Otomatik Yenilenen SSL: Windows Sunucuda win-acme ile Kurulum

Bu rehber, Otomatik Yenilenen SSL (ACME) aboneliğinizi Windows Server üzerinde IIS ile çalışan sitenizde win-acme ile nasıl kullanacağınızı anlatır. Kurulumu bir kez yaparsınız; bundan sonra sertifika süresi dolmadan otomatik yenilenir.

Başlamadan önce

• Aboneliğinizi başlatmış olmanız gerekir: müşteri panelinde hizmet sayfanızda Şimdi ayarla düğmesiyle alan adlarınızı yazın.
• Sertifika alacağınız alan adı bu sunucunun IP adresini göstermeli ve sunucunun 80 numaralı portu internete açık olmalı. Windows Güvenlik Duvarı'nda ve kullanıyorsanız ağ güvenlik duvarınızda 80 ve 443 portlarına izin verin.
• IIS'teki sitenizin bağlamalarında (Bindings) alan adınız ana bilgisayar adı (Host name) olarak yazılı olmalı; win-acme siteyi ve alan adını buradan bulur.

1. win-acme'yi indirin

win-acme.com adresinden güncel sürümü (x64, zip) indirin ve C:\win-acme gibi kalıcı bir klasöre çıkarın. Klasörü sonradan taşımayın; otomatik yenileme görevi bu klasördeki programı çalıştırır. Program açılışta kendini simple-acme adıyla da tanıtabilir; aynı programdır.

2. Kurulum komutunu panelden alın

Müşteri panelinde Hizmetler > SSL Sertifikaları altında aboneliğinizi açın, Kurulum komutları düğmesine basın ve Windows Server seçeneğindeki komutu Kopyala ile kopyalayın. Komut aboneliğinize özeldir: içindeki anahtarları kimseyle paylaşmayın.

3. win-acme'yi abonelik bilgilerinizle çalıştırın

1. Başlat menüsünde Komut İstemi'ne sağ tıklayıp Yönetici olarak çalıştır'ı seçin.
2. win-acme klasörüne geçin: cd C:\win-acme
3. Panelden kopyaladığınız komutu yapıştırıp çalıştırın. Komut şu biçimdedir:

wacs.exe --baseuri "https://one.digicert.com/mpki/api/v1/acme/v2/directory" --eab-key-identifier "HESAP_ANAHTARINIZ" --eab-key "HMAC_ANAHTARINIZ"

Komutu PowerShell'de çalıştırıyorsanız başına .\ ekleyin: .\wacs.exe --baseuri …

4. Sertifikayı oluşturun

win-acme sırayla birkaç soru sorar. Köşeli parantezdeki ya da yıldızlı seçenek varsayılandır; çoğu soruda yalnızca Enter'a basmanız yeter.

1. Please choose from the menu: N: Create certificate (default settings) varsayılandır, Enter'a basın.
2. Site identifier(s) or <Enter> to choose all: IIS sitelerinizin listesidir. Enter'a basarsanız hepsi taranır; yalnız bir site istiyorsanız numarasını yazın.
3. Binding identifiers(s) or menu option: sitedeki alan adlarıdır (firma.com, www.firma.com). Enter'a basarsanız hepsi sertifikaya girer.
4. Please pick the main host: sertifikada ana ad olarak görünecek alan adı. Enter'a basın.
5. Continue with this selection? Enter.
6. İlk kullanımda kullanım koşulları sorulur: Open in default application? için Enter, Do you agree with the terms? için Enter.
7. Email(s): bir e-posta adresi yazabilir ya da boş bırakıp Enter'a basabilirsiniz.

win-acme alan adlarını doğrular, sertifikayı alır, Windows sertifika deposuna koyar ve IIS'te sitenize 443 numaralı porttan https bağlamalarını ekler. En sonda Certificate … created yazısını görürsünüz; menüden Q ile çıkabilirsiniz.

5. Otomatik yenilemeyi kontrol edin

İlk sertifika oluşturulduğunda win-acme, Windows Görev Zamanlayıcı'ya (Task Scheduler) win-acme renew adıyla başlayan tek bir görev ekler. Görev her gün 09:00'dan sonra (birkaç saate kadar rastgele gecikmeyle) çalışır ve zamanı gelen sertifikaları yeniler. win-acme, sertifikayı bitişinden çok önce, yaklaşık iki ayda bir yeniler; ilk yenileme tarihi sertifika oluşturulurken ekranda Next renewal due after satırında yazar.

Sık karşılaşılan sorunlar

• Doğrulama başarısız: alan adı bu sunucuyu göstermiyor ya da 80 numaralı port kapalı. DNS kaydını ve güvenlik duvarınızı kontrol edin.
• Site listede yok ya da alan adı görünmüyor: IIS'te sitenin bağlamalarına alan adını ana bilgisayar adı olarak ekleyin.
• Invalid --baseuri specified: komut eksik kopyalanmış. Paneldeki pencereden yeniden kopyalayın.
• Unable to verify Hmac: HMAC anahtarı yanlış ya da eksik. Komutu paneldeki pencereden yeniden kopyalayın.
• Unable to process new order request (domain_not_allowed): seçtiğiniz alan adlarından biri abonelikte yok. Alan adını önce panelde aboneliğinize ekleyin.

Takıldığınız bir adım olursa panelden destek talebi açabilirsiniz.