47 gün kuralı: CA/Browser Forum SC-081v3 ne diyor?
Tarayıcıların güvendiği TLS sertifikalarının azami ömrü 2029'a kadar kademeli olarak 47 güne iniyor. Karar Nisan 2025'te alındı; tarihler ve süreler kesin.
10 Eylül 2026 · 6 dk okuma
Kararı kim verdi
CA/Browser Forum, sertifika otoriteleri ile tarayıcı ve işletim sistemi üreticilerinin 2005'ten beri birlikte kural koyduğu sektör birliğidir. Yasal bir otorite değildir; gücü, tarayıcıların yalnız bu kurallara uyan otoritelere güvenmesinden gelir.
- Üyeler
- Sertifika otoriteleri (Let's Encrypt, DigiCert, Sectigo, GlobalSign ve diğerleri) ile Google, Apple, Mozilla ve Microsoft gibi kök deposu sahipleri.
- Kural belgesi
- TLS Baseline Requirements: herkese açık TLS sertifikalarının nasıl verileceğini, doğrulanacağını ve ne kadar süre geçerli olacağını tanımlar.
- SC-081v3
- Apple'ın önerdiği, Nisan 2025'te oylanıp kabul edilen değişiklik. Sertifika ömrünü ve alan adı doğrulamasının yeniden kullanım süresini kademeli olarak kısaltır.
- Yaptırım
- Kurala uymayan otorite kök depolarından çıkarılır; verdiği sertifikalar tarayıcılarda geçersiz sayılır. Bu yüzden karar fiilen dünya çapında bağlayıcıdır.
Kaynak: CA/Browser Forum, Ballot SC-081v3 (Nisan 2025) ve TLS Baseline Requirements, bölüm 6.3.2.
Takvim
| Tarih | Azami sertifika ömrü | Alan adı doğrulamasının yeniden kullanımı |
|---|---|---|
| 2020'den beri | 398 gün | 398 gün |
| 15 Mart 2026 | 200 gün | 200 gün |
| 15 Mart 2027 | 100 gün | 100 gün |
| 15 Mart 2029 | 47 gün | 10 gün |
Tarihler, o tarihten itibaren verilen sertifikalar için geçerlidir; daha önce alınmış sertifikalar kendi süreleri bitene kadar kullanılır.
Neden kısalıyor
- Sızan ya da yanlış verilmiş bir sertifikanın kötüye kullanılabileceği pencere kısalır.
- İptal mekanizmaları (CRL, OCSP) tarayıcılarda güvenilir çalışmıyor; kısa ömür, iptalin yerini büyük ölçüde alır.
- Alan adı sahipliği bilgisi güncel kalır; el değiştiren alan adlarında eski sertifikalar uzun süre yaşamaz.
- Sektör otomasyona zorlanır: elle yenilenen sertifika, 47 günlük döngüde sürdürülebilir değildir.
Kurumlar için ne değişiyor
Bugün yılda bir yapılan işlem, 2029'da her sertifika için yılda sekiz kez tekrarlanacak. 500 sertifikası olan bir kurum için bu, yılda binlerce ihraç, kurulum ve doğrulama demek.
- Envanter
- Hangi sertifikanın hangi sistemde kurulu olduğunu bilmeden hiçbir yenileme güvenli değildir; ilk adım keşif ve envanterdir.
- Otomatik yenileme
- ACME (RFC 8555) sertifika alma sürecini otomatikleştirir; wildcard ve iç alan adları için DNS doğrulaması (dns-01) gerekir.
- Doğrulanmış kurulum
- Sertifikayı almak yetmez; hedef sisteme kurulmalı, servis yeniden yüklenmeli ve sunucunun gerçekten yeni sertifikayı sunduğu doğrulanmalıdır.
- Denetim izi
- Her yenileme ve kurulum kayıt altında olmalı; 47 günlük döngüde kim, ne zaman, neyi sorusu elle cevaplanamaz.
Şimdi ne yapmalı
- Envanter01
Bütün TLS uç noktalarını tarayın; sertifikaları ve kurulu oldukları sistemleri tek listede toplayın.
- Sahiplik02
Her sertifikaya sorumlu ekip ve uyarı eşiği atayın.
- ACME03
Otoritelerinizin ACME desteğini ve DNS sağlayıcı API erişimini netleştirin; wildcard için dns-01 şart.
- Kurulum otomasyonu04
Yenilenen sertifikanın hedef sistemlere yedekli, atomik ve doğrulanmış biçimde kurulmasını otomatikleştirin.
- Prova05
200 günlük dönemde süreci gerçek sistemlerde çalıştırın; 2027'deki 100 güne hazır olun.
Sık sorulan sorular
- Kural kurum içi sertifikalar için de geçerli mi?
- Hayır; yalnız tarayıcıların güvendiği, herkese açık TLS sertifikaları için. Kurum içi PKI kendi kurallarını koyar.
- Elimde bir yıllık sertifika var; 15 Mart 2026'dan sonra geçersiz mi olur?
- Hayır. Kural, o tarihten itibaren verilen yeni sertifikalara uygulanır; mevcut sertifika kendi bitiş tarihine kadar geçerlidir.
- Otoriteler 47 günden uzun sertifika vermeye devam edebilir mi?
- Hayır. Verirlerse kök depolarından çıkarılırlar; bu yüzden hiçbir otorite kuralı aşmaz.
- Neden tam 47 gün?
- Bir ay (31 gün), yarım ay (15 gün) ve bir gün pay: yenileme için bir aylık pencere, gecikmeler için ek süre.
Kaynaklar
Diğer yazılar
Sertifikalarınızı tek yerden yönetin
Envanter, süre takibi, ACME ile yenileme ve doğrulanmış kurulum; kendi altyapınızda.