Let's Encrypt SSL Ömürleri 64 Güne Düşüyor: Şubat 2027

Dijital güvenlik dünyasında standartları yeniden belirleyen Let's Encrypt, web üzerindeki şifreleme ekosistemini daha güvenli ve dayanıklı hale getirmek amacıyla sertifika geçerlilik sürelerini kısaltma yönündeki stratejik planını uygulamaya koyuyor. 10 Şubat 2027 tarihinden itibaren, ücretsiz SSL/TLS sertifikalarının ömrü mevcut 90 günden 64 güne düşürülecek. Bu köklü değişim; CA/Browser Forum Temel Gereksinimleri (Baseline Requirements) doğrultusunda sektör genelinde yürütülen güvenlik sıkılaştırma politikalarının bir parçası olarak hayata geçiriliyor. Yazılım Geliştirme Çözümleri ve altyapı yönetimiyle ilgilenen sistem yöneticileri için bu dönüşüm, sabit kodlanmış yenileme döngülerinin güncellenmesini ve tam otomasyon süreçlerinin gözden geçirilmesini zorunlu kılıyor.

Tarihsel perspektife bakıldığında, Let's Encrypt'in ilk faaliyete geçtiği 2016 yılında SSL/TLS sertifikaları genellikle 1 ila 3 yıl gibi uzun süreler için ihraç ediliyordu. Hizmet, o dönemde var olmayan yenileme otomasyonunu zorunlu kılmak amacıyla 90 günlük süreyle yola çıkmıştı. Daha kısa geçerlilik süreleri; özel anahtar (private key) hırsızlığından kaynaklanan zafiyetleri sınırlamış ve internet genelinde HTTPS benimsenmesini hızlandırmıştı. Şimdi ise 64 günlük süreye geçiş, bu mantığın doğal bir devamı niteliğinde olup, 2028 yılında planlanan 45 günlük varsayılan sürelere zemin hazırlamaktadır.

ACME Protokolü ve ARI (ACME Renewal Information) Entegrasyonunun Önemi

Sertifika ömürlerinin 64 güne inmesiyle birlikte, manuel süreçlere güvenen veya sabit zamanlı scriptler kullanan yapılar için kesinti riski artmaktadır. Let's Encrypt, bu sürecin sorunsuz atlatılabilmesi için Siber Güvenlik İncelemeleri kapsamında da sıkça vurgulanan ACME protokolü ve özellikle **ARI (ACME Renewal Information)** uzantısının aktif olarak kullanılmasını tavsiye etmektedir.

Geleneksel olarak sistem yöneticileri, 90 günlük sertifikalar için "sürecin bitimine 30 gün kala yenile" (örneğin 60. günde tetiklenen) gibi sabit ofsetler veya cron zamanlamaları tanımlamışlardır. Ancak 64 günlük ve ileride gelecek 45 günlük pencerelerde bu sabit kodlanmış değerler başarısızlıklara yol açabilir. ARI özellikli ACME istemcileri, sertifika otoritesinin istemciye tam olarak ne zaman yenileme yapması gerektiğini bildirmesini sağlar. Böylece yük dengeleyici (load balancer) veya web sunucusu üzerindeki sertifikalar, ağ trafiğini aksatmadan optimum pencerede yenilenir.

Popüler ACME İstemcileri ve Teknik Konfigürasyon Örnekleri

Sistem yöneticilerinin Şubat 2027 son tarihine kadar altyapılarını denetlemesi ve ACME istemci yapılandırmalarını güncellemesi hayati önem taşımaktadır. Sabit kodlanmış "60 gün" veya benzeri eski yenileme eşiklerine sahip `cron` görevleri ve runbook dokümantasyonları taranarak, sertifika ömrünün üçte ikisinde (yaklaşık 42. veya 43. günde) yenileme yapacak şekilde ayarlanmalıdır.

Aşağıda, yaygın olarak kullanılan ACME istemcilerinin (Certbot ve acme.sh) yeni döneme uyumlu olarak nasıl yapılandırılabileceğine dair teknik örnekler bulunmaktadır:

Certbot ile Otomatik Yenileme ve ARI Kontrolü

Certbot kullanan sistemlerde, sistem zamanlayıcısı (systemd timer) veya cron görevi varsayılan olarak günde iki kez çalışır ve sertifikanın süresinin dolmasına 30 günden az kaldıysa yenileme tetikler. Ancak 64 günlük periyotta bu eşiğin istemci tarafından dinamik yönetilmesi veya ARI destekli sürümlerin kullanılması önerilir.

# Certbot'un sistemd timer durumunu kontrol etme
sudo systemctl status certbot.timer

# Manuel olarak yenileme test komutu (Dry-run)
sudo certbot renew --dry-run

# Belirli bir alan adı için ARI ve yenileme politikasını zorlayarak yenileme
sudo certbot renew --cert-name example.com --force-renewal

acme.sh İstemcisi İçin Yenileme Döngüsü Ayarı

`acme.sh` aracı, varsayılan olarak 60 günde bir yenileme yapacak şekilde yapılandırılmış olabilir. 64 günlük ve gelecekteki 45 günlük sertifikalara uyum sağlamak için yenileme gün aralığının (renewal days) güncellenmesi gerekmektedir.

# Global olarak yenileme gün aralığını 40 güne ayarlamak için (64 günlük sertifika için ideal)
acme.sh --config-home "/etc/acme.sh" --set-default-ca --server letsencrypt
acme.sh --update-account --days 40

# Belirli bir sertifika için yenileme süresini güncelleme
acme.sh --renew -d example.com --days 40 --force

Cron tablosunda (`crontab -e`) yer alan eski script tanımlarının incelenmesi ve sabit gün sayımlarına dayanan mantıksal blokların temizlenmesi gerekir. Aşağıdaki örnek cron girdisi, her gün düzenli olarak istemci kontrolünü çalıştırarak ARI veya otomatik eşikler üzerinden süreç yürütülmesini sağlar:

# Örnek Cron Görevi Yapılandırması (Günde iki kez kontrol)
0 */12 * * * /usr/bin/certbot renew --quiet --deploy-hook "/usr/sbin/service nginx reload"

Yetkilendirme Yeniden Kullanım Sürelerinin Daraltılması

Sertifika ömürlerindeki kısalmaya paralel olarak, Let's Encrypt yetkilendirme yeniden kullanım (authorization reuse) sürelerinde de kademeli bir daraltmaya gitmektedir. Mevcut 30 günlük yetkilendirme geçerliliği, 10 Şubat 2027 itibarıyla 10 güne düşürülecektir. 2028 yılına kadar ise bu sürenin yedi saate indirilmesi öngörülmektedir.

Bu adım, 2029 yılında yürürlüğe girecek maksimum doğrulama yeniden kullanım süreleri kısıtlamalarına uyum sağlamak ve "CAA rechecking" (Alan Adı Yetkilendirme Kaydı yeniden denetimi) ihtiyacını ortadan kaldırmak amacıyla atılmaktadır. Doğrulama verilerinin önbelleğe (cache) alınmasına aşırı bağımlı özel ACME istemcileri tasarlayan geliştiriciler haricinde, standart operatörlerin bu değişiklikten doğrudan olumsuz etkilenmesi beklenmemektedir.

Sistem Yöneticileri İçin Özet Eylem Planı

Geçiş takviminin yaklaşmasıyla birlikte, BT ve güvenlik ekiplerinin altyapılarında kapsamlı bir denetim gerçekleştirmesi elzemdir. Manuel operasyonların tamamen ortadan kaldırılması, olası servis kesintilerinin önüne geçecektir.

Bileşen / Alan	Mevcut Durum (90 Gün)	Yeni Hedef (Şubat 2027 ve Sonrası)
Sertifika Geçerlilik Süresi	90 Gün	64 Gün (2028'de 45 Gün)
Yenileme Eşiği (Öneri)	60. gün civarı (Sabit Ofset)	Ömrün 2/3'ü veya ARI Protokolü
Yetkilendirme Yeniden Kullanımı	30 Gün	10 Gün (2028'de 7 Saat)
Yenileme Yöntemi	Komut satırı / Kısmi otomasyon	Tam ACME Otomasyonu + ARI

Sonuç olarak, Let's Encrypt'in sertifika ömürlerini 64 güne indirmesi, web güvenliğinde insan hatalarını minimize etme ve şifreleme bütünlüğünü en üst düzeyde tutma kararlılığının bir göstergesidir. Sistem yöneticilerinin konfigürasyonlarını gözden geçirmesi, izleme ve alarm mekanizmalarını devreye sokması, 10 Şubat 2027 tarihine kadar kesintisiz bir dijital altyapı güvencesi sağlayacaktır.