Wildcard SSL ne zaman gerekir? Tek alan adı yerine kapsamlı güvenlik

Wildcard SSL (yıldızlı SSL), aynı ana domain altında oluşacak çok sayıda alt alan adını tek sertifika ile kapsamak için kullanılır. Bu yazıda hangi durumda Wildcard SSL’in pratik bir kazanım sağladığını, hangi senaryolarda SAN (Subject Alternative Name) veya tek domain sertifikasının daha doğru tercih olduğunu net kriterlerle öğreneceksiniz. Ayrıca tarayıcı uyumluluğu, kurulum kapsamı ve maliyet etkisini kararınıza doğrudan etki edecek şekilde ele alacağım.

Wildcard SSL tam olarak neyi kapsar?

Wildcard SSL’in mantığı basittir: örnek olarak *.ornek.com şeklindeki sertifika, api.ornek.com, panel.ornek.com, cdn.ornek.com gibi ilk seviye alt alan adlarını kapsar.

Kapsama kapsamı (beklenen ve sık yapılan hata)

• Sertifika *.ornek.com ise kapsananlar: a.ornek.com, b.ornek.com
• Sertifikanın kapsamadığı durumlar:
• a.b.ornek.com (iki seviye alt alan adı)
• Ana domain: ornek.com (çoğu kurulumda ayrıca ornek.com için de kapsam gerekir; CA (Certificate Authority) formatına göre ya sertifika içinde ayrıca yer alır ya da ayrı doğrulama gerekir)

Bu yüzden Wildcard SSL alırken “her şey otomatik çalışır” varsayımı yerine, subdomain mimarinizi ve seviye sayısını netleştirmek gerekir.

Ne zaman Wildcard SSL gerekir? Net senaryolar

Aşağıdaki durumlarda Wildcard SSL, tek tek sertifika yönetmeye göre somut fayda sağlar.

1) Subdomain sayısı öngörülemez veya sürekli artıyor

Yeni proje, yeni tenant, yeni servis veya yeni ekip çıktıkça subdomain üretmeniz gerekiyorsa Wildcard SSL net avantajdır. Örneğin: - Her müşteri için musteri1.sirket.com, musteri2.sirket.com gibi otomatik alt alan adı açmak - Test/preview ortamları için test-123.sirket.com gibi sık değişen adlar - Mikro servisler için api, auth, billing, cdn gibi birden fazla alt alan adının var olması

Burada Wildcard SSL’in asıl değeri: yeni subdomain eklediğinizde sertifika tekrar tekrar satın almanız/kurmanız gerekmez.

2) Aynı ana domain altında çok sayıda alt alan adı var

Aşağıdaki senaryoda SAN yerine Wildcard SSL tercih etmenizin nedeni yönetim kolaylığıdır. - 10-20 alt alan adı listesi sürekli güncelleniyor - Her yeni subdomain için SAN eklemek operasyonel yük oluşturuyor - Sertifikayı merkezî olarak yönetmek istiyorsunuz

3) Otomasyonla subdomain oluşturuyorsunuz

CI/CD (Continuous Integration/Continuous Delivery) veya altyapı otomasyonu ile subdomain üretimi yapıyorsanız Wildcard SSL genellikle daha deterministiktir. - terraform / script ile her ortam için env.sirket.com üretimi - Her sürüm için pr-<id>.sirket.com üretimi

4) Kurumsal cihaz/uygulama “tek sertifika” görmek istiyor

Bazı uygulamalar veya güvenlik kontrolleri, sertifikanın kapsadığı isimlerin sabit bir set olmasını ister. Wildcard SSL ile “tek kök sertifika” mantığı kurulur.

Not: Yine de uygulamanın “tam domain eşleşmesi” doğrulaması veya iki seviye alt alan adı gibi özel beklentileri varsa Wildcard her zaman tek çözüm olmaz.

Ne zaman Wildcard SSL yerine SAN (Multi-domain) daha doğru?

Wildcard SSL her durumda en iyi seçim değildir. Şu durumlarda SAN sertifikalar net şekilde daha uygundur.

1) İki seviye alt alan adlarına kadar kapsama gerekmesi

Wildcard SSL’in *.ornek.com ile sınırlı kaldığı kritik nokta şudur: a.b.ornek.com için kapsama garanti değildir. Bu durumda SAN ile tam listeyi belirtmek gerekir. - app.a.ornek.com - api.a.ornek.com

2) Alt alan adı sayısı düşükse ve isimler tamamen biliniyorsa

Örneğin sadece 2-3 subdomain var ve bunlar sabit: - www.ornek.com - mail.ornek.com - panel.ornek.com

Bu durumda SAN, “ihtiyacın kadar” kapsama sunar; gereksiz geniş kapsama maliyetini azaltır.

3) Farklı domainler için tek sertifika isteyen mimari

Wildcard yalnızca tek bir ana domain altında çalışır. Farklı ana domainleri tek sertifikada toplamak istiyorsanız SAN sertifika gerekir. - ornek.com + ornek.net gibi farklı kökler

Bu ayrımı karıştırmak sık yapılan hatadır: Wildcard “tek sertifika ile her domain” anlamına gelmez.

Wildcard SSL vs tek domain SSL: karar matrisi

Aşağıdaki tablo, hangi sertifika tipinin daha mantıklı olduğunu hızlıca görmeniz için hazırlanmıştır.

Sertifika yönetimi: operasyonel farklar

Wildcard SSL’in kararını sadece “kapsama” değil, yönetim maliyeti ve hata riskleri belirler.

Kurulum ve yenileme

Wildcard SSL sertifikası yenilendiğinde, aynı sertifikayı kullanan tüm alt alan adları için hizmet kesintisi yaşamamak adına: - Reverse proxy (NGINX / HAProxy) veya web sunucusunda doğru zincir (chain) güncellenmeli - Her alt alan adı için ayrı vhost tanımlarında sertifika referanslarının doğru olduğundan emin olunmalı

En sık hata: yanlış scope beklentisi

• *.ornek.com aldınız ama a.b.ornek.com de çalışmasını beklediniz → SSL isim eşleşmesi hatası oluşur.
• Ana domain (ornek.com) de otomatik kapsansın sandınız → bazı CA’lar/formatlarda ayrı kapsam gerekir.

Bu hatalar “sertifika var ama tarayıcı hata veriyor” şeklinde görünür. Kontrol listesiyle ilerlemek bu yüzden kritik.

Kapsama ihtiyacını nasıl ölçersiniz? (Hızlı checklist)

Wildcard SSL’e geçmeden önce aşağıdaki sorulara tek tek net cevap verin.

1) Kullanacağım tüm alt alan adları hangi seviyede? - sub.domain.com mi? - sub.sub.domain.com gibi iki seviye mi?

2) Alt alan adı listesi sabit mi, yoksa otomasyonla artacak mı? - “Yılda 1-2 kez değişiyor” ise SAN daha mantıklı olabilir. - “Haftalık olarak yeni isim geliyor” ise Wildcard çoğu zaman doğru olur.

3) Aynı sertifikada birden fazla kök domain gerekiyor mu? - Hayır → Wildcard mantıklı. - Evet → SAN gerekir.

4) Sertifika yenileme sürecinde kim hangi ortamda güncelleyecek? - Otomasyon yoksa geniş sertifikayı yönetmek de risk doğurabilir.

Performans ve SEO tarafı: Wildcard SSL ne kazandırır?

Wildcard SSL genellikle performansı doğrudan iyileştirmez; TLS oturumu ve sertifika doğrulama mekanizması, tekli sertifikaya göre büyük bir fark yaratmaz. Ancak şu konularda operasyonel kazanım sağlar: - Sertifika kurulumlarını azaltır → daha az hata noktası - Yeni subdomain açıldığında güvenlik standardını korur - “Sertifika unutuldu” kaynaklı tarayıcı uyarıları azalır

SEO (arama motoru görünürlüğü) açısından kritik olan şey sertifikanın geçerli olması ve HTTPS’in düzgün servis edilmesidir. Wildcard SSL burada “otomatik kapsama” ile standardizasyon sağlar.

Uygulama uyumluluğu: wildcard her zaman aynı çalışır mı?

Wildcard sertifikalar modern tarayıcılarda sorunsuz çalışır. Yine de bazı entegrasyonlar belirli kurallara takılabilir.

Kontrol etmeniz gerekenler

• Uygulamanız “mutlak hostname” doğrulaması yapıyor mu? (Örn. iç ağ servisleri)
• Load balancer veya reverse proxy doğru SNI (Server Name Indication) kullanıyor mu?
• Her alt alan adı için doğru sertifika zinciri (leaf + intermediate) gönderiliyor mu?

Bu noktalar, doğru sertifika tipini seçmek kadar önemlidir; yanlış zincir veya yanlış SNI ayarı, Wildcard olsa bile tarayıcıda isim doğrulama hatasına neden olur.

Net karar: hangi yolu seçmelisiniz?

Şu şekilde karar verin: - Subdomain sayısı değişken, otomasyon veya sürekli yeni servis var, iki seviye alt alan adı gerekmiyor → Wildcard SSL seçin. - İki seviye alt alan adı veya farklı kök domainler mutlaka kapsanmalı → SAN tercih edin. - Alt alan adı sayısı az ve isimler sabitse → tekli domain SSL veya sınırlı SAN daha doğru olur.

Sonuç: aksiyona dönüştürün

Bugün net bir plan çıkarın: Mevcut subdomain listenizi ve 12 aylık projeksiyonunuzu çıkarın, “seviye” ve “kök domain sayısı” kriterlerine göre sertifika tipini seçin. Eğer Wildcard SSL kullanacaksanız önce *.domain.com scope’unu doğrulayın ve reverse proxy tarafında doğru zincir/SNI kurulumunu kontrol listesiyle tamamlayın. Bu iki adım, gereksiz maliyeti ve tarayıcı uyarılarını doğrudan azaltır.