cPanel SSL Sertifikası Yenilenmiyor Hatası Nasıl Çözülür?

cPanel SSL sertifikası yenilenmiyor hatası, çoğunlukla AutoSSL’nin alan adı sahipliği doğrulamasını (DCV) tamamlayamaması, DNS kayıtlarının yanlış sunucuya yönelmesi veya HTTPS/HTTP erişiminin bir proxy ya da güvenlik duvarı tarafından engellenmesiyle oluşur. Sorun yalnızca bir alan adını, bir cPanel hesabını veya sunucudaki tüm hesapları etkileyebilir. Önce sertifika bitiş tarihini ve AutoSSL günlüklerindeki gerçek hata satırını tespit edin; ardından DNS, CAA ve port 80 erişimini doğrulayın. Bu rehber, cPanel/WHM yöneticilerinin yenileme sorununu rastgele sertifika silmeden güvenli biçimde gidermesi için hazırlanmıştır.

Belirti ve kapsam: Yenileme sorunu gerçekten AutoSSL kaynaklı mı?

Tarayıcıda sertifika uyarısı görülmesi her zaman sertifikanın hiç yenilenmediği anlamına gelmez. Yeni sertifika üretilmiş ancak web sunucusuna yüklenmemiş olabilir; ziyaretçi eski IP adresine gidiyor olabilir veya CDN/proxy kendi sertifikasını sunuyor olabilir. Bu nedenle önce sorunun kapsamını belirleyin.

• Bir alan adı etkileniyorsa öncelikle o alan adının DNS’i, CAA kaydı, yönlendirmesi ve ek alan adı yapılandırması incelenmelidir.
• Tek bir cPanel hesabındaki tüm alan adları etkileniyorsa hesap sahipliği, AutoSSL dışlamaları ve hesap DNS yapılandırması kontrol edilmelidir.
• Sunucudaki çok sayıda hesap etkileniyorsa AutoSSL sağlayıcı ayarları, dış ağ erişimi, sistem saati, lisans ve sunucu genelindeki DNS/firewall politikaları araştırılmalıdır.

Hızlı teşhis özeti

Önce aşağıdaki kontrol listesini izleyin. Sertifikayı silmek, Apache’yi yeniden başlatmak veya DNS kaydını tahmine dayalı değiştirmek ilk adım olmamalıdır.

Kontrol	Beklenen sonuç	Sorun varsa olası neden
Sertifika bitiş tarihi	Alan adı için güncel sertifika sunulmalı	Yenileme başarısız veya eski IP/CDN yanıt veriyor
AutoSSL günlükleri	Başarılı doğrulama ve kurulum kaydı	DCV, CAA, DNS veya sağlayıcı hatası
A/AAAA kayıtları	Doğru web sunucusu IP’sine çözülmeli	Eski IP, yanlış IPv6 veya DNS yayılımı
HTTP port 80	Dışarıdan erişilebilir olmalı	Firewall, proxy, yönlendirme veya vhost sorunu
CAA kaydı	AutoSSL sağlayıcısına izin vermeli ya da bulunmamalı	Sertifika otoritesi yetkilendirilmemiş

cPanel SSL sertifikası yenilenmiyor hatasının yaygın nedenleri

DNS kaydı eski ya da yanlış IP adresini gösteriyor

AutoSSL, sertifika isteğindeki alan adı için DNS çözümlemesini doğrular. Alan adının A kaydı eski sunucuya gidiyorsa doğrulama dosyası doğru sunucuda olsa bile işlem başarısız olur. Alan adında kullanılmayan veya yanlış yapılandırılmış bir AAAA kaydı bulunması da önemlidir: Bazı doğrulama istekleri IPv6 üzerinden eski ya da erişilemeyen hedefe ulaşabilir.

HTTP doğrulama isteği port 80 üzerinden erişemiyor

AutoSSL sağlayıcısı, yaygın yapılandırmalarda HTTP tabanlı DCV kullanarak alan adının denetimini sınar. Tüm HTTP isteklerini hatalı biçimde farklı bir alan adına yönlendiren kurallar, yalnızca HTTPS’e zorlayan fakat istisna tanımayan katı proxy politikaları, kapalı port 80 veya yanlış sanal host doğrulamayı engelleyebilir. Normal bir HTTP-HTTPS yönlendirmesi çoğu durumda tek başına sorun değildir; belirleyici olan doğrulama isteğinin alan adınıza ulaşabilmesidir.

CAA kaydı sertifika otoritesini engelliyor

CAA kaydı, bir alan adı için hangi sertifika otoritelerinin sertifika düzenleyebileceğini sınırlar. DNS’teki CAA kaydı, WHM’de seçili AutoSSL sağlayıcısına izin vermiyorsa doğrulama tamamlanmış olsa bile sertifika üretilemez. CAA kayıtları ana alan adında veya ilgili alt alan adı hiyerarşisinde bulunabilir.

Alan adı veya alt alan adı AutoSSL kapsamı dışında

cPanel hesabında alan adının SSL kapsamı dışına alınmış olması, alan adının hesaptan kaldırılmış olması ya da gerekli DNS bölgesinin başka bir yerde yönetilmesi yenilemeyi etkiler. WHM’de AutoSSL için kullanıcı veya alan adı dışlamaları kontrol edilmelidir.

Proxy, CDN veya güvenlik katmanı doğrulamayı bozuyor

Bir CDN ya da ters vekil kullanılıyorsa DNS kaydı origin sunucu yerine proxy IP’lerine çözülür. Bu mimaride AutoSSL’nin seçilen doğrulama yönteminin proxy ile uyumlu olması gerekir. WAF kuralları, ülke filtreleri veya bot koruması sertifika otoritesinin isteklerini engelliyorsa günlüklerde erişim ya da doğrulama hataları görülür.

Loglar ve komutlarla güvenli teşhis

Aşağıdaki sunucu komutları root veya yeterli sudo yetkisi gerektirir. cPanel arayüzü erişiminiz varsa önce SSL/TLS Status ekranından ilgili alan adını ve son AutoSSL durumunu inceleyin. WHM yöneticileri Manage AutoSSL ekranında sağlayıcı, kullanıcı yönetimi ve çalıştırma kayıtlarını kontrol edebilir.

Sunucuda AutoSSL işlemini belirli bir hesap için başlatmak ve hata çıktısını doğrudan almak için:

/usr/local/cpanel/bin/autossl_check --user=CPANEL_KULLANICISI

Tüm uygun hesaplar için kontrol çalıştırmak gerekiyorsa:

/usr/local/cpanel/bin/autossl_check --all

Not: Bu komut sertifika talepleri oluşturabilir. Çok sayıda alan adı bulunan üretim sunucularında gereksiz tekrar çalıştırmayın; günlük zamanlanmış işlemin bitmesini bekleyin ve sertifika otoritesi istek sınırlarını dikkate alın.

AutoSSL günlük dizinini ve son değişen günlükleri inceleyin:

ls -lht /usr/local/cpanel/logs/autossl/
tail -n 200 /usr/local/cpanel/logs/autossl/*

Alan adına göre hata satırlarını daraltmak için alan adını küçük harfle değiştirerek arama yapabilirsiniz:

grep -Rin -- 'ornekalanadi.com' /usr/local/cpanel/logs/autossl/

DNS kayıtlarını hem IPv4 hem IPv6 yönünden kontrol edin:

dig +short A ornekalanadi.com
dig +short AAAA ornekalanadi.com
dig +short CAA ornekalanadi.com

Yetkili ad sunucularını ve delegasyonu görmek için:

dig +short NS ornekalanadi.com
dig +trace ornekalanadi.com

HTTP yanıtını sunucudan görmek yararlıdır; ancak en sağlıklı test, sunucu dışındaki bağımsız bir ağdan yapılır:

curl -I --max-time 15 http://ornekalanadi.com/
curl -4 -I --max-time 15 http://ornekalanadi.com/
curl -6 -I --max-time 15 http://ornekalanadi.com/

Komut çıktısındaki belirli hata metni çözüm yönünü belirler. Örneğin DNS DCV veya HTTP DCV ifadeleri alan adı doğrulamasına, CAA ifadesi DNS yetkilendirmesine, bağlantı zaman aşımı ise ağ erişimine işaret eder.

Güvenli adım adım çözüm

1. Sertifikanın nerede ve ne zaman bittiğini doğrulayın

Tarayıcı önbelleğine güvenmek yerine dışarıdan sunulan sertifikayı kontrol edin. Aşağıdaki komut, bağlantıda sunulan sertifikanın konu adını ve geçerlilik tarihlerini gösterir:

openssl s_client -connect ornekalanadi.com:443 -servername ornekalanadi.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates

Çıktı beklenmedik bir sertifika gösteriyorsa önce alan adının yöneldiği IP, yük dengeleyici veya CDN katmanını inceleyin. AutoSSL sorunu çözülse bile ziyaretçiler yanlış uç noktaya gidiyorsa eski sertifikayı görmeye devam eder.

2. DNS A ve AAAA kayıtlarını gerçek web sunucusuyla eşleştirin

A kaydının doğru IPv4 adresine yöneldiğini doğrulayın. Sunucunuz IPv6 üzerinden yayın yapmıyorsa, ancak alan adı için yanlış bir AAAA kaydı varsa bu kaydı DNS sağlayıcınızdan kaldırın ya da doğru IPv6 adresiyle güncelleyin. DNS değişiklikleri TTL değerine ve özyinelemeli DNS önbelleklerine bağlı olarak hemen her noktada görünmeyebilir.

DNS, cPanel sunucusunda yönetilmiyorsa değişikliği alan adının yetkili DNS sağlayıcısında yapın. cPanel Zone Editor’da görünen kayıtların internet üzerindeki yetkili bölgeyle aynı olduğunu varsaymayın.

3. CAA kaydını AutoSSL sağlayıcısıyla uyumlu hale getirin

WHM’de Manage AutoSSL ekranından kullanılan sağlayıcıyı belirleyin. Ardından alan adı için mevcut CAA kayıtlarını inceleyin. CAA kullanmak zorunda değilseniz, hatalı ve gereksiz kısıtlayıcı kaydı kaldırmak çözüm olabilir. CAA politikası kullanıyorsanız, seçili sağlayıcının belgelenmiş yetkili alan adını DNS politikanıza ekleyin.

CAA değişikliği, sertifika otoritesinin DNS sorgularındaki önbellek süresi nedeniyle anında etkili olmayabilir. Bu süre içinde art arda sertifika isteği göndermeyin.

4. Port 80 ve doğrulama yolundaki engeli kaldırın

Sunucunun genel IP’sinde TCP/80 erişiminin açık olduğundan, alan adı için Apache veya LiteSpeed sanal hostunun doğru hesaba ait olduğundan ve proxy yönlendirmesinin isteği ulaştırdığından emin olun. Güvenlik duvarı değişikliği yapmadan önce mevcut kural setini ve erişim politikasını kaydedin. Üretim ortamında firewall veya reverse proxy değişikliklerini bakım penceresinde uygulayın.

CDN/proxy kullanılıyorsa geçici olarak yalnızca DNS çözümlemesini origin sunucuya yönlendirmek ya da sağlayıcının DCV uyumluluğunu doğrulamak gerekebilir. Bu işlem ziyaretçi trafiğini ve güvenlik politikasını etkileyebileceğinden, DNS değişikliğinden önce TTL, geri dönüş planı ve aktif origin sertifikası değerlendirilmelidir.

5. AutoSSL dışlamalarını kaldırın ve hedefli yenileme başlatın

cPanel kullanıcısı, SSL/TLS Status ekranında alan adının AutoSSL kapsamına alındığını kontrol etmelidir. WHM yöneticisi, Manage AutoSSL altında ilgili kullanıcı için dışlama bulunmadığını doğrulamalıdır. DNS ve erişim düzeldikten sonra önce yalnızca etkilenen hesapta hedefli kontrol çalıştırın:

/usr/local/cpanel/bin/autossl_check --user=CPANEL_KULLANICISI

İşlem tamamlandıktan sonra komut çıktısını ve ilgili AutoSSL günlüğünü tekrar inceleyin. Başarısızlık sürüyorsa hata satırını esas alın; aynı işlemi tekrarlamak yerine o hata türünü çözün.

6. Sunucu genelinde sorun varsa temel altyapıyı inceleyin

Birden fazla bağımsız alan adı aynı anda yenilenemiyorsa dış DNS çözümlemesi, sertifika otoritesine giden HTTPS çıkışı, sistem zamanı ve WHM AutoSSL sağlayıcı yapılandırması ortak nedenlerdir. Sistem saatini kontrol etmek için:

timedatectl status

Bu komut systemd kullanan güncel Linux dağıtımları içindir. Eski sistemlerde zaman yönetimi farklı olabilir. Saatte belirgin sapma varsa önce NTP/zaman senkronizasyonu politikanızı inceleyin; saat ayarını rastgele değiştirmek günlük kayıtlarını, oturumları ve zaman bağımlı servisleri etkileyebilir.

Çözümü doğrulama

AutoSSL işleminin başarılı görünmesi yeterli değildir. Sertifikanın doğru alan adına atandığını ve ziyaretçiye doğru uç noktadan sunulduğunu doğrulayın.

1. cPanel SSL/TLS Status ekranında alan adının geçerli sertifika ile korunduğunu doğrulayın.
2. AutoSSL günlüğünde başarılı doğrulama ve kurulum sonucunu kontrol edin.
3. openssl s_client komutuyla sertifikanın notAfter tarihini, sertifikayı veren kurumu ve alan adını doğrulayın.
4. Hem ana alan adını hem de sertifikada olması gereken www ve diğer alt alan adlarını ayrı ayrı test edin.
5. CDN veya yük dengeleyici kullanılıyorsa, ziyaretçinin bağlandığı dış IP’de de yeni sertifikanın sunulduğunu doğrulayın.

Tekrarını önleme

cPanel SSL sertifikası yenilenmiyor hatası tekrar etmesin diye alan adı taşıma, IP değişikliği ve CDN geçişi süreçlerine DNS ile sertifika doğrulama kontrolü ekleyin. Kullanılmayan AAAA kayıtlarını tutmayın. CAA kaydı kullanıyorsanız AutoSSL sağlayıcısı değiştiğinde politikanın da gözden geçirileceği bir değişiklik prosedürü oluşturun.

Port 80’i kalıcı olarak kapatmayı planlıyorsanız, sertifika yenileme yönteminizin buna uygun olduğundan önce test ortamında emin olun. Ayrıca AutoSSL günlüklerini düzenli izlemek, sertifika bitimine günler kala fark edilebilecek DCV sorunlarını erken yakalamanıza yardımcı olur.

SSS

AutoSSL’yi yeniden çalıştırmak sertifikayı hemen yeniler mi?

DNS, CAA ve DCV erişimi doğruysa yenileme tamamlanabilir. Ancak DNS yayılımı, CAA önbelleği veya sertifika otoritesi istek sınırları varsa sonuç hemen alınmayabilir.

HTTPS çalışırken port 80 neden gerekli olabilir?

Sertifika otoriteleri alan adı denetimi için HTTP tabanlı doğrulama kullanabilir. HTTPS erişimi açık olsa bile HTTP doğrulama isteği ulaşamıyorsa yenileme başarısız olabilir.

Yanlış AAAA kaydı gerçekten SSL yenilemeyi etkiler mi?

Evet. Alan adı IPv6 üzerinden de çözümleniyorsa doğrulama trafiği yanlış veya erişilemeyen IPv6 hedefini kullanabilir. IPv6 yayınınız yoksa geçersiz AAAA kaydını kaldırmak gerekir.

Mevcut SSL sertifikasını silmeli miyim?

Hayır. Önce günlükteki nedeni giderin ve hedefli AutoSSL kontrolü çalıştırın. Geçerli sertifikayı silmek, sorun çözülmezse ziyaretçilerin daha erken sertifika hatası görmesine neden olabilir.

CAA kaydı yoksa sorun CAA olabilir mi?

Doğrudan alan adında CAA kaydı olmasa da üst alan adı hiyerarşisindeki ilgili CAA politikası etkili olabilir. dig CAA çıktısını ve AutoSSL günlüğündeki hata metnini birlikte değerlendirin.