 güne inmesinin bir sebebi de CAA kayıtlarının yeniden kontrolünü ortadan kaldırmak. Bugün 7 saatten eski doğrulama verisinde CAA kaydı yeniden kontrol ediliyor; süre kısalınca bu ek adıma gerek kalmayacak.
Kimler etkilenir? (Who is affected)
- Etkilenmeyenler: certbot, acme.sh, Caddy veya hosting panellerinin (cPanel AutoSSL, DirectAdmin, CyberPanel) otomatik yenilemesini kullanan ve yenilemeyi istemcinin varsayılan mantığına bırakan siteler.
- Kontrol etmesi gerekenler: Yenileme zamanını sabit gün sayısıyla yazan betikler. Let's Encrypt özellikle 83, 80 veya 60 gibi sayıları cron işlerinde, sarmalayıcı betiklerde ve iş talimatlarında aramayı öneriyor. "Sertifika 60 günlükse yenile" gibi bir mantık 64 günlük sertifikada yenilemeyi neredeyse son güne bırakır.
- Risk altındakiler: Sertifikayı elle alıp yük dengeleyiciye, e-posta sunucusuna veya bir cihaza elle kopyalayanlar. Yenileme sıklığı arttıkça elle yapılan iş hem yorucu hem de unutulmaya açık.
- Gözden kaçanlar: Sertifikayı yenileyen ama servisi yeniden yüklemeyen kurulumlar. Disktaki sertifika yeni, Nginx veya Postfix'in bellekteki sertifikası eski kalır.
Sunucunuzu kontrol etme (How to check)
# Sertifikanın bitiş tarihini dışarıdan görme
echo | openssl s_client -servername ornek.com -connect ornek.com:443 2>/dev/null \
| openssl x509 -noout -dates
# certbot: kayıtlı sertifikalar ve yenileme testi
sudo certbot certificates
sudo certbot renew --dry-run
# Sabit gün sayısı içeren betikleri arama
grep -rnE '\b(83|80|60)\b' /etc/cron* /usr/local/bin 2>/dev/null | grep -i -E 'cert|ssl|acme'Yenilemenin ardından servisin yeniden yüklendiğinden emin olun. certbot'ta bu iş için --deploy-hook "systemctl reload nginx" kullanılabilir. Mail sunucusu, FTP ve veritabanı gibi aynı sertifikayı kullanan diğer servisleri de kancaya ekleyin.
Test ortamı 14 Ekim'de 64 günlük sertifika vermeye başlayacak. Kendi betiğiniz varsa --staging (veya --test-cert) ile deneyerek yenileme mantığının kısa süreye nasıl tepki verdiğini görebilirsiniz.
ARI ve doğru yenileme zamanı (ACME Renewal Info)
Let's Encrypt'in önerisi iki maddeye dayanıyor:
- ARI desteği: ACME Renewal Info, sunucunun istemciye "bu sertifikayı şu aralıkta yenile" demesini sağlıyor. Toplu iptal gibi olağan dışı durumlarda yenilemeyi öne çekmek de bu sayede mümkün. İstemcinizin belgelerinden ARI'yi destekleyip desteklemediğini kontrol edin.
- Ömrün üçte ikisinde yenileme: ARI yoksa yenileme, sabit gün sayısı yerine sertifika ömrünün yaklaşık ⅔'ü dolduğunda yapılmalı. 64 günlük sertifikada bu yaklaşık 42. gün, yani bitişe ~21 gün kala.
Son olarak yenileme hatalarına uyarı kurun. Sertifika süresi kısaldıkça başarısız bir yenilemeyi fark etmek için kalan süre de kısalıyor. Basit bir izleme, sertifika bitişine 14 gün kala e-posta göndermek olabilir.
Alesta WEB'in yönettiği sunucularda SSL yenilemesi panel otomasyonuyla yapılıyor ve servis yeniden yükleme adımı dahil. Yine de 2027 öncesinde tüm sunucularda yenileme kayıtlarını bu yazıdaki adımlarla kontrol edeceğiz. SSL kurulumunun temelleri için SSL sertifikası nasıl kurulur yazımıza bakabilirsiniz.
Sık sorulan sorular
Let's Encrypt sertifika süresi ne zaman 64 gün oluyor?
10 Şubat 2027'den itibaren verilen ve yenilenen tüm sertifikalar 64 günlük olacak. Test ortamında 14 Ekim 2026'da başlıyor.
Mevcut 90 günlük sertifikam iptal edilir mi?
Hayır. Sona erene kadar geçerli kalır, sonraki yenilemede 64 günlük sertifika alırsınız.
Hosting firmam SSL'i otomatik yeniliyor, bir şey yapmam gerekir mi?
Genellikle hayır. Yine de sitenizin sertifika bitiş tarihini ara sıra kontrol etmek ve yenileme hatalarında bildirim alıp almadığınızı sormak faydalı.
Hız sınırları değişiyor mu?
Hayır. Let's Encrypt, 64 günlük geçişin hız sınırlarını etkilemediğini belirtiyor.
2028'de ne değişecek?
Varsayılan süre 45 güne, doğrulama yeniden kullanım süresi 7 saate inecek. Yani 2028'den sonra neredeyse her yenilemede alan adı yeniden doğrulanacak.
Kaynaklar (References)
İlgili yazılar: ERR_SSL_PROTOCOL_ERROR çözümü · Caddy ile otomatik HTTPS · Web hosting · İletişim
Kapak fotoğrafı: Sasun Bughdaryan / Unsplash
