A+ SSL Notu Nasıl Alınır (2026 Kontrol Listesi)

Notu gerçekte ne belirliyor

CertH tek bir saf TLS el sıkışmasından beş ağırlıklı alanı puanlar: sertifika geçerliliği ve zinciri, anahtar gücü ve imza algoritması, sunulan protokol sürümleri, anlaşılan şifre paketleri ve HSTS ile OCSP stapling. Sunucuya erişim yok, ajan yok, yapılandırma dosyası yüklemesi yok — her şey dışarıdan, bir tarayıcının göreceği gibi gözlemlenir.

Eşikler basit. A+ için 95 veya üzeri puan, anlaşılan protokol listesinde TLS 1.3 ve HSTS’in ya preload olması ya da en az 180 gün max-age’e sahip olması gerekir. A 90’dan, B 80’den, C 70’ten, D 55’ten başlar, 55’in altı F’tir. Süresi geçmiş sertifika otomatik 0.

Sizi A’dan A+’ya taşıyan dört değişiklik

Pratikte fark neredeyse her zaman bu dörtten biridir. Sırayla düzeltin — her biri dışarıdan bağımsız doğrulanabilir, bu yüzden her adımdan sonra yeniden tarayabilirsiniz.

• •TLS 1.3’ü açın. Kendi başına puan verir ve geri kalan her şey 100 olsa bile A+ için zorunludur.
• •HSTS’i en az max-age=15552000 (180 gün) yapın. Bir yıl (31536000) yaygın seçimdir.
• •Ara sertifikalar dahil tam zincir sunun. Eksik ara sertifika bazı istemcilerde zincir hatası olarak görünür ve puan kaybettirir.
• •OCSP stapling’i açın; iptal kontrolü ziyaretçinin IP’sini CA’ya sızdırmak yerine el sıkışmayla birlikte gitsin.

A+ alan nginx yapılandırması

Modern nginx (1.19+ ve OpenSSL 1.1.1+) için tam server bloğu. nginx daha eski bir OpenSSL ile derlendiyse buraya ne yazarsanız yazın TLS 1.3 sessizce kullanılamaz — önce nginx -V ile kontrol edin.

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;

ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_session_tickets off;

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
resolver 1.1.1.1 8.8.8.8 valid=300s;

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

A+ alan Apache yapılandırması

Apache stapling önbelleğinin sanal konak içinde değil, sunucu düzeyinde bir kez tanımlanmasını ister. Geri kalanı <VirtualHost *:443> bloğuna girer.

SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
SSLHonorCipherOrder off
SSLSessionTickets off

SSLUseStapling on
SSLStaplingCache "shmcb:logs/ssl_stapling(32768)"

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Siteleri A’da tutan hatalar

En yaygını: hâlâ yalnızca HTTP konuşan alt alan adları olan bir alan adında includeSubDomains ile HSTS açmak — bunlar anında erişilemez olur ve olağan tepki başlığı tamamen kaldırmaktır, bu da sizi A’ya döndürür. HSTS’i aşamalı yayın: 300 saniyelik max-age ile başlayın, bir hafta izleyin, sonra bir yıla çıkarın.

İkinci en yaygın hata, sertifika yeni olduğu için TLS 1.3’ün de açık olduğunu sanmaktır. Sertifikalar ve protokol sürümleri bağımsızdır. Yalnızca TLS 1.2 konuşan bir sunucuda yepyeni bir sertifika yine 95’in altında kalır.

Üçüncüsü origin’in önündeki CDN’dir. Cloudflare, Fastly veya bir yük dengeleyici TLS’i sonlandırıyorsa origin yapılandırması anlamsızdır — not uç noktayı yansıtır, dolayısıyla ayar orada değiştirilmelidir.

Kendiniz doğrulayın

Her değişiklik terminalde saniyeler içinde doğrulanır. TLS 1.3 yalnızca sunucu gerçekten sunuyorsa anlaşılır, HSTS yanıt başlıklarında görünür ve stapling OCSP yanıt bloğunda belirir.

# Does the server actually negotiate TLS 1.3?
openssl s_client -connect example.com:443 -tls1_3 -servername example.com </dev/null 2>/dev/null | grep "Protocol"

# Is HSTS set, and for how long?
curl -sI https://example.com | grep -i strict-transport-security

# Is OCSP stapling actually working?
openssl s_client -connect example.com:443 -status -servername example.com </dev/null 2>/dev/null | grep -A2 "OCSP Response"

FAQ