Ubuntu'da Let’s Encrypt ile Nginx Nasıl Güvence Altına Alınır

Giriş

Let’s Encrypt, ücretsiz TLS/SSL sertifikaları almayı ve kurmayı sağlayan bir Sertifika Otoritesi (CA) olup, böylece web sunucularında şifreli HTTPS kullanımını mümkün kılar. Süreci basitleştirmek için, gerekli adımların çoğunu (veya tümünü) otomatikleştirmeyi amaçlayan Certbot adlı bir yazılım istemcisi sunar. Şu anda, bir sertifika alma ve kurma sürecinin tamamı hem Apache hem de Nginx üzerinde tamamen otomatikleştirilmiştir.

Bu eğitimde, Ubuntu üzerinde Nginx için ücretsiz bir SSL sertifikası almak ve sertifikanızın otomatik olarak yenilenmesini sağlamak için Certbot kullanacaksınız.

Ana Noktalar

• Certbot’un Nginx eklentisini kullanarak birkaç dakika içinde ücretsiz Let’s Encrypt sertifikaları alın ve yükleyin.
• Ubuntu 22.04 (Jammy), 24.04 (Noble) ve 25.04 (Lunar) üzerinde çalışır.
• Otomatik yenilemeyi etkinleştirin; sertifikalar 90 gün geçerlidir ve otomatik olarak yenilenir.
• HTTPS'i HSTS ve modern şifreleme paketleriyle güçlendirin; SSL Labs ile doğrulayın.
• DNS A kayıtlarının ve 80/443 portlarının erişilebilir olduğundan emin olun; doğrulama hatalarının çoğu ağ veya DNS ile ilgilidir.

Önkoşullar

Bu eğitimi takip etmek için ihtiyacınız olacak:

• Bu başlangıç Ubuntu sunucu kurulum kılavuzunu takip ederek ayarlanmış bir Ubuntu sunucusu, sudo yetkisine sahip bir root olmayan kullanıcı ve bir güvenlik duvarı dahil.

• Kayıtlı bir alan adı. Bu eğitim boyunca example.com kullanılacaktır. Bir alan adını Namecheap'ten satın alabilir veya Google Domains ya da tercih ettiğiniz alan adı kayıt kuruluşunu kullanabilirsiniz.

• Aşağıdaki her iki DNS kaydı da sunucunuz için ayarlanmıştır. Eğer Linux-Console.net kullanıyorsanız, bunları nasıl ekleyeceğinizle ilgili detaylar için DNS belgelerimize bakınız.

  • Sunucunuzun genel IP adresine işaret eden example.com ile bir A kaydı.
  • Sunucunuzun genel IP adresine işaret eden www.example.com ile bir A kaydı.

• Nginx, Ubuntu üzerine Nginx Kurulumu Nasıl Yapılır izlenerek kuruldu. Alan adınız için bir sunucu bloğunuz olduğundan emin olun. Bu eğitimde örnek olarak /etc/nginx/sites-available/example.com kullanılacaktır.

Adım 1 — Certbot'u Yükleme

Certbot, kurulumu için snap paketlerini kullanmayı önerir. Snap paketleri neredeyse tüm Linux dağıtımlarında çalışır, ancak snap paketlerini yönetmek için önce snapd paketinin kurulmuş olması gerekir. Ubuntu, snap desteği ile birlikte gelir (22.04, 24.04, 25.04). İlk olarak snapd paketinin güncel olduğundan emin olun:

sudo snap install core; sudo snap refresh core

Daha önce sunucuda eski bir certbot sürümü yüklüyse, ilerlemeden önce onu kaldırmalısınız:

sudo apt remove certbot

Bundan sonra, certbot paketini kurabilirsiniz:

sudo snap install --classic certbot

Son olarak, certbot komutunu snap kurulum dizininden yolunuza bağlayabilirsiniz, böylece sadece certbot yazarak çalıştırabilirsiniz. Bu tüm sistemler için gerekli olmasa da, snap paketleri varsayılan olarak genellikle daha az müdahaleci olduğu için, diğer sistem paketleriyle kazara çakışmazlar:

sudo ln -s /snap/bin/certbot /usr/bin/certbot

Alternatif (APT): Bazı snapd olmayan ortamlarda, Ubuntu depolarından kurulum yapabilirsiniz:

sudo apt update

sudo apt install -y certbot python3-certbot-nginx

Snap dağıtımı, en son özellikler ve zamanında güncellemeler için Certbot ekibinin önerdiği kurulum yöntemi olmaya devam etmektedir.

Artık Certbot'u yüklediğimize göre, sertifikamızı almak için çalıştıralım.

Adım 2 — Nginx’in Yapılandırmasını Onaylama

Certbot, SSL'i otomatik olarak yapılandırabilmesi için Nginx yapılandırmanızda doğru server bloğunu bulabilmelidir. Özellikle, bunu, bir sertifika talep ettiğiniz alan adıyla eşleşen bir server_name yönergesini arayarak yapar.

Eğer Nginx kurulum kılavuzundaki sunucu bloklarını ayarlama adımını takip ettiyseniz, domaininiz için /etc/nginx/sites-available/example.com yolunda ve server_name direktifinin uygun şekilde ayarlanmış olduğu bir sunucu bloğunuz olmalı.

Kontrol etmek için, alan adınızın yapılandırma dosyasını nano veya favori metin düzenleyicinizle açın:

sudo nano /etc/nginx/sites-available/example.com

Mevcut server_name satırını bulun. Şöyle görünmelidir:

...
server_name example.com www.example.com;
...

Eğer öyleyse, editörünüzden çıkın ve bir sonraki adıma geçin.

Eğer uyumlu değilse, uyacak şekilde güncelleyin. Ardından dosyayı kaydedin, editörünüzden çıkın ve yapılandırma düzenlemelerinizin sözdizimini doğrulayın:

sudo nginx -t

Bir hata alırsanız, sunucu bloğu dosyasını yeniden açın ve yazım hatası veya eksik karakter olup olmadığını kontrol edin. Yapılandırma dosyanızın sözdizimi doğru olduğunda, yeni yapılandırmayı yüklemek için Nginx'i yeniden yükleyin:

sudo systemctl reload nginx

Certbot artık doğru server bloğunu bulabilir ve onu otomatik olarak güncelleyebilir.

Şimdi, HTTPS trafiğine izin vermek için güvenlik duvarını güncelleyelim.

Adım 3 — HTTPS’in Güvenlik Duvarından Geçmesine İzin Verme

Ön koşul rehberlerinde tavsiye edildiği gibi ufw güvenlik duvarını etkinleştirdiyseniz, HTTPS trafiğine izin vermek için ayarları düzenlemeniz gerekecek. Neyse ki, Nginx kurulum sırasında ufw ile birkaç profil kaydeder.

Mevcut ayarı görmek için şunu yazabilirsiniz:

sudo ufw status

Muhtemelen şöyle görünecek, bu da yalnızca web sunucusuna HTTP trafiğinin izin verildiği anlamına geliyor:

Status: active

To                         Action      From
--                         ------      ----
OpenSSH                    ALLOW       Anywhere                  
Nginx HTTP                 ALLOW       Anywhere                  
OpenSSH (v6)               ALLOW       Anywhere (v6)             
Nginx HTTP (v6)            ALLOW       Anywhere (v6)

HTTPS trafiğini de kabul etmek için, Nginx Full profilini etkinleştirin ve gereksiz Nginx HTTP profil izinlerini silin:

sudo ufw allow 'Nginx Full'

sudo ufw delete allow 'Nginx HTTP'

Durumunuz artık şu şekilde görünmelidir:

sudo ufw status

Status: active

To                         Action      From
--                         ------      ----
OpenSSH                    ALLOW       Anywhere
Nginx Full                 ALLOW       Anywhere
OpenSSH (v6)               ALLOW       Anywhere (v6)
Nginx Full (v6)            ALLOW       Anywhere (v6)

Şimdi, Certbot'u çalıştıralım ve sertifikalarımızı alalım.

Adım 4 — SSL Sertifikası Almak

Certbot, eklentiler aracılığıyla SSL sertifikaları almanın çeşitli yollarını sunar. Nginx eklentisi, gerekli olduğunda Nginx'i yeniden yapılandırmaktan ve konfigürasyonu yeniden yüklemekten sorumludur. Bu eklentiyi kullanmak için şu komutu yazın:

sudo certbot --nginx -d example.com -d www.example.com

Bu, certbot'u --nginx eklentisi ile çalıştırır ve sertifikanın geçerli olmasını istediğimiz alan adlarını belirtmek için -d kullanır.

Komutu çalıştırdığınızda, sizden bir e-posta adresi girmeniz ve hizmet şartlarını kabul etmeniz istenecektir. Bunu yaptıktan sonra, işlemin başarılı olduğunu ve sertifikalarınızın nerede depolandığını belirten bir mesaj görmelisiniz:

IMPORTANT NOTES:
Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/your_domain/fullchain.pem
Key is saved at: /etc/letsencrypt/live/your_domain/privkey.pem
This certificate expires on 2022-06-01.
These files will be updated when the certificate renews.
Certbot has set up a scheduled task to automatically renew this certificate in the background.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
If you like Certbot, please consider supporting our work by:
* Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
* Donating to EFF: https://eff.org/donate-le

Sertifikalarınız indirildi, kuruldu ve yüklendi ve Nginx yapılandırmanız artık tüm web isteklerini otomatik olarak https:// adresine yönlendirecek. Web sitenizi yeniden yüklemeyi deneyin ve tarayıcınızın güvenlik göstergesine dikkat edin. Bu, sitenin düzgün bir şekilde güvence altına alındığını gösterecektir, genellikle bir kilit simgesiyle. Sunucunuzu SSL Labs Server Test ile test ederseniz, A notu alacaktır.

Yenileme sürecini test ederek bitirelim.

Adım 5 — Certbot Otomatik Yenilemeyi Doğrulama

Let’s Encrypt’in sertifikaları sadece doksan gün geçerlidir. Bu, kullanıcıları sertifika yenileme işlemlerini otomatikleştirmeye teşvik etmek içindir. Kurduğumuz certbot paketi, bununla ilgilenir; sistemimize günde iki kez çalışacak ve süresi dolmak üzere olan sertifikaları otomatik olarak yenileyecek bir systemd zamanlayıcısı ekler.

Zamanlayıcının durumunu systemctl ile sorgulayabilirsiniz:

sudo systemctl status snap.certbot.renew.service

○ snap.certbot.renew.service - Service for snap application certbot.renew
     Loaded: loaded (/etc/systemd/system/snap.certbot.renew.service; static)
     Active: inactive (dead)
TriggeredBy: ● snap.certbot.renew.timer

Yenileme sürecini test etmek için certbot ile deneme çalıştırması yapabilirsiniz:

sudo certbot renew --dry-run

Herhangi bir hata görmüyorsanız, her şey hazır demektir. Gerekli olduğunda, Certbot sertifikalarınızı yeniler ve değişiklikleri almak için Nginx'i yeniden yükler. Otomatik yenileme işlemi herhangi bir nedenle başarısız olursa, Let’s Encrypt belirttiğiniz e-posta adresine bir mesaj gönderir ve sertifikanızın süresi dolmak üzereyken sizi uyarır.

Hook kullanmayı tercih ediyorsanız, yalnızca bir sertifika yenilendiğinde Nginx'i yeniden yüklemek için bir post-hook ekleyebilirsiniz:

sudo certbot renew --dry-run --post-hook "systemctl reload nginx"

APT paketlerini kullanan sistemlerde, yenilemeler bir cron işi tarafından yönetilebilir; snap ile, bir systemd zamanlayıcısı (snap.certbot.renew.timer) günde iki kez çalışır.

HTTPS En İyi Uygulamalarını Yapılandırma (HSTS, Şifreler, Yönlendirmeler)

TLS yapılandırmanızı güçlendirerek düşürme ve karışık içerik risklerini azaltın.

• Desteklenen tarayıcılarda HTTPS zorlamak için HSTS'yi etkinleştirin:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

• Modern TLS protokollerini ve şifreleme yöntemlerini tercih edin (risk profilinize göre ayarlayın):

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';

• HTTP'yi HTTPS'ye yönlendir (Certbot bunu otomatik olarak ekleyebilir):

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

• Yapılandırmanızı sektör araçlarıyla doğrulayın:

  • Mozilla SSL Yapılandırma Üreticisi (https://ssl-config.mozilla.org)
  • SSL Labs Sunucu Testi (https://www.ssllabs.com/ssltest/)

Not: HSTS ilk etkinleştirme sırasında dikkatli olun. Eğer preload ayarlarsanız, tüm alt alan adları için kararlı bir HTTPS kurulumu doğrulamadan alan adınızı göndermeyin.

Yaygın Sorunlar ve Çözümler

• ACME HTTP-01 doğrulaması başarısız oldu: 80 numaralı porta internetten erişilebildiğinden ve bir güvenlik duvarı veya üst katman yük dengeleyici tarafından engellenmediğinden emin olun.
• DNS uyumsuzluğu: example.com ve www.example.com için A/AAAA kayıtlarının doğru genel IP adresine işaret ettiğini doğrulayın.
• Yanlış Nginx server_name: Certbot, sunucu bloğunu server_name ile bulur; talep edilen alan adlarıyla eşleştiğini doğrulayın.
• Oran sınırları: Tekrarlanan başarısız istekler Let's Encrypt oran sınırlarına takılabilir. Test sırasında --dry-run kullanın ve gerekirse alt alan adlarını değiştirin.
• Snap ve APT çakışmaları: Yol çakışmalarını önlemek için Snap yüklemeden önce eski APT certbot'u kaldırın.

SSS

1. Let’s Encrypt nedir ve Nginx ile nasıl çalışır?

Let’s Encrypt, alan adı kontrolünü doğrulayan ve ACME protokolü üzerinden SSL/TLS sertifikaları veren ücretsiz bir CA'dır. Certbot, alan adı doğrulamasını (çoğu durum için HTTP‑01, joker karakterler için DNS‑01), sertifika verilmesini, Nginx yapılandırmasını ve yenilemeleri otomatikleştirir. Nginx eklentisi ile Certbot, server bloğunuzu günceller ve sertifika dosyalarını /etc/letsencrypt/live/sizin_alan_adınız/ dizinine yazar.

2. Let’s Encrypt SSL kullanmak için bir alan adına ihtiyacım var mı?

Evet. Halka açık güvenilen sertifikalar, sunucunuza yönlendirilmiş halka açık DNS’e sahip kayıtlı bir alan adı gerektirir—sadece IP veya özel ana bilgisayar adları desteklenmez. Talep ettiğiniz her ana bilgisayar adı için A/AAAA kayıtlarını kullanın. Joker karakter sertifikaları (ör. *.example.com), DNS‑01 doğrulaması ve DNS’i düzenleme erişimi gerektirir.

3. Ubuntu üzerinde Nginx için Certbot'u nasıl yüklerim?

Snap kullanın (önerilen): sudo snap install --classic certbot && sudo ln -s /snap/bin/certbot /usr/bin/certbot. Alternatif olarak, sudo apt install certbot python3-certbot-nginx.

Snap paketi en hızlı şekilde güncellemeleri alır ve Nginx eklentisini içerir. Sürümü certbot --version komutuyla doğrulayın. Snap kullanılamıyorsa, APT de çalışır ancak özelliklerde gecikme yaşanabilir; Certbot’un Nginx’i otomatik olarak düzenleyebilmesi için python3-certbot-nginx paketinin yüklü olduğundan emin olun.

4. Bir sertifika ile birden fazla alan adını veya alt alan adını güvence altına alabilir miyim?

Evet, Let’s Encrypt, tek bir sertifika kullanarak birden fazla alan adını ve alt alan adını güvence altına almanıza olanak tanır; bu sertifika SAN (Subject Alternative Name) sertifikası olarak bilinir. Her bir ana bilgisayar adı için ayrı ayrı sertifika talep etmek ve yönetmek yerine, tümünü tek bir sertifika altında birleştirebilir—bu da yönetimi ve yenilemeyi çok daha basit hale getirir.

Bunu nasıl yaparsınız:
Certbot'u çalıştırırken, sertifikanıza dahil etmek istediğiniz her alan adı veya alt alan adını -d bayrağını her biri için tekrarlayarak belirtebilirsiniz. Örneğin:

sudo certbot --nginx -d example.com -d www.example.com -d api.example.com

Bu komut, üç adın tümü için geçerli olan bir sertifika alacaktır (example.com, www.example.com, api.example.com). Certbot, tüm listelenen alan adları için yeni sertifikayı kullanacak şekilde Nginx yapılandırmanızı otomatik olarak güncelleyecektir.

Joker karakterli alan adları ne olacak?
Tüm alt alan adlarını kapsayan bir sertifika istiyorsanız (örneğin anything.example.com), joker alan adı kullanabilirsiniz. Bu, genellikle DNS sağlayıcınıza özel bir TXT kaydı ekleyerek DNS-01 doğrulaması (DNS bölgeniz üzerinde kontrol sağladığınızı kanıtlamak) gerektirir. Örneğin:

sudo certbot --manual --preferred-challenges dns -d *.example.com -d example.com

Bu işlem sırasında belirli DNS kayıtlarını oluşturmanız istenecek.

Bilmeniz gereken diğer şeyler:

• Certbot’u çalıştırmadan önce tüm belirtilen alan adlarının doğru şekilde sunucunuza yönlendirildiğinden emin olmalısınız.
• Let's Encrypt oran sınırlamalarının farkında olun: bu sınırlara takılma olasılığını en aza indirmek için ilişkili alan adlarını gerekli olduğunca az sayıda sertifikada toplamaya çalışın.
• Yenilerken, Certbot tüm orijinal alan adlarını birlikte tutar, yeni bir set talep etmediğiniz sürece.

Certbot ile birden fazla -d seçeneği kullanmak, birden fazla alan adı/alt alan adını kapsamanın önerilen yoludur. Çok sayıda SAN içeren sertifikalar, aynı proje veya sunucudaki site ve API'ler için idealdir.

5. Otomatik yenilemenin çalıştığını nasıl doğrularım?

sudo systemctl status snap.certbot.renew.timer (snap) ve sudo certbot renew --dry-run komutlarını çalıştırın. Kayıtları /var/log/letsencrypt/ dizininde kontrol edin. Ayrıca süresi dolma tarihini de doğrulayabilirsiniz:

openssl x509 -in /etc/letsencrypt/live/your_domain/fullchain.pem -noout -enddate

Başarılı olursa, bir sertifika süresinin bitmesine 30 gün kala yenilemeler otomatik olarak gerçekleşir ve Nginx yeniden yüklenir.

6. Nginx'i Let’s Encrypt sertifikasını kullanacak şekilde nasıl yapılandırabilirim?

Certbot, Let’s Encrypt sertifikası ile Nginx'i otomatik olarak yapılandırır. TLS sunucu bloğunuzdaki tipik yönergeler şunlardır:

ssl_certificate /etc/letsencrypt/live/your_domain/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/your_domain/privkey.pem;

sudo nginx -t ile doğrulayın ve sudo systemctl reload nginx ile uygulayın.

7. HTTPS yapılandırmamın doğru olup olmadığını nasıl test edebilirim?

Harici testler ve müşteri kontrolleri kullanın:

• SSL Labs Sunucu Testi: https://www.ssllabs.com/ssltest/
• Mozilla SSL Yapılandırma Oluşturucu rehberi: https://ssl-config.mozilla.org
• Hızlı kontroller:

curl -I http://example.com      # Expect 301 to https

curl -I https://example.com     # Confirm 200 and HSTS if enabled

openssl s_client -connect example.com:443 -servername example.com -tls1_3 < /dev/null | openssl x509 -noout -dates -issuer -subject

Ayrıca karışık içerik uyarılarını görmek için DevTools → Güvenlik’i açın.

8. Let’s Encrypt sertifikaları için otomatik yenilemeyi nasıl ayarlayabilirim?

Snap kurulumlarıyla, bir systemd zamanlayıcısı (snap.certbot.renew.timer) günde iki kez çalışır ve süresi dolmak üzere olan sertifikaları yeniler. systemctl status ile doğrulayın ve sudo certbot renew --dry-run ile simüle edin. Kancalara ihtiyacınız varsa, şunu kullanın:

sudo certbot renew --post-hook "systemctl reload nginx"

80/443 portlarının erişilebilir olduğundan, DNS’in doğru olduğundan ve bildirim e-postasının izlendiğinden emin olun, böylece yenileme sorunları erken fark edilir.

Sonuç

Bu öğreticide, Let’s Encrypt istemcisi certbot’u kurdunuz, alan adınız için SSL sertifikalarını indirdiniz, Nginx’i bu sertifikaları kullanacak şekilde yapılandırdınız ve otomatik sertifika yenilemeyi ayarladınız. Ayrıca TLS yapılandırmanızı HSTS ve modern şifrelerle güçlendirdiniz ve yaygın sorun giderme adımlarını gözden geçirdiniz. Certbot kullanımıyla ilgili daha fazla sorunuz varsa, resmi dokümantasyon iyi bir başlangıç noktasıdır.

İleriye bakış: Birden fazla alan adını yöneten ekipler için altyapıyı kod olarak otomatikleştirmeyi düşünün (ör. Nginx + Certbot için Ansible rolleri), joker karakter sertifikaları için DNS-01 doğrulama zorluklarını ve uyarılarla proaktif sertifika izlemeyi—bu alanlar ayrı bir ileri düzey rehber için çok uygun konulardır.

İleri Okumalar

• Ubuntu'ya Nginx Nasıl Kurulur: Nginx'i kurun, servisi yönetin, güvenlik duvarını açın ve sunucu bloklarını yapılandırın.
• Ubuntu 20.04'te Let’s Encrypt ile Nginx’i Güvence Altına Alma: Certbot sertifika çıkarımı, HTTPS yönlendirmeleri ve otomatik yenilemeyi kapsayan eski Ubuntu sürümü.
• DNS Doğrulaması Kullanarak Let’s Encrypt Sertifikası Nasıl Alınır: Wildcard sertifikalar veya HTTP doğrulamasının mümkün olmadığı durumlar için DNS‑01 zorluklarını (acme‑dns/Certbot aracılığıyla) kullanın.
• Yaygın Let's Encrypt Hataları Nasıl Düzeltilir: ACME sorunlarını giderme, DNS/HTTP erişilebilirliği, hız sınırları ve yenileme problemleri.

Linux-Console.net Topluluğu ile öğrenme sürecine katıldığınız için teşekkürler.