Giriş — Neden TLS sertifika doğrulaması önemli?

TLS (Transport Layer Security), web tarayıcınız ile ziyaret ettiğiniz sunucu arasındaki iletişimi şifreleyerek bilgilerin gizliliğini ve bütünlüğünü korur. Bir TLS sertifikası aynı zamanda sunucunun kimliğini doğrulamaya yardımcı olur; bu nedenle Baywin gibi hesap ve işlem gerektiren hizmetlere bağlanırken sertifika kontrolü yapmak, verilerinizin beklenmeyen yerlere gönderilmesini önlemeye yardımcı olur.

Temel kavramlar: Sertifika, CA, SAN ve geçerlilik

Temel terimleri kısa olarak bilmek, bir problemi hızlı fark etmenizi sağlar:

  • Sertifika (X.509): Sunucunun kimlik bilgilerini, veren kurumu ve geçerlilik tarihlerini içerir.
  • CA (Certificate Authority): Sertifikayı imzalayan güvenilen kuruluş; tarayıcınızın tanıdığı CA’lar güven zincirinin parçasıdır.
  • SAN (Subject Alternative Name): Sertifikanın kapsadığı alan adlarını listeler; birden çok alt domain burada yer alır.
  • Geçerlilik süresi: "Not Before" ve "Not After" alanları; süresi dolmuş sertifikalar uyarı üretir.

Hemen bakılacak hızlı kontrol listesi

  • Tarayıcı adres çubuğunda kilit simgesini kontrol edin.
  • Sertifikanın "issued to" kısmında bağlandığınız domainin geçerli olduğundan emin olun.
  • Geçerlilik tarihlerini kontrol edin (süresi dolmamış olmalı).
  • İmzalayan kuruluşun (issuer) tanınan bir CA olduğuna bakın.
  • Tarayıcı güven uyarısı varsa bağlantıyı durdurun ve inceleyin.
  • Aynı siteye farklı ağdan veya cihazdan bağlanıp sonucu karşılaştırın.

Tarayıcıda sertifika doğrulama — Adım adım

Aşağıdaki adımlar modern tarayıcılarda ortak olarak çalışır; küçük arayüz farklılıkları olabilir:

Genel adımlar

  1. Adres çubuğundaki kilit simgesine tıklayın.
  2. Bağlantı veya sertifika bilgilerini görüntüle ("Certificate" veya "Connection is secure" gibi seçenekler).
  3. Sertifikanın Issued To (veya Subject/SAN), Issuer ve Validity (Not Before / Not After) alanlarını kontrol edin.

Chrome / Edge

Kilit → "Connection is secure" → "Certificate is valid" (veya benzeri) yolunu izleyerek sertifika penceresine ulaşabilirsiniz. Ayrıntılar bölümünde fingerprint (SHA-256) görebilirsiniz.

Firefox

Kilit → "Connection secure" → "More information" → "View Certificate" adımlarıyla sertifika detaylarını açabilirsiniz.

Safari (macOS / iOS)

macOS’te kilit simgesine tıklayıp sertifika detaylarına erişebilirsiniz. iOS’te web siteleri için sertifika ayrıntılarına erişim sınırlıdır; bu nedenle mobilde kesin kontrol gerekiyorsa masaüstünde veya güvenilir bir araca bakmanız daha doğru olur.

Komut satırı ve gelişmiş kontroller

Teknik kullanıcılar için komut satırı araçları daha detaylı bilgi verir. Aşağıdaki örneklerde baywin.com örnek domain olarak kullanılmıştır; kendi bağlandığınız domaini yazın.

OpenSSL ile hızlı kontrol

openssl s_client -connect baywin.com:443 -servername baywin.com -showcerts

Bu komut sunucudan sertifika zincirini alır. Çıktıdaki sertifika bloklarını kaydederek şu komutla inceleyebilirsiniz:

openssl x509 -noout -subject -issuer -dates -fingerprint

curl ile TLS bilgisi

curl -vI https://baywin.com/

curl detaylı TLS el sıkışması bilgilerini gösterir (sürüm, cipher ve sertifika sunucu bilgileri). Bu, sunucunun hangi TLS sürümünü ve şifrelemeyi kullandığını hızlıca görmenizi sağlar.

Parmak izi (fingerprint) ile karşılaştırma

Destek kanallarından alınan veya resmi kaynakta yayınlanmış sertifika fingerprint’leri ile tarayıcıdan veya openssl çıktısından aldığınız SHA-256 parmak izini karşılaştırabilirsiniz. Uyuşmazlık varsa dikkatle yaklaşın.

Orta saldırı (man-in-the-middle) tespiti için tipik belirtiler

  • Sertifika sahibi ile bağlanılan alan adı eşleşmiyorsa (CN/SAN uyuşmazlığı).
  • Tarayıcı sertifika uyarısı veya "site güvenli değil" mesajı gösteriyorsa.
  • Beklenmedik bir CA (imzalayan kurum) görünüyorsa veya zincirde tanınmayan ara sertifikalar varsa.
  • İnternet bağlantısını değiştirdiğinizde (ör. farklı Wi‑Fi veya mobil veri) sertifika bilgilerinin farklı çıkması.
  • Sayfanın normal davranışında ani yönlendirmeler veya ek doğrulamalar isteniyorsa.

Bir sorun fark ederseniz atılacak adımlar

  1. İşlemi durdurun; kişisel bilgilerinizi veya ödeme bilgilerinizi girmeyin.
  2. Sertifika ekranının ekran görüntüsünü alın (detaylar: issuer, subject, tarihler, fingerprint).
  3. Farklı bir ağ ve cihaz kullanarak aynı siteye tekrar bağlanın ve sonucun değişip değişmediğini kontrol edin.
  4. Siteyle ilgili resmi destek kanallarına (hesap içindeki veya doğrulanmış iletişim noktalarına) ulaşın ve bulgularınızı paylaşın. Resmi kanalların adreslerini daha önce kaydettiğiniz güvenli kaynaklardan doğrulayın.
  5. Bekleyin; sunucu tarafında sertifika yenileme gibi geçici sorunlar olabiliyor. Destekten onay alana kadar hassas işlemlerden kaçının.

Ek önlemler ve günlük uygulamalar

  • Tarayıcı ve işletim sisteminizi güncel tutun; güvenlik düzeltmeleri TLS/sertifika davranışını etkileyebilir.
  • Sistem saatinin doğru olduğundan emin olun; yanlış saat sertifika doğrulamasını bozar.
  • İki faktörlü doğrulama (2FA) kullanarak hesap güvenliğinizi artırın.
  • Tarayıcı eklentileri ve uzantıları dikkatle yükleyin; bazı uzantılar iletişimi etkileyebilir.
  • Gerekirse doğrulama için güvenilir üçüncü taraf araçlar kullanın (ör. sunucu değerlendirme servisleri). Örnek: Qualys SSL Labs servisinde sunucu testi yapılabilir: https://www.ssllabs.com/ssltest/.

Pratik kontrol listesi (kopyala-yapıştır için)

  • Kilit simgesi var mı? → Evet / Hayır
  • Alan adı sertifika ile eşleşiyor mu? → Evet / Hayır
  • Sertifika süresi geçerli mi? (Not After) → Evet / Hayır
  • Tanınan CA mı? → Evet / Hayır
  • Farklı ağda sonuç aynı mı? → Evet / Hayır

Sonuç ve sınırlamalar

Bu rehber, Baywin veya benzeri hizmetlere bağlanırken izlemeniz gereken temel TLS ve sertifika kontrollerini özetler. Teknik araçlar daha fazla veri sağlar ancak kesin bir güvenlik garantisi vermez; şüpheli durumlarda resmi destek kanallarına başvurmak en güvenli yaklaşımdır. Buradaki adımlar, bilgilendirme amaçlıdır ve özel teknik sorunlar için bir güvenlik uzmanına danışılması gerekebilir.