testssl.sh ile HTTPS Kontrolü Günlük olarak kullandığınız b

Günlük olarak kullandığınız bir web sitesinin TLS/HTTPS konfigürasyonunun güvenliğini hızla ve güvenilir biçimde değerlendirmek için testssl.sh aracı oldukça kullanışlıdır. Aşağıda adım adım nasıl kullanılacağını, hangi sonuçları dikkatle okumanız gerektiğini ve pratik ipuçlarını bulacaksınız.

• TLS konfigürasyonunu otomatik olarak tarar: protokol sürümü (TLS 1.2, 1.3), şifreleme algoritmaları, sertifika zinciri ve sertifika yenileme durumları.
• Zayıf noktaları hızlı tespit eder: zayıf şifreleme algoritmaları, eski protokol sürümleri, eksik sertifika zinciri, sertifika süre sonu hataları.
• Sunucu yanıtını bozmadan güvenliğin genel bir tablosunu çıkarır; manuel kontrolde unutulabilecek küçük ayrıntılar bile raporda görülür.

• Çalışması için OpenSSL ve curl gibi bağımlılıkların kurulu olduğundan emin olun.
• testssl.sh’yi kendi GitHub reposundan klonlayın ve çalıştırma iznini verin.
• Temel komut örneği:

1./testssl.sh https://ornek.site

• Eğer özel bir port varsa:

1./testssl.sh example.com:443

• Sunucunun DNS adını veya IP’sini kullanmayı tercih edin; bazı düzeltmeler için hosts dosyasında kısa bir test yapabilirsiniz.

• Protokol sürümü ve seçici destekler: TLS 1.2/1.3 destekleniyorsa iyi; TLS 1.0/1.1, veya DST Root CA sertifikası zincirindeki sorunlar kritik olabilir.
• Şifreleme algoritmaları: ECDHE veya DHE tabanlı seçiciler güvenli kabul edilir; RC4, 3DES gibi eski/tehlikeli seçeneklerin kapalı olduğundan emin olun.
• Sertifika zinciri ve geçerlilik: sertifikanın geçerlilik süresi, kök sertifikasının uygunluğu ve ara sertifikaların sunucuda doğru sağlandığı kontrol edilir.
• Ek güvenlik notları: stapled OCSP, SCT uzantıları gibi modern güvenlik uygulamalarının varlığına bakılır.

• TestleriProduction gibi canlı bir sunucuya zarar vermeden çalıştırın; bazı durumlarda tarama yoğunluğu bağlantı sınırlamalarına yol açabilir.
• İç ağa sahip siteler için NAT/Firewall kurallarını geçici olarak açmanız gerekebilir; bunu güvenlik politikalarına uygun şekilde yönetin.
• Sonuçlarda “A-” veya “B” gibi derecelendirmeler olabilir; bunlar genelde mevcut konumun net yorumu için gösterilir ve sonraki adımlar için kullanıcıya özel öneriler içerir.
• Rapor çıktısını kaydedip paylaşırken güvenlik sınırlarını bozabilecek özel anahtar veya sertifika bilgilerinin sızmadığından emin olun.

• Yeni bir TLS konfigürasyonu yayınlandıktan sonra hızlı güvenlik taraması yapmak.
• Sertifika değişimi sonrasında zincirin doğruluğunu kontrol etmek.
• İç ağdaki hizmetlerin eski TLS sürümlerini kullanmadığını doğrulamak için periyodik tarama oluşturmak.