Sertifikaların doğasında tuhaf bir zaman eğrisi vardır: doksan gün boyunca hiç kimseyi rahatsız etmezler, sonra bir sabah tüm trafiği tarayıcı uyarısına çevirirler. Bu panik döngüsünün ilacı iki başlıkta saklı — otomatik yenileme ve son kullanma izleme. Biri alınır, diğeri yedek olarak konur; ikisi birlikte son kullanma tarihini takvim sorunu olmaktan çıkarır.

Yenileme sizsiniz, süreç olsun

Elle yenilenen sertifika, sonuçta elle yenilmeyen sertifikaya dönüşür. ACME protokolü sayesinde Let's Encrypt ve benzeri sağlayıcılardan sertifikayı alıp yenilemek komutla olur; asıl iş, bu komutu bir kez otomatikleştirmektir. Sertifikayı aldıkça biten iş değil, yeniden yüklenen sertifikanın servis tarafından tanınmasıdır — reload eksikse yeni sertifika diske düşer ama trafiğe geçmez.

# Yenileme sonrası servisleri uyandırmak için hook
#!/bin/sh
certbot renew --quiet --deploy-hook \
  "systemctl reload nginx && systemctl reload mailserver"

Zamanlayıcıyı ayda iki kez çalıştırmak yeterli; certbot yalnız süresi yaklaşanları yeniler, diğerlerini atlar. Ama kendi öz-denetimini de koyun: cron sessizce bozulabilir.

İzleme, otomasyona duyulan güvenin sigortası

Otomasyon çalışmıyor olabilir — süresi dolmuş yetki, değişen kayıt, bozulmuş DNS doğrulaması. Bu yüzden son kullanma tarihini bağımsız bir gözle izleyin: sertifika son günlerine yaklaştığında uyarı çıkaran basit bir denetim, gece yarısı paniklerinin sigortasıdır. Aynı denetim, konfigürasyona sonradan eklenmiş ve otomasyonun kapsamı dışında kalan alan adlarını da yakalar.

# 30 gün içinde sona erecek sertifikaları uyar
if openssl x509 -checkend 2592000 -noout -in sert.pem; then
  echo "Sertifika için rahat"
else
  echo "UYARI: sertifika 30 gün içinde sona erecek"
fi

Takvim, en son çare

Elle yönetilen sertifikalar hâlâ hayatımızda: iç servisler, sağlayıcı vermiş kartlar, müşteri adresli özel alanlar. Bunlar için tek bir merkezî takvim tutun — son kullanma tarihini de, sorumlusunu da. Takvime not düşmek panik çözmez ama panik anında kimin koşacağını bilir. Gerçek çözüm her zaman aynı: sertifika aldığınız yeri, yenileyen süreci ve izleyen denetimi tek bir çizgiye bağlamak.

Son kullanma tarihini takvimden otomasyona taşımak bir öğleden sonralık iştir; karşılığı ise her doksan günde bir kazanılmış saatler ve tarayıcıda kırmızı uyarıyla karşılaşmayan ilk kullanıcıdır. Panik yok, sadece takvim yerine sürece güvenin.

Kapsamı belirlerken tek soruyu sorun: bu alan adına dokunabilen kim? Cevap "yalnızca otomasyon" ise zaten işiniz bitmiştir. Cevapta bir elle yönetilen alan adı varsa — üçüncü taraf bir sağlayıcının üzerinde çalıştığınız, doğrulama kanalına erişemediğiniz bir adres — o adı izleme listesine alıp sorumlusunu yazın. En sık görülen ihlal bu karışık gruptan çıkar: her şey otomatikken tek bir unutulmuş alan adı, bütün güvenilirlik hikâyesini bir gecede gölgeler. Liste yılda bir gözden geçirilsin; kapanmış projelerin adresleri listede susuz kalsın, yenileri ilk gün eklensin. Böylece listenin kendisi de sertifikalar gibi taze kalır ve her doksan günün sonunda beklenen şey yalnızca sessizlik olur.