cPanel AutoSSL Çalışmıyor: Kontrol ve Çözüm Rehberi

cPanel'de AutoSSL çalışmıyorsa sorun çoğunlukla sertifika kuruluşunun alan adınızı doğrulayamamasıdır: alan adı veya AAAA kaydı başka bir sunucuyu gösteriyordur, /.well-known/ yoluna erişim engelleniyordur ya da CAA kaydı sertifika kuruluşuna izin vermiyordur. Teşhise tahminle değil, SSL/TLS Status ekranındaki hata metniyle başlayın; ardından DNS kayıtlarını, doğrulama yolunu ve CAA kaydını sırayla kontrol edin. Sertifikanın ilk kez nasıl kurulacağını cPanel'de SSL kurulumu yazısında anlattık; bu rehber yalnızca sorun gidermeye odaklanır.

Sıralı teşhis akışı

Adımları bu sırayla uygulayın; önceki adımda bulunan bir sorun, sonraki kontrollerin sonucunu da değiştirir.

1. Hata metnini okuyun: SSL/TLS Status ekranında hangi adların sorunlu olduğunu ve hata metnini not edin.
2. Hesabın durumuna bakın: Hesap askıya alınmışsa veya disk kotası dolmuşsa AutoSSL sertifika alamaz.
3. A kaydını kontrol edin: Alan adı ve www sürümü hesabınızın IP adresini gösteriyor mu?
4. AAAA kaydını kontrol edin: IPv6 kaydı varsa doğru sunucuyu gösteriyor mu?
5. Doğrulama yolunu test edin: /.well-known/ altındaki bir dosya dışarıdan açılabiliyor mu?
6. Engelleri arayın: Yönlendirme, .htaccess kuralı, klasör parolası, güvenlik eklentisi veya Cloudflare kuralı doğrulamayı durduruyor mu?
7. CAA kaydını kontrol edin: Kayıt varsa sertifika kuruluşuna izin veriyor mu?
8. Bir kez yeniden deneyin: Nedeni giderdikten sonra AutoSSL'i bir kez çalıştırın; art arda denemek oran sınırlarına takılmanıza yol açabilir.
9. Çözülmediyse destek talebi açın: Yazının sonundaki kontrol listesindeki bilgileri ekleyin.

Önce hata metnini okuyun: SSL/TLS Status

cPanel'in Security bölümündeki SSL/TLS Status ekranı, hesabınızdaki her adın sertifika durumunu listeler. Paneliniz birleşik SSL/TLS Certificates ekranını kullanıyorsa aynı bilgiler bu ekranın Status sekmesindedir. Üç yere bakın:

• Certificate Status sütunu: AutoSSL bir adda hata aldıysa hata metni burada, AutoSSL'in o ad için son çalıştığı zamanla birlikte görünür.
• Has AutoSSL Problems filtresi: Filtre simgesinden bu seçeneği işaretleyerek yalnızca sorunlu adları listeleyin.
• View Certificate: Sertifikası olan adlarda sertifikanın kapsadığı adları, bitiş tarihini ve sertifikayı düzenleyen kuruluşu (issuer) gösterir. Sertifikanızı hangi kuruluşun verdiğini varsaymak yerine buradan okuyun; CAA kontrolünde bu bilgi gerekecek.

Sağlayıcınız bildirimleri açık bıraktıysa AutoSSL hataları, cPanel'deki Contact Information ekranında tanımlı adrese e-postayla da gelir. Hata metninde geçen ifadeler sorunun yerini çoğu zaman doğrudan gösterir:

Sorunun kapsamı da ipucu verir. Tüm adlar başarısızsa genellikle alan adı sunucuyu göstermiyordur veya doğrulama yolu site genelinde engellenmiştir. Yalnızca webmail. veya cpanel. gibi bazı alt adlar başarısızsa sorun büyük olasılıkla o adların DNS kayıtlarındadır; aşağıdaki sertifika kapsamı bölümüne bakın.

Alan adı doğrulaması (DCV) nasıl çalışır?

Sertifika kuruluşu, sertifikayı vermeden önce alan adını kontrol ettiğinizi doğrular (Domain Control Validation, DCV). cPanel AutoSSL iki yöntem kullanır; bir ad için bunlardan birinin başarılı olması yeterlidir:

• HTTP doğrulaması: Sistem, alan adının belge kök dizininde /.well-known/ altına geçici bir dosya koyar ve dosyanın alan adı üzerinden, 80 numaralı port üzerinden okunabildiğini kontrol eder. cPanel önce kendi ön kontrolünü /.well-known/pki-validation/ yolunda yapar; Let's Encrypt ise dosyayı /.well-known/acme-challenge/ altında arar ve bu isteği birden çok noktadan gönderebilir.
• DNS doğrulaması: Sistem, alan adının DNS bölgesine geçici bir kayıt ekler. Bunun için alan adının DNS'inin bu cPanel sunucusunda veya sunucunun bağlı olduğu DNS kümesinde barındırılması gerekir.

DNS'iniz alan adı firmasında, Cloudflare'de veya başka bir DNS hizmetindeyse DNS doğrulaması başarısız olur; cPanel belgelerine göre bu beklenen bir durumdur. Kaydı elle eklemek de işe yaramaz, çünkü cPanel her denemede farklı bir değer üretir. Bu durumda sertifikanın alınması tamamen HTTP doğrulamasına bağlıdır.

HTTP doğrulamasını test edin

1. File Manager ekranında Settings altından Show Hidden Files (dotfiles) seçeneğini açın. .well-known klasörü nokta ile başladığı için varsayılan olarak görünmez.
2. Alan adının belge kök dizininde (ana alan adı için genellikle public_html) .well-known/pki-validation/ klasörüne test.txt adında bir dosya oluşturun ve içine birkaç karakter yazın. Klasör yoksa oluşturun.
3. Kendi bilgisayarınızdan aşağıdaki komutla dosyayı isteyin.

curl -IL http://alanadi.com/.well-known/pki-validation/test.txt

Son yanıt 200 olmalıdır. 404, 403 veya 401 görüyorsanız ya da istek başka bir alan adına yönleniyorsa doğrulama da aynı engele takılır. Testi www.alanadi.com ve sorunlu diğer alt adlar için tekrarlayın, bitince test dosyasını silin.

Yönlendirmeler ve .htaccess kuralları

http'den https'e yönlendirme tek başına sorun değildir. Let's Encrypt yönlendirmeleri 10 adıma kadar izler, yalnızca 80 ve 443 portlarına giden http ve https yönlendirmelerini kabul eder ve bu sırada sertifikanın geçerliliğine bakmaz. Doğrulamayı bozan durumlar şunlardır:

• İsteğin doğrulama dosyası bulunmayan başka bir alan adına veya sunucuya yönlenmesi,
• Tüm istekleri uygulamanın index.php dosyasına ileten ve /.well-known/ için istisna içermeyen yeniden yazma kuralları (uygulama 404 döndürür),
• Nokta ile başlayan tüm dosya ve klasörlere erişimi yasaklayan güvenlik kuralları (.well-known da bu kapsama girer, 403 alınır),
• Directory Privacy ile parola konmuş belge kök dizini (401 alınır),
• Bakım modu, ülke veya IP engelleme yapan eklentiler.

Sorunun .htaccess kaynaklı olup olmadığını anlamak için dosyanın yedeğini alın, adını geçici olarak değiştirin, testi tekrarlayın ve dosyayı hemen geri koyun; bu sırada sitenin bazı adresleri kısa süre çalışmayabilir. Sorun buysa kalıcı çözüm, doğrulama yollarını diğer kurallardan önce muaf tutmaktır:

RewriteEngine On
RewriteRule ^\.well-known/(acme-challenge|pki-validation)/ - [L]

Bu satırları .htaccess dosyasının en üstüne, diğer yeniden yazma kurallarından önce ekleyin. Güvenlik eklentinizde gizli dosyaları engelleyen bir ayar varsa /.well-known/ için istisna tanımlayın.

Cloudflare ve benzeri proxy hizmetleri

Cloudflare'de kayıt proxy modundayken (Proxied, turuncu bulut) alan adı sunucunuzun değil Cloudflare'in IP adreslerine çözülür. Bu tek başına doğrulamayı engellemez; istek Cloudflare üzerinden hesabınızın IP adresine ulaşıyorsa HTTP doğrulaması geçebilir. Dikkat edilecek noktalar:

• Güvenlik ayarları: Cloudflare'in güvenlik kuralları veya bot korumaları /.well-known/acme-challenge/ isteklerini engellerse hata metninde 403 ve urn:ietf:params:acme:error:unauthorized görülür. Bu yola izin veren bir kural tanımlayın ya da kaydı geçici olarak DNS only moduna alıp AutoSSL'i çalıştırın.
• DNS doğrulaması yapılamaz: DNS Cloudflare'de olduğu için her şey HTTP doğrulamasına kalır.
• Servis alt alan adları: mail., cpanel., webmail. gibi adlar için Cloudflare'de kayıt yoksa bu adlar sertifikaya giremez.
• Tarayıcıda gördüğünüz sertifika: Proxy açıkken ziyaretçiye sertifikayı Cloudflare sunar. Sunucudaki AutoSSL sertifikasının durumunu tarayıcıdan değil, SSL/TLS Status ekranından kontrol edin.

A ve AAAA kayıtlarını kontrol etme

AutoSSL yalnızca hesabınızın IP adresini (veya bu adrese yönlendiren bir proxy'yi) gösteren adlar için sertifika alabilir. Hesabınızın IP adresi cPanel ana sayfasındaki General Information bölümünde Shared IP Address veya Dedicated IP Address olarak görünür. Ardından kendi bilgisayarınızdan sorgulayın:

dig +short A alanadi.com
dig +short A www.alanadi.com
dig +short AAAA alanadi.com
dig +short AAAA www.alanadi.com
dig +short NS alanadi.com

Windows'ta aynı kontrolleri nslookup ile yapabilirsiniz:

nslookup -type=A alanadi.com
nslookup -type=AAAA alanadi.com
nslookup -type=NS alanadi.com

Örnek: hesabınızın IP adresinin 203.0.113.10 olduğunu ve Cloudflare gibi bir proxy kullanmadığınızı varsayalım. A sorgusu 203.0.113.10 döndürmeli; AAAA sorgusu ise boş dönmeli ya da hesabınıza atanmış bir IPv6 adresini göstermelidir. A kaydı farklı bir adres gösteriyorsa kaydı alan adınızın DNS'inin yönetildiği yerde düzeltin; nameserver ile A kaydı yöntemleri arasındaki farkı alan adını hostinge bağlama yazısında anlattık.

AAAA kaydı neden doğrulamayı bozar?

Alan adında hem A hem AAAA kaydı varsa doğrulama önce IPv6 adresine gider. Let's Encrypt, IPv6 bağlantısı ağ düzeyinde zaman aşımına uğrarsa IPv4 ile yeniden dener; ancak IPv6 adresinde yanıt veren başka bir sunucu varsa ve bu sunucu doğrulama dosyasını bilmiyorsa IPv4'e dönmez, doğrulama başarısız olur. cPanel'in kendi ön kontrolü de AAAA kaydı varken IPv6 adresini esas alır. Eski bir sunucudan kalan veya unutulmuş AAAA kayıtları bu yüzden sık görülen bir nedendir.

Çözüm iki yoldan biridir: AAAA kaydını hesabınıza atanmış IPv6 adresine yönlendirin ya da alan adını IPv6 üzerinden sunmayı planlamıyorsanız AAAA kaydını silin. www ve diğer alt adlar için ayrı AAAA kayıtları olabileceğini unutmayın.

DNS değişikliğinden sonra

Kaydı düzelttikten hemen sonra AutoSSL'i çalıştırmak her zaman sonuç vermez. Eski kayıt, TTL süresi dolana kadar çözümleyicilerin önbelleğinde kalabilir; doğrulama birden çok noktadan yapılabildiği için ad sunucularınızın hepsinin aynı yanıtı vermesi gerekir. NS sorgusunda çıkan her ad sunucusuna ayrı ayrı sorun:

dig +short A alanadi.com @ns1.ornekdns.com
dig +short A alanadi.com @ns2.ornekdns.com

Yanıtlar aynı ve doğruysa AutoSSL'i çalıştırın. TTL ve yayılma süresinin mantığını DNS nedir yazısında bulabilirsiniz.

CAA kaydını kontrol etme

CAA kaydı, alan adınız için hangi sertifika kuruluşlarının sertifika verebileceğini belirler (RFC 8659). Alan adında hiç CAA kaydı yoksa her kuruluş sertifika verebilir. Kayıt varsa yalnızca listelenen kuruluşlar verebilir; AutoSSL'in kullandığı kuruluş listede değilse hata metninde CA forbidden görürsünüz.

dig +short CAA alanadi.com
dig +short CAA www.alanadi.com

Kuruluş, sertifika istenen addan başlayarak üst alan adına doğru ilerler ve bulduğu ilk CAA kaydını uygular. magaza.alanadi.com için sertifika istendiğinde önce bu adın, kayıt yoksa alanadi.com'un CAA kaydına bakılır; alt adın kendi CAA kaydı varsa ana alan adındaki kayıt o ad için uygulanmaz. CNAME kayıtları da izlenir: alt ad başka bir ada CNAME ile yönleniyorsa hedefin CAA kaydı geçerli olur.

Kaydın değeri, kuruluşun tanımlayıcı alan adıdır:

Hangi değerin gerektiğini varsaymayın; View Certificate ekranındaki düzenleyen kuruluş bilgisine ve hata metnine bakın. cPanel belgelerine göre güncel cPanel sürümlerinde AutoSSL sağlayıcısı Let's Encrypt'tir; eski sürümlerde varsayılan sağlayıcı Sectigo altyapısını kullanıyordu. Birden çok CAA kaydı birbirini tamamlar. Örnek: ana alan adında Sectigo'dan alınmış ücretli bir sertifika, diğer adlarda AutoSSL ile Let's Encrypt kullandığınızı varsayalım; bu durumda iki kuruluşa da izin verin:

alanadi.com.  3600  IN  CAA  0 issue "letsencrypt.org"
alanadi.com.  3600  IN  CAA  0 issue "sectigo.com"

issuewild etiketi, joker (wildcard) sertifikalar için ayrı bir izin tanımlamak istediğinizde gerekir; issuewild kaydı yoksa issue kaydı joker sertifikaları da kapsar. DNS'iniz cPanel sunucusundaysa kaydı Zone Editor ekranından ekleyebilirsiniz (Zone Editor ile DNS kaydı düzenleme); DNS başka bir yerdeyse o hizmetin panelinden ekleyin.

CAA sorgusu hata veriyorsa

SERVFAIL looking up CAA hatasında sorun kaydın içeriğinde değil, ad sunucusunun yanıtındadır. Kuruluş CAA sorgusuna sağlıklı bir yanıt alamazsa izin olup olmadığını bilemez ve sertifika vermez. En sık nedenler hatalı DNSSEC yapılandırması, CAA kaydı yokken boş yanıt yerine hata döndüren ad sunucusu yazılımı ve ad sunucularından birinin erişilemez olmasıdır. DNSSEC kullanıyorsanız imzaların ve alan adı firmasındaki DS kaydının güncel olduğunu kontrol edin. Ad sunucusu yalnızca kayıt yokken hata veriyorsa, cPanel'in önerdiği geçici çözüm alan adına letsencrypt.org değerli bir CAA kaydı eklemektir. Sorun sürerse DNS sağlayıcınızdan destek isteyin.

Sertifika kapsamı: hangi adlar sertifikaya girer?

AutoSSL tek bir adla değil, hesabınızdaki adların tamamıyla çalışır. Ana alan adı, ek alan adları (addon) ve alt alan adlarıyla birlikte her birinin www. sürümü ve mail. adı, ayrıca cpanel., webmail., webdisk. ve autodiscover. gibi servis alt alan adları sertifikaya eklenmeye çalışılır; whm. yalnızca bayi hesaplarında eklenir. Bilinmesi gerekenler:

• Her ad ayrı doğrulanır. AutoSSL yalnızca doğrulamayı geçen adları sertifikaya ekler. webmail.alanadi.com için DNS kaydı yoksa bu ad dışarıda kalır; sertifika geri kalan adlar için yine alınır.
• Kullanmadığınız adlar uyarı üretir. DNS'iniz dışarıdaysa ve servis alt alan adları için kayıt açmadıysanız bu adlar SSL/TLS Status ekranında sorunlu görünür. Kullanıyorsanız kayıtları hesabınızın IP adresine yönlendirin; kullanmıyorsanız ve ekranda Exclude seçeneği varsa bu adları AutoSSL dışında bırakabilirsiniz. Dışarıda bırakılan ada sertifika alınmaz.
• Ücretli sertifika mail. adını etkiler. Ana alan adında AutoSSL dışında kurulmuş bir sertifika varsa AutoSSL o alan adının mail. adını kapsamaz.
• Takma ad (alias) alan adlarının servis alt alan adları kapsanmaz.
• Sertifika başına ad sınırı vardır. Let's Encrypt bir sertifikada en fazla 100 ad kabul eder. Aynı site altında çok sayıda ad biriktiğinde AutoSSL öncelik sırasına göre seçim yapar ve düşük öncelikli adlar dışarıda kalabilir.

Joker (wildcard) sertifika

AutoSSL'den joker sertifika talep edemezsiniz; sertifikanın hangi adları içereceğine AutoSSL karar verir. Let's Encrypt sağlayıcısı, birden çok alt alan adını kapsamak için sertifikaya kendiliğinden *.alanadi.com ekleyebilir. Ancak Let's Encrypt joker adları yalnızca DNS doğrulamasıyla verdiği için bu, alan adının DNS'i cPanel sunucusunda barındırıldığında mümkündür; DNS'iniz başka bir yerdeyse joker kapsam oluşmaz. Ayrıca *.alanadi.com tek başına alanadi.com adını kapsamaz. Tüm alt adlar için garantili bir joker sertifikaya ihtiyacınız varsa ücretli SSL sertifikası seçeneklerine bakın.

Yenileme sorunları

AutoSSL sertifikayı bitmeden önce kendiliğinden yeniler; cPanel belgelerine göre Let's Encrypt sertifikaları bitişe 29 gün veya daha az kaldığında yenilenmeye başlanır. Let's Encrypt'in varsayılan sertifikaları bugün 90 gün geçerlidir. SSL/TLS Status ekranında bitişine bir aydan az kalmış bir AutoSSL sertifikası görüyorsanız yenileme denemeleri büyük olasılıkla başarısız oluyordur; nedeni yine Certificate Status sütunundaki hata metnindedir.

Sık görülen yenileme nedenleri

• Sonradan değişen DNS: Alan adı başka bir hizmete yönlendirildiyse, bir AAAA kaydı eklendiyse veya Cloudflare proxy'si açıldıysa ilk sertifikayı alan yapı artık doğrulamayı geçemeyebilir.
• Sonradan eklenen kurallar: Yeni bir güvenlik eklentisi, bakım modu veya .htaccess değişikliği /.well-known/ erişimini kesebilir.
• AutoSSL'in vermediği sertifika: Elle yüklenmiş bir sertifikanın süresi dolduğunda AutoSSL onu varsayılan olarak değiştirmez; uyarı metninde was not issued via AutoSSL ifadesi geçer. Ücretli sertifikanızı yenileyin ya da AutoSSL'e geçmek istiyorsanız süresi dolan sertifikayı SSL/TLS ekranının Manage SSL Sites bölümünden kaldırıp AutoSSL'i çalıştırın.
• Askıya alınmış hesap: AutoSSL askıdaki hesaplar için sertifika vermez.
• Dolu disk kotası: Doğrulama dosyası oluşturulamaz.

Oran sınırları

Let's Encrypt, kaynakların adil kullanımı için oran sınırları uygular. AutoSSL'i etkileyebilecek başlıcaları:

cPanel'de Let's Encrypt hesabı sunucunun geneline aittir; paylaşımlı bir sunucuda hesap başına sınırlara diğer hesapların siparişleri de sayılır. Sınıra takıldığınızda hata metni 429 ve rateLimited ifadelerini, çoğu zaman da yeniden deneme zamanını içerir. Sınırlar zamanla kendiliğinden dolar; sertifikayı iptal etmek sınırı sıfırlamaz. Yenileme siparişleri bu sınırların bir kısmından muaftır ve cPanel oran sınırları nedeniyle yeni sertifikaları yenilemelerin önüne alır. Pratik kural: nedeni gidermeden AutoSSL'i art arda çalıştırmayın; her başarısız deneme, başarısız doğrulama sınırından yer.

Sorunu giderdikten sonra AutoSSL'i çalıştırma

SSL/TLS Status ekranında Run AutoSSL düğmesi varsa tıklayın; işlem sürdüğü sürece AutoSSL is in progress mesajı görünür ve işlem bitince sayfa yenilenir. Bu düğme her panelde görünmez: cPanel belgelerine göre birleşik SSL/TLS Certificates ekranının Status sekmesi AutoSSL işlemlerini gizler; tek başına açılan SSL/TLS Status ekranında düğmelerin görünmesi ise sunucu tarafındaki ayarlara bağlıdır. Düğmeyi göremiyorsanız bir sonraki otomatik çalışmayı bekleyin veya destek ekibinden yeniden çalıştırmayı isteyin.

Destek talebinde paylaşılacak bilgiler

Kontrollerden sonra sorun sürüyorsa destek talebine şu bilgileri ekleyin; böylece teşhis ek yazışma gerektirmeden başlar:

• Alan adı ve sorunlu adların tam listesi (www., mail. ve alt alan adları)
• SSL/TLS Status ekranındaki hata metninin tamamı, ekran görüntüsü yerine metin olarak, ekranda görünen son çalışma zamanıyla birlikte
• dig çıktıları: alan adı ve www için A ve AAAA sorguları, ayrıca NS sorgusu
• Alan adı ve sorunlu alt ad için CAA sorgusunun çıktısı
• .well-known testindeki curl -IL çıktısı
• DNS'in nerede yönetildiği ve Cloudflare gibi bir proxy kullanılıp kullanılmadığı
• Son DNS, .htaccess veya eklenti değişikliğinin tarihi; sorunun ilk görüldüğü tarih ve saat (saat dilimiyle birlikte)
• Hesapta elle kurulmuş veya ücretli bir sertifika olup olmadığı

Talebe cPanel veya e-posta parolası yazmayın; bu teşhis için parola gerekmez.

Netx'te AutoSSL sorunları

Netx cPanel web hosting hesabınızda sertifika durumunu bu yazıda anlatılan SSL/TLS Status ekranından izleyebilirsiniz. Yukarıdaki kontrollerden sonra sorun sürerse kontrol listesindeki bilgilerle destek talebi açın. Joker sertifika, kurum doğrulamalı (OV/EV) sertifika veya AutoSSL'in kapsayamadığı bir senaryo için SSL sertifikası seçeneklerini inceleyebilirsiniz.

Sık sorulan sorular

AutoSSL ne zaman kendiliğinden çalışır?

cPanel, AutoSSL denetimini her gün otomatik olarak çalıştırır; yeni bir hesap oluşturulduğunda da bir çalışma başlar. Yeni açılan bir hesapta alan adı o anda sunucuyu göstermiyorsa ilk deneme başarısız olur ve sertifika, DNS yönlendirildikten sonraki çalışmalardan birinde alınır.

Sertifika alındı ama tarayıcı hâlâ "güvenli değil" diyor

Bu genellikle AutoSSL'in değil, kurulum sonrası ayarların sorunudur: http'den https'e yönlendirme eksik olabilir veya sayfada http ile yüklenen içerik kalmıştır. Kontrol adımlarını cPanel'de SSL kurulumu yazısında bulabilirsiniz.

AutoSSL e-posta programındaki sertifika uyarısını da çözer mi?

AutoSSL sertifikaları yalnızca web sitesine değil, e-posta servislerine ve cPanel servislerine de kurar. E-posta programında sunucu adı olarak sertifikada bulunan bir adı (ör. mail.alanadi.com) kullandığınızda uyarı çıkmaz. Bu ad sertifikada yoksa önce DNS kaydını kontrol edin.

Sertifika süreleri kısalacak mı?

Evet. Let's Encrypt, varsayılan sertifika süresini 10 Şubat 2027'den itibaren 64 güne, 16 Şubat 2028'den itibaren 45 güne indireceğini duyurdu. Otomatik yenileme sağlıklı çalıştığı sürece sizin bir şey yapmanız gerekmez; ancak yenileme daha sık yapılacağı için kalıcı bir doğrulama engeli daha çabuk kesintiye dönüşür.