Let's Encrypt, yeni CA kuralları öncesi alan adı doğrulamasını altı uzak perspektife genişletiyor

Let's Encrypt, bir sertifika vermeden önce bir alan adının kontrolünü doğrulamak için kullandığı uzak "perspektif" sayısını dörtten altıya çıkarıyor. Sertifika otoritesinin topluluk forumunda 15 Ekim 2026 tarihli duyuruya göre, artık her doğrulama toplam yedi istek içerecek: biri birincil veri merkezinden, altısı uzak bakış noktalarından.

Neler değişiyor

Bir sertifika vermeden önce Let's Encrypt, talepte bulunan kişinin gerçekten söz konusu alan adının kontrolüne sahip olduğunu doğrulamak zorunda. Bunu, aynı anda birden fazla ağ konumundan doğrulama zorlukları göndererek yapıyor. Yeni düzenleme altında, birincil veri merkezinin isteği ile uzak perspektiflerin yeterli çoğunluğunun tümü zorluğa doğru yanıtı almalı. Bu eşik karşılanmazsa sertifika verilmez.

Değişikliğin ardindaki kural

Forum gönderisi genişletmenin iki nedeni olduğunu belirtiyor. Bunlardan biri, sertifika otoritelerinin sertifikalarının tarayıcılar tarafından güvenilir kalması için uymak zorunda olduğu kural kitabı olan CA/Browser Forum Baseline Requirements. Multi-Perspective Issuance Corroboration'u kapsayan 3.2.2.9 numaralı bölüm 15 Aralık 2026'da yürürlüğe girecek. Bu bölüm, bir sertifika otoritesinin doğrulamayı en az beş uzak ağ perspektifinden teyit etmesini gerektiriyor; teyit eden perspektifler en az iki farklı Regional Internet Registries'in hizmet bölgelerine yayılmalı ve gereksinim tablosunda belirtilen çoğunluk koşulları karşılanmadığında sertifika verilmesini yasaklıyor.

Diğer neden ise yönlendirme saldırılarına karşı savunma. Doğrulama trafiği genel internet üzerinden geçtiği için, yönlendirme kararlarını etkileyebilen bir saldırgan — örneğin bir başkasının adres alanını BGP üzerinden duyurarak — doğrulama isteklerini yakalamaya ve bir sertifika otoritesini sahip olmadığı bir alan adı için sertifika vermeye ikna etmeye çalışabilir. Doğrulamayı daha fazla bölgedeki daha fazla bakış noktasına yaymak, bu tür bir ele geçirmeyi ciddi ölçüde zorlaştırıyor; çünkü saldırganın aynı anda bağımsız konumlardaki bir perspektif çoğunluğunu kandırması gerekiyor.

Yayın planı

Let's Encrypt kullanıcılar üzerinde az ya da hiç etki beklemiyor. Yeni bölgeleri kullanan alan adı doğrulaması 27 Ekim 2026 Salı günü staging ortamında başlayacak. Her şey yolunda giderse, üretim ortamına geçiş 10 Kasım 2026 Salı günü gerçekleştirilecek ve yeni güncellemeler aynı forum başlığında paylaşılacak. Daha fazla arka plan bilgisi isteyen okurlar, perspektiflerin ilk kez kullanıma sunulduğu sırada yayımlanan ve çok perspektifli doğrulamayı açıklayan önceki bir Let's Encrypt blog gönderisine yönlendiriliyor.

Neden önemli

Sertifika verimi, alan adı doğrulaması kadar güvenilirdir ve alan adı doğrulaması da üzerinden geçtiği ağ yolu kadar güvenilirdir. BGP rota manipülasyonu, doğrulamayı bertaraf etmenin bir yolu olarak uzun süredir tartışılıyor: bir saldırgan sertifika otoritesinin trafiğini kendisine yönlendirebilirse, otorite saldırganın hiç kontrol etmediği bir alan adı için TLS sertifikası verebilir. Çok perspektifli teyit, sektörün bu soruna yapısal yanıtı ve 15 Aralık 2026'dan itibaren yalnızca Let's Encrypt için değil, herkese açık şekilde güvenilen tüm sertifika otoriteleri için zorunlu hale geliyor.

Değişiklik tamamen otorite tarafında gerçekleştiği için, Let's Encrypt sertifikalarına güvenen milyonlarca web sitesi ek korumayı kendileri hiçbir şey yapmadan kazanıyor; yeni bir istemci yazılımı ya da yeniden yapılandırma gerekmiyor. Üretim tarihi, uyum son tarihinin yaklaşık bir ay öncesine denk geliyor ve bu, Baseline Requirements'a yazılmış bir asgari standardın web'in şifreli bağlantılar için bel bağladığı altyapının somut ve büyük ölçüde görünmez bir şekilde güçlendirilmesine nasıl dönüştüğünü gösteriyor.