ACME.SH ile Sertifika Otomasyonu: Adım Adım Pratik Rehber

Günümüzde sitelerin güvenliğini sağlamak için TLS sertifikalarını otomatik olarak yenileyen ve kuran çözümler büyük kolaylık sağlar. acme.sh, Let’s Encrypt başta olmak üzere birçok ACME sağlayıcısı ile uyumlu, tamamen bash tabanlı ve hafif bir çözümdür. Bu yazıda, acme.sh ile sertifika edinimi, yenileme ve yenileme sonrası kurulum süreçlerini, ortak problmleri ve güvenlik ipuçlarını adım adım ele alacağım.

• Kurulum ve temel yapı: acme.sh kurulumunu sistemi boştan olmayan bir şekilde yapmak için önce gerekli bağımlılıkları kontrol edin (bash, curl, socat/openssl). İkincil olarak kurulum için https://raw.githubusercontent.com/acmesh-official/… komutunu kullanabilir, ya da resmi paket yöneticileriyle kurulumu gerçekleştirebilirsiniz. Kurulum sonrasında kendi kullanıcı alanınızda veya kök dizinde çalışacak şekilde konfigüre edin ve ACME sağlayıcısını seçin. Örneğin Let’s Encrypt için -d parametresi ile domain eklemek veya otomatik olarak alan adlarını taramak mümkündür.
• Sertifika edinimi: DNS-01 veya HTTP-01 doğrulama yöntemlerinden birini seçin. DNS-01, alan adınızın temel DNS yönetimine erişim gerektirir ancak çapraz alan adları için güçlü bir çözümdür. HTTP-01 ise basit sunucu kurulumuyla çalışır; inşa sürelerini kısaltır ve genelde test ortamlarında kolaydır. Örneğin acme.sh --issue -d example.com -d www.example.com --domain-alias ya da --dns dns_provider kullanarak doğrulama adımlarını gerçekleştirirsiniz.
• Yenileme ve otomasyon: Sertifikalar 90 gün geçerli olur, bu yüzden 60–75 gün aralığında otomatik yenileme planı kurmak akıllıdır. crontab üzerinde düzenli olarak acme.sh --cron veya acme.sh --renew-all ile yenileme tetiklenebilir. Yenileme sonrası yeniden kurulum adımlarını otomatikleştirmek için --install-cert ile hedef web sunucusuna (nginx, apache) sertifikaları konumlandırın ve reload komutunu (systemctl reload nginx/httpd) ekleyin.
• Sunucuya kurulum ve konfigürasyon: Sertifikalar genelde /usr/local/etc/ssl veya /etc/ssl altında depolanır. Web sunucusu konfigürasyonunda sertifika yolunu güncellemeli ve gerektiğinde yeniden yüklemelisiniz. Örneğin nginx için:
  
  CODE Copier

  123
  ssl_certificate /etc/ssl/acme.sh/example.com/fullchain.cer;
  ssl_certificate_key /etc/ssl/acme.sh/example.com/privkey.pem;
  

  
  Bu adım yenileme sonrası otomatik olarak güncellensin diye bir reload/tetikleyici ile entegre edilmelidir.
• Güvenlik ve yönetim ipuçları: ACME hesap anahtarını güvenli bir yerde saklayın, yetkisiz erişimi engelleyin. DNS-01 kullanıyorsanız API anahtarlarını sınırlı yetkimli hesaplar üzerinden yönetin ve IP kilitleme/retire mekanizmalarını düşünün. Otomasyonda hata ayıklama için --log seviyesini yükseltin ve günlükleri merkezi bir log deposuna yönlendirin.
• İleri senaryolar: Wildcard sertifikalar için DNS-01 zorunludur; bu durumda DNS sağlayıcınızın API entegrasyonunu akıllıca yapılandırın. Çoklu domain ve alt alanlar için tek bir kurulumla yönetilebilir yapı kurun; ana sertifikayı tüm alt alanlarda kullanabilir ve gerektiğinde alt alanlar için yeniden doğrulama aşamasını optimize edebilirsiniz.

Özet: acme.sh, esnek doğrulama seçenekleri ve hafif yapısıyla sertifika otomasyonunu pratik hâle getirir. Doğrulama yöntemi, hosting altyapınız ve güvenlik politikalarınızla uyumlu olarak seçilmelidir; yenileme için güvenilir bir zamanlama mekanizması kurmak ise operasyonel istikrar sağlar.