Wildcard SSL Nedir? Alt Alan Adlarını Tek Sertifikayla Korumak

Wildcard SSL, *.alanadi.com biçiminde düzenlenen ve bir alan adının aynı seviyedeki tüm alt alan adlarını tek sertifikayla koruyan SSL sertifikasıdır. magaza.alanadi.com, panel.alanadi.com ve sonradan açacağınız alt alan adları ek sertifika gerekmeden kapsanır. a.b.alanadi.com gibi ikinci seviye alt alan adlarını ise kapsamaz; bu adresler için ayrı bir sertifika gerekir.

DV, OV ve EV sertifikalarının genel karşılaştırması için SSL sertifikası sayfamızdaki tabloya bakabilirsiniz. Bu yazıda wildcard sertifikanın tam olarak neyi kapsadığını, tek alan adı ve çoklu alan adı sertifikasından farkını, ne zaman mantıklı olduğunu ve doğrulama, kurulum ve yenilemede nelere dikkat etmeniz gerektiğini anlatıyoruz.

Wildcard sertifika hangi adresleri kapsar?

Yıldız (*) yalnızca en soldaki tek bir etiketin yerini tutar. Tarayıcıların uyduğu kurallar (RFC 9525) yıldızın bir etiketin tamamı olarak kullanılmasını ve tam olarak bir seviyeyle eşleşmesini öngörür.

Çoğu ticari wildcard üründe çıplak alan adı (alanadi.com) sertifikaya ek ad olarak otomatik eklenir. Satın almadan önce ürün açıklamasında bunu kontrol edin; ücretsiz sertifikalarda iki adı ayrı ayrı istemeniz gerekir.

Wildcard, tek alan adı ve çoklu alan adı (SAN) sertifikası

Üç tür arasındaki fark, sertifikanın hangi adları taşıdığı ve yeni bir ad eklemenin ne gerektirdiğidir.

Bazı sertifika kuruluşları iki yaklaşımı birleştiren, birden fazla wildcard adı taşıyabilen çoklu alan adı sertifikaları da sunar.

Wildcard SSL ne zaman mantıklıdır?

• Üç veya daha fazla alt alan adınız varsa: www, mağaza, destek ve panel gibi adresleri ayrı sertifikalarla yönetmek, her birinin yenileme tarihini takip etmeyi gerektirir.
• Alt alan adlarınız sık değişiyorsa: Müşteri başına alt alan adı açan (musteri.alanadi.com) bir yazılım hizmeti veya geçici test ortamları kuran bir ekip için yeni adresler ek işlem gerektirmeden korunur.
• Alt alan adları aynı ekip tarafından yönetiliyorsa: Sertifika ve anahtarın tek elde olması, aşağıda anlatılan güvenlik riskini azaltır.

Yalnızca alanadi.com ve www.alanadi.com kullanıyorsanız wildcard gereksizdir; tek alan adı sertifikası ya da hosting paketinizdeki ücretsiz SSL yeterlidir.

Güvenlik açısından nelere dikkat edilmeli?

Wildcard sertifikanın kullanıldığı her sunucuda aynı özel anahtar (private key) bulunur. Bu sunuculardan biri ele geçirilirse saldırgan, anahtarla tüm alt alan adlarınızı taklit edebilir. Sertifika iptal edildiğinde de tüm alt alan adları aynı anda etkilenir.

Riski azaltmak için:

• Anahtarı yalnızca gerçekten ihtiyaç duyan sunuculara kopyalayın ve dosya izinlerini kısıtlayın (yalnızca web sunucusu kullanıcısı okuyabilmeli).
• Ödeme sayfası veya yönetim paneli gibi kritik alt alan adları ayrı bir sunucudaysa, bunlar için ayrı sertifika kullanmayı düşünün.
• Farklı ekiplerin ya da dış firmaların yönettiği sunuculara wildcard anahtarını vermeyin.
• Bir sunucudan şüphelendiğinizde sertifikayı yeni bir anahtarla yeniden düzenletin (reissue) ve eski sertifikayı iptal ettirin.

Wildcard sertifika nasıl doğrulanır?

Wildcard sertifikalarda sitenize dosya yükleyerek (HTTP) doğrulama kullanılamaz. Sertifika kuruluşlarının uyduğu CA/Browser Forum kuralları bu yöntemi wildcard adlar için uygun görmez. Doğrulama iki yoldan biriyle yapılır:

• DNS kaydı: Sertifika kuruluşunun verdiği TXT veya CNAME kaydını alan adınızın DNS'ine eklersiniz. En yaygın ve otomasyona en uygun yöntemdir.
• E-posta: admin@ veya hostmaster@ gibi alan adınıza ait yönetici adreslerinden birine gelen onay bağlantısına tıklarsınız.

Başvurudan önce bir özel anahtar ve sertifika imzalama isteği (CSR) oluşturulur. OpenSSL ile:

openssl req -new -newkey rsa:2048 -nodes \
  -keyout alanadi.key -out alanadi.csr \
  -subj "/CN=*.alanadi.com"

Oluşan alanadi.csr dosyasını sertifika kuruluşuna gönderirsiniz; alanadi.key dosyası sunucuda kalır ve kimseyle paylaşılmaz. cPanel ve Plesk gibi paneller CSR'yi kendi ekranlarından da oluşturabilir.

Ücretsiz Let's Encrypt de wildcard sertifika verir, ancak yalnızca DNS doğrulamasıyla (DNS-01). Certbot ile elle bir deneme şöyle yapılır:

sudo certbot certonly --manual --preferred-challenges dns \
  -d "*.alanadi.com" -d alanadi.com

Elle doğrulama otomatik yenilenmez. Sürekli kullanım için DNS sağlayıcınızın API'sini destekleyen bir Certbot eklentisi veya benzeri bir ACME istemcisi kullanılmalıdır.

Geçerlilik süresi ve yenileme

CA/Browser Forum'un 2025'te kabul ettiği kurala göre 15 Mart 2026'dan itibaren düzenlenen SSL sertifikaları en fazla 200 gün geçerlidir. Bu süre 15 Mart 2027'de 100 güne, 15 Mart 2029'da 47 güne inecektir. 1 yıllık veya daha uzun süreli satın alınan bir wildcard sertifika, abonelik boyunca birkaç kez yeniden düzenlenip tüm sunuculara yeniden kurulur.

Süreler kısaldıkça elle kurulum zahmetli hale gelir. Wildcard sertifikayı kaç sunucuda kullandığınızı bir listede tutun ve yenilemeyi mümkünse otomatikleştirin; yenileme sonrasında her sunucuda yeni sertifikanın yüklendiğini kontrol edin.

Kurulum ve kontrol

Sertifika dosyası, ara sertifika zinciri (intermediate) ve özel anahtar, alt alan adlarının bulunduğu her sunucuya kurulur. cPanel'de SSL/TLS bölümünden, Plesk'te alan adının SSL/TLS sertifikaları ekranından, Windows IIS'te ise genellikle anahtar ve sertifikayı birleştiren bir PFX dosyasıyla kurulum yapılır.

Kurulumdan sonra her alt alan adını ayrı ayrı kontrol edin. Komut satırından zinciri ve geçerlilik tarihini görmek için:

openssl s_client -connect magaza.alanadi.com:443 \
  -servername magaza.alanadi.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -enddate

Çıktıdaki subject satırında *.alanadi.com, notAfter satırında yeni bitiş tarihi görünmelidir. Ara sertifika eksikse bazı tarayıcı ve uygulamalar bağlantıyı güvensiz sayar.

Wildcard sertifika almadan önce kontrol listesi

• Alt alan adlarınızı listeleyin: Hepsi aynı seviyede mi (magaza.alanadi.com), yoksa ikinci seviye adlar da var mı (test.magaza.alanadi.com)? İkinci seviye adlar için ayrı bir wildcard (*.magaza.alanadi.com) veya SAN gerekir.
• Çıplak alan adı dahil mi: Ürünün alanadi.com'u da kapsayıp kapsamadığını kontrol edin.
• Doğrulama yöntemini hazırlayın: DNS paneline erişiminiz veya admin@alanadi.com gibi bir yönetici adresiniz olmalı.
• Doğrulama türüne karar verin: Sertifikada şirket adı görünmesi gerekiyorsa OV wildcard; gerekmiyorsa DV wildcard yeterlidir.
• Kurulacak sunucuları sayın: Sertifikanın kaç sunucuya ve panele kurulacağını ve kimlerin anahtara erişeceğini belirleyin.

Sık sorulan sorular

Wildcard SSL ana alan adını (alanadi.com) kapsar mı?

*.alanadi.com kalıbı tek başına çıplak alan adını kapsamaz. Çoğu ticari wildcard üründe alanadi.com sertifikaya ek ad olarak eklenir; ücretsiz sertifikalarda iki adı ayrı ayrı istemeniz gerekir.

EV wildcard sertifika alabilir miyim?

Hayır. CA/Browser Forum'un EV kuralları wildcard adlara izin vermez. EV doğrulaması gerekiyorsa korunacak her alt alan adı çoklu alan adı (SAN) sertifikasına tek tek yazılır.

Ücretsiz wildcard sertifika var mı?

Let's Encrypt wildcard sertifika verir; DNS doğrulaması gerektirdiği için otomatik yenileme, DNS sağlayıcınızın API desteğine bağlıdır. Hosting panellerindeki ücretsiz otomatik sertifikaların wildcard içerip içermediği panele ve sağlayıcıya göre değişir.

Wildcard ile tek alan adı sertifikası arasında şifreleme farkı var mı?

Hayır. Şifreleme gücü sertifikanın kapsamına ya da doğrulama türüne göre değişmez; fark yalnızca sertifikanın hangi adları taşıdığı ve başvuru sahibinin nasıl doğrulandığıdır.

Korumanız gereken alt alan adlarını listeledikten sonra SSL sertifikası sayfasındaki wildcard seçenekleri için teklif isteyebilirsiniz; sayfadaki wildcard sertifikalar alan adı doğrulamalıdır (DV).

Kaynaklar

• CA/Browser Forum: Baseline Requirements for TLS Server Certificates
• CA/Browser Forum: Ballot SC-081v3 — Introduce Schedule of Reducing Validity and Data Reuse Periods
• CA/Browser Forum: EV Guidelines
• RFC 9525: Service Identity in TLS
• Let's Encrypt: Challenge Types
• Let's Encrypt: FAQ