TLS 1.3: Neyi Değiştirir ve Nasıl Kontrol Edilir
Güncellendi 2026-11-03 · 6 dk okuma
TLS 1.3, on yılda özellik eklemek yerine kaldırarak yapılan ilk protokol revizyonudur. Bu onu daha hızlı ve yanlış yapılandırması daha zor kılar — ve yalnızca TLS 1.2 konuşan bir sunucunun en yüksek nota ulaşamamasının nedeni de budur.
TLS 1.2’den ne değişti
TLS 1.3 el sıkışmayı iki gidiş dönüşten bire, oturum devamında sıfıra indirir. Statik RSA ve Diffie-Hellman anahtar değişimini kaldırır, böylece ileri gizlilik isteğe bağlı olmaktan çıkıp zorunlu olur. CBC modu şifreleri, RC4, SHA-1 ve sıkıştırmayı tamamen bırakır ve el sıkışmanın daha fazlasını — sertifika dahil — şifreler, böylece aracılar daha az bilgi edinir.
Pratik sonuç şudur: eskiden dikkatli yapılandırma gerektiren neredeyse tüm tarihsel zayıflıklar artık imkânsızdır. TLS 1.3’te yanlışlıkla zayıf bir şifre anlaşamazsınız, çünkü protokol yalnızca modern özetlerle AEAD şifreleri tanımlar.
Not için neden önemli
CertH, diğer her şey ne olursa olsun A+ için TLS 1.3 ister. Mükemmel sertifika, güçlü şifreler ve HSTS’e sahip bir site bu olmadan 95 ve A’da kalır. İyi yönetilen bir sitenin A’da tıkanmasının en yaygın nedeni bu tek satırdır.
Diğer neden el sıkışmanın kendisidir. Yüksek gecikmeli mobil bağlantıda kazanılan bir gidiş dönüş, her yeni bağlantıda onlarca ila yüzlerce milisaniye demektir — algılanan hız üzerinde doğrudan ve ölçülebilir bir etki.
Açmak
nginx’de TLS 1.3 desteği, ikili dosyanın derlendiği OpenSSL sürümüne bağlıdır. OpenSSL 1.1.1 veya daha yenisi gerekir; herhangi bir şeyi değiştirmeden önce nginx -V ile built with OpenSSL dizesini kontrol edin.
Apache’de httpd modern bir OpenSSL’e bağlıysa SSLProtocol yeterlidir. Cloudflare’de TLS 1.3, SSL/TLS → Edge Certificates altında bölge düzeyinde bir anahtardır ve 2021’den beri çoğu bölgede varsayılan olarak açıktır.
# nginx: does this binary even support TLS 1.3?
nginx -V 2>&1 | tr ' ' '\n' | grep -i openssl
# negotiate TLS 1.3 explicitly and print the protocol
openssl s_client -connect example.com:443 -tls1_3 -servername example.com </dev/null 2>/dev/null | grep -E "Protocol|Cipher"Kimsenin bahsetmediği tuzaklar
0-RTT devam hızlıdır ama yeniden oynatılabilir: ilk uçuşu yakalayan saldırgan onu tekrar gönderebilir. İlk istekte durum değiştiren uç noktalarda, örneğin yazma yapan her şeyde 0-RTT’ye asla izin vermeyin.
Bazı kurumsal ara cihazlar hâlâ TLS 1.3 ile bozulur. TLS 1.2’yi yanında açık tutmak standart uzlaşmadır — uyumluluğu korursunuz ve A+ koşulunu da karşılarsınız, çünkü değerlendirici TLS 1.3 sunulmasını arar, TLS 1.2’nin kapatılmasını değil.
Son olarak TLS’i sonlandıran CDN veya yük dengeleyici origin’i tamamen gizler. Uç noktayı değiştirmeden origin’i değiştirmek, harici bir tarayıcının görebileceği hiçbir şeyi değiştirmez.
FAQ
TLS 1.3 açıldıktan sonra TLS 1.2 kapatılmalı mı?
Hayır. TLS 1.2’yi açık tutmak eski istemciler ve ara cihazlarla uyumluluğu korur ve puan kaybettirmez. Kapatmak yalnızca geri dönüş seçeneklerini kaldırır.
TLS 1.3 sertifika gereksinimlerimi değiştirir mi?
Bazı eski algoritmaları kullanılamaz hale getirir. RSA anahtarlı sertifikalar hâlâ uygundur, ancak zincir protokolün izin verdiği imza algoritmalarını kullanmalıdır — örneğin SHA-1 imzaları TLS 1.3’te kullanılamaz.