Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Wildcard sertifika kullanabilir miyim?
Kısa cevap
Evet. Wildcard sertifika (*.example.com) Manual ya da PFX türünde yüklenebilir, ACME.SH türünde DNS-01 challenge ile otomatik alınabilir ya da CSR (External CA) sekmesinde Subject Alternative Names listesine yazılarak CA'ya imzalatılabilir; vService'in Certificate alanında diğer sertifikalar gibi seçilir. Wildcard sertifika yalnızca tek bir alt alan seviyesini kapsar: portal.example.com kapsanır, a.b.example.com ve example.com'un kendisi kapsanmaz.
Wildcard Sertifika Edinme Yolları
| Yol | TR7'de nasıl | Not |
|---|---|---|
| Ticari ya da kurumsal CA'dan alınmış wildcard | Certificates & PKI → SSL/TLS Certificates → Add → Type = Manual ya da PFX (Sertifikamı TR7'ye nasıl yüklerim; hangi formatlar destekleniyor?) | En yaygın yol |
| ACME ile otomatik (Let's Encrypt vb.) | Type = ACME.SH, Challenge Type = DNS-01, DNS Provider alanında bir ACME DNS Providers profili (Let's Encrypt / ACME ile otomatik sertifika alabilir miyim?) | HTTP-01 ile wildcard alınamaz; form Wildcard domains require the DNS-01 challenge hatası verir |
| Anahtar TR7'de üretilip CA'ya imzalatılarak | CSR (External CA) sekmesinde wildcard ad Subject Alternative Names listesine yazılır (TR7 üzerinde CSR oluşturabilir miyim?) | Common Name (CN) alanı * karakterini kabul etmez |
Kapsam Kuralları
| Ad | *.example.com kapsar mı? |
|---|---|
portal.example.com | Evet |
api.example.com | Evet |
a.b.example.com | Hayır (iki alt seviye) |
example.com | Hayır (alan adının kendisi) |
Alan adının kendisinin de kapsanması için sertifikaya ayrıca example.com eklenir: ACME'de Domain listesine iki satır (example.com ve *.example.com) yazılır; CSR'de iki ad da Subject Alternative Names listesine eklenir. Sertifikanın kapsamadığı bir ada istek gelirse tarayıcı ad uyuşmazlığı uyarısı verir.
TR7'de
- Wildcard sertifika vService'in Certificate alanında seçilir; aynı vService'e tam adlı sertifikalar da eklenebilir. İstemcinin istediği adı (SNI) tam olarak taşıyan sertifika, wildcard sertifikadan önce seçilir (Bir vService'e birden fazla sertifika bağlayabilir miyim; doğru sertifika nasıl seçilir (SNI)?).
- ACME ile wildcard almak için önce Certificates & PKI → ACME DNS Providers ekranında DNS sağlayıcısı profili oluşturulur (nasıl eklenir); profil, ACME ekleme formundaki DNS Provider alanının yanındaki ekleme simgesiyle formdan ayrılmadan da tanımlanabilir.
- Wildcard sertifikanın süresi tek bir kayıttan izlenir; sertifikanın kullanıldığı bütün vService'ler aynı kayda bağlı olduğundan yenileme tek noktadan yapılır (Sertifikayı yenilediğimde vService'lerde tek tek değiştirmem gerekir mi?).
Sık Karıştırılan Noktalar
- "Wildcard bütün alt seviyeleri kapsar." Yalnızca bir seviyeyi kapsar;
a.b.example.comiçin*.b.example.comgerekir. - "Virtual hosting'deki
*.example.comtanımı sertifikayla aynı şeydir." Virtual Hosting listesindeki joker tanım trafiği vService'e eşlemek içindir ve birden fazla alt seviyeyle eşleşir; sertifikanın kapsamı ise tek seviyedir. - "Let's Encrypt wildcard'ı HTTP-01 ile verir." Wildcard yalnızca DNS-01 ile alınır (ACME'de HTTP-01 ile DNS-01 arasındaki fark nedir; wildcard için neden DNS-01 gerekir?).
- "CSR'de wildcard CN alanına yazılır." TR7'nin CSR formunda Common Name (CN) alanı
*kabul etmez; wildcard ad Subject Alternative Names listesine yazılır. Güncel tarayıcılar sertifikanın adını zaten SAN listesinden okur.
Dokümantasyonda nasıl yapılır
