En Sık Kullanılan OpenSSL Komutları

Bir sunucuda SSL ile ilgili herhangi bir sorunu çözmeye oturduğunuzda, tarayıcı ekranındaki kırmızı uyarıya bakarak değil, komut satırına bir openssl komutu yazarak başlarsınız. OpenSSL yıllardır Linux dünyasının fiili standardı olan, sertifikaları okuyan, anahtar üreten, zinciri doğrulayan ve sunucuyla gerçek bir TLS el sıkışması yapıp size ham gerçeği söyleyen bir araçtır. Panelde görünmeyen "aslında hangi sertifika sunuluyor", "zincir tam mı", "anahtar bu sertifikaya mı ait" gibi soruların cevabı hep bu komutların içinde saklıdır.

Bu rehberde, günlük işlerde en sık ihtiyaç duyacağınız OpenSSL komutlarını kategoriler halinde topladık: sertifika ve anahtar inceleme, üretim, doğrulama, format dönüştürme ve canlı bağlantı testi. Her komutun ne işe yaradığını tek cümleyle özetledik, gerçekçi örneklerle destekledik. Amaç ezber değil; hangi durumda hangi komuta uzanacağınızı bilmeniz. Bir CSR üretmeniz gerektiğinde, bir müşteri "sertifikam çalışmıyor" dediğinde ya da yeni bir sunucuya SSL kurarken bu sayfayı açıp doğrudan işinize yarayan satırı bulabilmeniz.

OpenSSL Neden Her Sistem Yöneticisinin Cebinde Olmalı#

OpenSSL sadece sertifika kuran bir araç değil, aynı zamanda bir teşhis kitidir. SSL/TLS ile ilgili sorunların büyük çoğunluğu üç sebepten kaynaklanır: eksik ara sertifika zinciri, sertifika ile özel anahtarın uyuşmaması ve süresi dolmuş ya da yanlış alan adına kesilmiş sertifikalar. Bu üç sorunun da tanısı tarayıcıdan değil, terminalden konur. Tarayıcı size "güvenli değil" der ama nedenini net söylemez; OpenSSL ise size sertifikanın seri numarasından geçerlilik tarihine, imzalayan otoriteden desteklenen şifreleme paketine kadar her şeyi gösterir.

Neredeyse tüm modern Linux dağıtımlarında OpenSSL kuruludur. Sürümünüzü kontrol etmek için tek satır yeterlidir.

# Kurulu OpenSSL sürümünü ve derleme tarihini gösterir
openssl version -a

Sürümün 1.1.1 veya üzeri (tercihen 3.x) olması, TLS 1.3 ve modern şifreleme paketlerini destekliyor olması açısından önemlidir. Çok eski sürümlerde bazı komut bayrakları farklı davranabilir, bu yüzden bir sorunla karşılaştığınızda önce sürümünüze bakmak iyi bir alışkanlıktır. SSL sertifikalarının temel mantığını hatırlamak isterseniz SSL sertifikası nedir yazımız iyi bir başlangıç noktasıdır.

Sertifika ve Anahtar İnceleme Komutları#

Bir sertifikanın içinde ne olduğunu görmek, OpenSSL ile yaptığınız işlerin belki de yüzde ellisidir. En temel ve en çok kullanılan komut, sertifikayı insan tarafından okunabilir metne çeviren x509 -text komutudur.

# Sertifikanın tüm ayrıntılarını (özne, veren, tarihler, uzantılar) okunabilir gösterir
openssl x509 -in sertifika.crt -text -noout

Buradaki -noout bayrağı, sertifikanın kodlanmış ham halini ekrana basmayıp yalnızca çözümlenmiş metni göstermesini sağlar. Çıktıda dikkat etmeniz gereken alanlar şunlardır: Subject (sertifikanın kesildiği alan adı), Issuer (imzalayan otorite), Validity (başlangıç ve bitiş tarihleri) ve Subject Alternative Name (SAN — sertifikanın kapsadığı tüm alan adları). Modern tarayıcılar artık yalnızca SAN alanına bakar, Subject içindeki eski CN alanına değil; bu yüzden bir "alan adı uyuşmuyor" hatasında ilk bakacağınız yer SAN listesidir.

Her seferinde tüm metni okumak yerine yalnızca merak ettiğiniz bilgiyi çekmek çoğu zaman daha hızlıdır. Aşağıdaki tablo, en sık kullanılan tek amaçlı inceleme komutlarını özetliyor.

Bir özel anahtarın içeriğini ve geçerliliğini kontrol etmek isterseniz rsa (veya EC anahtarları için ec) modülünü kullanırsınız.

# Özel anahtarın yapısını doğrular ve bilgilerini gösterir; bozuksa hata verir
openssl rsa -in ozel.key -check -noout

Aynı şekilde henüz imzalanmamış bir CSR (Certificate Signing Request) dosyasının içine bakmak da sık ihtiyaç duyulan bir işlemdir; içine yazdığınız alan adının ve organizasyon bilgilerinin doğru gittiğini teyit etmek için kullanılır.

# CSR içindeki alan adı, organizasyon ve anahtar bilgilerini gösterir
openssl req -in istek.csr -text -noout -verify

Anahtar, CSR ve Sertifika Üretme#

Yeni bir sertifika almanın ilk adımı, bir özel anahtar ve buna bağlı bir CSR üretmektir. CSR, sertifika otoritesine "şu alan adı için, şu açık anahtarla bir sertifika istiyorum" diyen imzalı bir istektir. En yaygın senaryo, 2048 bit RSA anahtarla birlikte tek komutta CSR üretmektir.

# 2048 bit RSA özel anahtar ve buna bağlı bir CSR üretir
openssl req -new -newkey rsa:2048 -nodes \
  -keyout orneksite.key -out orneksite.csr

Buradaki -nodes bayrağı, özel anahtarı parola ile şifrelemez; web sunucusunun her yeniden başlatmada parola sormaması için bu tercih edilir. Komut çalışınca size Country, State, Organization ve en önemlisi Common Name soracaktır — Common Name alanına mutlaka sertifikayı kullanacağınız tam alan adını (www.ornekbir.com gibi) yazmalısınız. Bilgileri interaktif girmek yerine tek satırda geçmek isterseniz -subj parametresini kullanabilirsiniz.

# CSR bilgilerini soru sormadan tek satırda geçerek üretir
openssl req -new -newkey rsa:2048 -nodes -keyout site.key -out site.csr \
  -subj "/C=TR/ST=Istanbul/O=Ornek Bilisim/CN=ornekbir.com"

Çoklu alan adı ya da wildcard bir sertifika üretmeniz gerekiyorsa, SAN alanlarını bir yapılandırma dosyası üzerinden ya da modern OpenSSL'de -addext ile eklersiniz.

# Birden fazla alan adını SAN olarak içeren bir CSR üretir
openssl req -new -newkey rsa:2048 -nodes -keyout site.key -out site.csr \
  -subj "/C=TR/O=Ornek Bilisim/CN=ornekbir.com" \
  -addext "subjectAltName=DNS:ornekbir.com,DNS:www.ornekbir.com"

Test ortamları, iç ağlar veya geliştirme sunucuları için otorite imzasına gerek duymadan kendi kendine imzalı (self-signed) sertifika üretmek de çok pratiktir. Bu tür sertifikalar tarayıcıda uyarı verir ama fonksiyonel olarak TLS'i çalıştırır.

# 365 gün geçerli, kendi kendine imzalı bir sertifika üretir
openssl req -x509 -newkey rsa:2048 -nodes -days 365 \
  -keyout dev.key -out dev.crt -subj "/CN=localhost"

Üretim ortamında ücretsiz ve güvenilir bir sertifika istiyorsanız Let's Encrypt en yaygın seçenektir; yönetilen kurulum için Clou.TR'nin SSL çözümleri sayfasına ve WordPress kurulumlarında sertifikayı otomatik yenileyen WordPress bakım hizmetine göz atabilirsiniz.

Sertifika Doğrulama ve Zincir Kontrolü#

Bir sertifikanın tarayıcılar tarafından kabul edilmesi için, kök otoriteye kadar uzanan zincirin tam olması gerekir. En sık yaşanan üretim sorunu, ara sertifikanın (intermediate) sunucuya kurulmaması ve bazı tarayıcıların/mobil cihazların bağlantıyı reddetmesidir. Zincirin geçerli olup olmadığını yerel olarak doğrulamak için verify komutunu kullanırsınız.

# Sertifikayı verilen ara/kök zincire karşı doğrular; başarılıysa "OK" döner
openssl verify -CAfile zincir.pem sertifika.crt

Burada zincir.pem, ara ve kök sertifikaları birleştirdiğiniz dosyadır. Komut sertifika.crt: OK dönerse zincir sağlamdır; unable to get local issuer certificate gibi bir hata dönerse zincirde bir halka eksiktir. Bu tür "eksik zincir" hataları ve çözümleri hakkında ayrıntı için SSL hataları çözümü yazımıza bakabilirsiniz.

Bir sertifikanın hangi sertifika tarafından imzalandığını, yani zincirdeki bir üst halkayı doğrulamak için özne ve veren karşılaştırması yaparsınız. Aşağıdaki iki komutun çıktısı birbiriyle uyuşmalıdır.

# Sertifikanın "veren" (issuer) değerini gösterir
openssl x509 -in sertifika.crt -noout -issuer

# Ara sertifikanın "özne" (subject) değerini gösterir — üstteki issuer ile eşleşmeli
openssl x509 -in ara.crt -noout -subject

Sertifikanın süresinin belli bir tarihe kadar geçerli olup olmadığını script içinde kontrol etmek isterseniz -checkend bayrağı çok kullanışlıdır; belirtilen saniye içinde sertifika sona erecekse çıkış kodu sıfırdan farklı döner.

# Sertifika 30 gün içinde (2592000 sn) sona erecekse hata kodu döner
openssl x509 -in sertifika.crt -noout -checkend 2592000

Bu komutu bir cron görevine bağlayarak sertifikalarınızın süresi dolmadan haber almanızı sağlayabilirsiniz. Süre takibini elle uğraşmadan yapmak isterseniz Clou.TR panelindeki izleme ve yedekleme araçları bu tür rutin kontrolleri sizin yerinize üstlenir.

Anahtar ile Sertifikanın Eşleştiğini Doğrulama#

Sertifika kurulumlarındaki en sinir bozucu hatalardan biri, yanlış özel anahtarla sertifikayı eşleştirmeye çalışmaktır. Web sunucusu "key values mismatch" der ve site açılmaz. Bunun kesin tanısı, sertifika ile anahtarın ürettiği açık anahtar (modulus) değerinin aynı olup olmadığını karşılaştırmaktır. Klasik yöntem, her ikisinin modulus değerinin MD5 özetini alıp karşılaştırmaktır.

# Sertifikanın modulus değerinin MD5 özetini üretir
openssl x509 -in sertifika.crt -noout -modulus | openssl md5

# Özel anahtarın modulus değerinin MD5 özetini üretir
openssl rsa -in ozel.key -noout -modulus | openssl md5

# CSR'nin modulus değerinin MD5 özetini üretir (istersen üçünü de kıyasla)
openssl req -in istek.csr -noout -modulus | openssl md5

Bu üç komutun ürettiği MD5 hash'i birebir aynı çıkıyorsa sertifika, anahtar ve CSR aynı çifte aittir ve kurulum sorunsuz çalışır. Değerlerden biri farklıysa, yanlış dosyayı kullanıyorsunuz demektir — çoğu zaman eski bir yenileme işleminden kalan farklı bir .key dosyası karışmıştır. Burada MD5'in kriptografik olarak zayıf olması bir sorun değildir; çünkü bir güvenlik imzası değil, yalnızca iki değerin aynı olup olmadığını hızlıca karşılaştıran bir parmak izi olarak kullanılıyor.

Karşılaştırmayı tek satırda otomatikleştirmek isterseniz, iki özeti değişkene atayıp koşulla kontrol edebilirsiniz.

# İki modulus özetini karşılaştırır ve eşleşip eşleşmediğini yazar
c=$(openssl x509 -in sertifika.crt -noout -modulus | openssl md5)
k=$(openssl rsa -in ozel.key -noout -modulus | openssl md5)
[ "$c" = "$k" ] && echo "Eşleşiyor" || echo "Eşleşmiyor"

Format Dönüştürme (PEM, DER, PFX/PKCS12)#

Farklı sunucu yazılımları sertifikaları farklı formatlarda ister. Apache ve Nginx genellikle metin tabanlı PEM formatını (.crt, .pem) kullanırken; Windows/IIS ve Java tabanlı sistemler ikili DER (.der, .cer) ya da anahtar ve sertifikayı tek dosyada birleştiren PFX/PKCS12 (.pfx, .p12) formatını tercih eder. OpenSSL bu formatlar arasında köprü kuran araçtır.

Aşağıdaki tablo hangi dönüştürme için hangi komuta ihtiyaç duyduğunuzu özetliyor.

PEM formatındaki bir sertifikayı DER'e çevirmek için x509 modülünün giriş ve çıkış format bayraklarını kullanırsınız.

# PEM formatındaki sertifikayı ikili DER formatına çevirir
openssl x509 -in sertifika.pem -outform DER -out sertifika.der

Nginx veya Apache'ye kuracağınız bir sertifikayı ve anahtarı Windows'a taşımanız gerektiğinde, ikisini tek bir PFX dosyasında birleştirirsiniz. Bu dosya bir parola ile korunur.

# Sertifika, özel anahtar ve zinciri tek bir şifreli PFX dosyasına paketler
openssl pkcs12 -export -out paket.pfx \
  -inkey ozel.key -in sertifika.crt -certfile zincir.crt

Tersi de sık gerekir: müşteri size bir .pfx dosyası gönderdiğinde, içindeki sertifika ve anahtarı Linux sunucusu için ayrı PEM dosyalarına çıkarırsınız.

# PFX içindeki sertifikayı çıkarır (anahtar hariç)
openssl pkcs12 -in paket.pfx -clcerts -nokeys -out sertifika.crt

# PFX içindeki özel anahtarı şifresiz olarak çıkarır
openssl pkcs12 -in paket.pfx -nocerts -nodes -out ozel.key

Bu tür taşıma ve dönüştürme işlerini bir sunucudan diğerine yaparken sertifikaların ve site dosyalarının bütününü sorunsuz aktarmak için Clou.TR'nin ücretsiz site taşıma hizmetinden faydalanabilirsiniz.

Canlı Bağlantı Testi (openssl s_client)#

Şimdiye kadar hep dosyalarla çalıştık; ama gerçek dünyada en güçlü teşhis, çalışan bir sunucuya bağlanıp "sen tarayıcıya gerçekte hangi sertifikayı sunuyorsun" diye sormaktır. Bunu yapan komut s_client -connect komutudur ve bir SSL sorununu çözerken en çok başvurulan araçtır.

# Sunucuya TLS bağlantısı kurar ve sunulan sertifika zincirini gösterir
openssl s_client -connect ornekbir.com:443 -servername ornekbir.com

Buradaki -servername bayrağı (SNI) çok önemlidir; aynı IP üzerinde birden fazla site barındıran modern sunucularda, hangi alan adı için sertifika istediğinizi söyler. Onu atlarsanız yanlış (varsayılan) sertifikayı görebilir ve boşuna hata ararsınız. Komutun çıktısında Certificate chain bölümü sunulan tüm zinciri, Verify return code satırı ise doğrulamanın başarılı olup olmadığını gösterir; 0 (ok) her şeyin yolunda olduğu anlamına gelir.

Çıktı çok uzun olduğu için genellikle işe yarayan kısmı süzeriz. Örneğin yalnızca sunulan sertifikanın geçerlilik tarihlerini görmek için s_client çıktısını x509'a bağlarsınız.

# Canlı sunucudaki sertifikanın başlangıç ve bitiş tarihlerini gösterir
echo | openssl s_client -connect ornekbir.com:443 -servername ornekbir.com 2>/dev/null \
  | openssl x509 -noout -dates

Web dışındaki servisleri test etmek için s_client başlangıç (STARTTLS) protokolünü de destekler; örneğin bir mail sunucusunun sertifikasını kontrol etmek için -starttls bayrağını kullanırsınız.

# SMTP sunucusunun STARTTLS ile sunduğu sertifikayı test eder
openssl s_client -connect mail.ornekbir.com:587 -starttls smtp

Aynı yöntemle sunucunun hangi TLS sürümlerini desteklediğini de anlayabilirsiniz. Örneğin -tls1_2 ya da -tls1_3 bayrağını ekleyip bağlantının kurulup kurulmadığına bakarak, eski ve güvensiz protokollerin kapalı olduğunu teyit edersiniz. E-posta altyapınızın TLS ile doğru yapılandırıldığından emin olmak için Clou.TR'nin kurumsal e-posta çözümlerini inceleyebilirsiniz.

Günlük Kullanım İçin Pratik İpuçları#

OpenSSL komutlarını verimli kullanmanın sırrı, tek amaçlı küçük komutları boru (pipe) ile zincirleyip doğrudan cevabı almaktır. Örneğin bir sunucudaki sertifikanın parmak izini alıp elinizdeki dosyayla karşılaştırarak, doğru sertifikanın gerçekten kurulu olduğunu saniyeler içinde teyit edebilirsiniz. Aşağıdaki tablo, sık başa gelen senaryoları ve gidilecek komutu özetliyor.

Bir güvenlik alışkanlığı olarak, ürettiğiniz özel anahtarların dosya izinlerini daima kısıtlayın; .key dosyaları yalnızca root ya da web sunucusu kullanıcısı tarafından okunabilir olmalıdır (chmod 600). Şifresiz (-nodes) anahtarları yedeklerken de aynı özeni gösterin, çünkü bu dosyalar tek başına sertifikanızın kontrolünü ele geçirmeye yeter. Sunucu güvenliğini bir bütün olarak ele almak isterseniz, önüne bir güvenlik duvarı koymak için WAF ve saldırılara karşı DDoS koruma hizmetleri iyi bir tamamlayıcıdır.

Son olarak, güçlü rastgele değerler veya geçici parolalar üretmek gerektiğinde OpenSSL yine yanınızdadır. Örneğin güvenli bir parola ya da API anahtarı üretmek çok basittir.

# Base64 kodlanmış 24 baytlık rastgele güçlü bir dize üretir
openssl rand -base64 24

Bu ve benzeri küçük ama güçlü komutlar, OpenSSL'i sadece bir SSL aracı olmaktan çıkarıp günlük iş akışınızın bir parçası yapar. Sunucunuzu tümüyle yönetilmiş bir ortamda barındırmak isterseniz sunucu yönetimi hizmetimiz bu rutin işlerin çoğunu sizin yerinize üstlenir.

Sıkça Sorulan Sorular#

openssl s_client komutu bağlanmıyor, sürekli takılı kalıyor, ne yapmalıyım?#

Komutun cevap dönmeden askıda kalmasının en yaygın nedeni, sunucunun beklediği ilk veriyi göndermemenizdir. Bunu çözmek için komutun başına echo | ekleyerek boş bir girdi gönderin, böylece OpenSSL el sıkışmayı tamamlayıp çıkışı gösterir. Ayrıca hedef portun (genellikle 443) sunucuda açık ve erişilebilir olduğundan, güvenlik duvarınızın bağlantıyı engellemediğinden emin olun; bir mail servisi test ediyorsanız -starttls smtp gibi ilgili protokol bayrağını eklemeyi unutmayın.

Sertifikam ile özel anahtarımın eşleşip eşleşmediğini nasıl anlarım?#

Bunun kesin yolu, sertifika ve anahtarın modulus değerlerinin MD5 özetlerini karşılaştırmaktır. openssl x509 -in sertifika.crt -noout -modulus | openssl md5 ile openssl rsa -in ozel.key -noout -modulus | openssl md5 komutlarını çalıştırın ve çıkan iki hash değerini karşılaştırın. Değerler birebir aynıysa sertifika ve anahtar aynı çifte aittir; farklıysa yanlış anahtar dosyasını kullanıyorsunuz demektir ve doğru .key dosyasını bulmanız gerekir.

CSR oluştururken Common Name alanına ne yazmalıyım?#

Common Name alanına, sertifikayı kullanacağınız tam alan adını yazmalısınız; örneğin www.ornekbir.com veya wildcard sertifika için *.ornekbir.com gibi. Buraya şirket adı, başlık ya da bir açıklama yazmak yaygın bir hatadır ve sertifikanın yanlış alan adına kesilmesine yol açar. Birden fazla alan adını tek sertifikada toplamak istiyorsanız Common Name'e ana alan adını yazıp diğerlerini SAN (subjectAltName) alanına eklemeniz gerekir.

PFX dosyasını Nginx sunucusunda nasıl kullanırım?#

Nginx doğrudan PFX formatını desteklemez, bu yüzden dosyayı önce PEM formatına ayırmanız gerekir. openssl pkcs12 -in paket.pfx -clcerts -nokeys -out sertifika.crt komutuyla sertifikayı, openssl pkcs12 -in paket.pfx -nocerts -nodes -out ozel.key komutuyla da özel anahtarı çıkarın. Elde ettiğiniz .crt ve .key dosyalarını Nginx yapılandırmasındaki ssl_certificate ve ssl_certificate_key satırlarına tanımlayarak kullanabilirsiniz.

OpenSSL komutlarını Windows üzerinde de çalıştırabilir miyim?#

Evet, çalıştırabilirsiniz. Windows 10 ve sonrasında yerleşik gelen OpenSSH ile birlikte OpenSSL de sıkça bulunur; bulamazsanız Git for Windows kurulumu içindeki Git Bash terminali OpenSSL'i hazır getirir. Ayrıca WSL (Windows Subsystem for Linux) kurup gerçek bir Linux ortamında bu komutların tamamını hiçbir uyarlama yapmadan aynen kullanabilir, böylece bu rehberdeki tüm örnekleri Windows'ta da birebir uygulayabilirsiniz.

Bir sertifikanın süresinin ne zaman dolacağını komutla nasıl öğrenirim?#

Sertifikanın geçerlilik tarihlerini görmek için openssl x509 -in sertifika.crt -noout -dates komutunu kullanın; bu size notBefore ve notAfter değerlerini verir. Süre kontrolünü otomatikleştirmek isterseniz openssl x509 -in sertifika.crt -noout -checkend 2592000 komutu, sertifika 30 gün içinde bitecekse hata kodu döner ve bunu bir cron görevine bağlayarak zamanında uyarı alabilirsiniz. Canlı bir sunucudaki sertifika için de s_client çıktısını x509 -dates'e bağlayarak aynı bilgiye ulaşabilirsiniz.

Kapanış#

OpenSSL, ilk bakışta bayrakları bol ve ürkütücü görünen bir araç olsa da, aslında bir avuç komutu kavradığınızda SSL ile ilgili neredeyse her sorunu dakikalar içinde teşhis etmenizi sağlayan güçlü bir yardımcıdır. İncelemek için x509 -text, canlı test için s_client -connect, eşleştirme için modulus | md5 ve dönüştürme için pkcs12 — bu dört ailenin komutları, günlük işlerinizin büyük çoğunluğunu karşılar. Bu sayfayı yer imlerinize ekleyip ihtiyaç duyduğunuzda doğrudan ilgili satıra uzanmanız, hem zamandan kazandırır hem de sertifika sorunlarını tahmin yerine kesin bilgiyle çözmenizi sağlar.

Bu komutlarla uğraşmak yerine SSL'in kurulumundan yenilenmesine kadar her şeyi güvenilir bir ekibe bırakmak isterseniz Clou.TR yanınızda. Ücretsiz SSL sertifikası, otomatik yenileme ve uzman desteğiyle gelen hosting paketlerimizi, yüksek performanslı sunucu çözümlerimizi ve tüm SSL hizmetlerimizi inceleyerek altyapınızı ilk günden itibaren güvenli bir zemine oturtabilirsiniz. Alan adından barındırmaya, güvenlikten yönetime kadar ihtiyaç duyduğunuz her adımda size eşlik etmekten memnuniyet duyarız.