Cloudflare kendi sertifikalarını verecek: ücretsiz CA yoğunlaşması

Cloudflare yıllardır 16 ortak genel sertifika otoritesine dayandı ve kendisi tek bir genel güvenilir sertifika bile vermedi. Şimdi bir sertifika otoritesi olmayı amaçlıyor ve işin ilginç yanı tasarım: klasik sertifikalar ile Merkle Ağacı Sertifikaları tek bir CA altında, arıza sınırlaması da en baştan yerleşik.

Sertifika tüketicisi sertifika veren olur #

Altyapı şirketlerinin çoğu sertifika ilişkisinin tek tarafında kalır. Sertifika talep eder, kurar ve bir CA olay yaşadığında şikâyet ederler. Cloudflare kararlı biçimde tüketen taraftaydı. Kendi anlatımına göre, bugüne kadar kendisi tek bir genel güvenilir sertifika bile vermedi.

Bu değişmek üzere, ya da en azından Cloudflare böyle bir niyeti olduğunu söylüyor. Şirket genel bir sertifika otoritesi olma niyetini duyuruyor. Duyuru bugün işlerin nerede durduğu konusunda dikkatli ve bu makale de öyle olmalı. Cloudflare henüz sertifika vermiyor. Hizmetin davranışına dair her şey, ACME arayüzünden yenileme kurallarına ve Merkle Ağacı Sertifikası desteğine kadar, çalışan bir sistemin tarifi değil, bir plan beyanı.

Duyuruyu inandırıcı kılan şey hırs değil, şimdiden görünen hazırlık. Cloudflare Chrome, Apple, Microsoft ve Mozilla kök programlarına dahil edilmek için başvurdu. Web'in temel kök anahtar programlarının her biriyle başvuru ve onay sürecini yürüttüğünü söylüyor ve bu süreçlerin açıkta işlediğini belirtiyor. İlke olarak herkes başvurunun başarılı olup olmadığını izleyebilir.

Cloudflare bu soruyu sormak için neden iyi bir konumda #

Cloudflare'in bir CA kurma gerekçesi müşteri konumuyla başlıyor. Küresel internet istek trafiğinin yüzde 20'sinden fazlasının önünde duruyor. Milyonlarca alan adı için TLS sonlandırıyor ve yılda milyonlarca sertifikaya dayanıyor. Müşterilerine Universal SSL üzerinden sertifika paketleri sağlıyor ve kendi sistemlerini ve iç operasyonlarını yürütmek için de pek çok farklı CA'dan sertifika alıyor.

Müşteri hizmetlerini ayakta tutmak için Cloudflare bu sertifikaları birden fazla CA üzerinden, birincil ve yedek yollarla temin ediyor; böylece müşteri hizmetleri CA kesintileri ve iptal olayları sırasında da ayakta kalıyor. Yıllardır dayandığı ortak genel CA ağı 16 kuruluştan oluşuyor.

Yedekleme mekanizması daha yakından bakmayı hak ediyor, çünkü Cloudflare'in arızayı nasıl düşündüğünü gösteriyor. Her Universal SSL sertifikası zaten ayrı bir anahtarla sarılmış ve farklı bir otoriteden verilmiş bir yedek sertifikayla geliyor. Birincil sertifika iptal edilir ya da ele geçirilirse yedek, otomatik olarak devreye alınmaya hazır. Bu, ilişkinin müşteri tarafından kurulmuş, herhangi bir tek CA'nın ters gitmesine karşı bir sigorta.

Bu sigortanın bir tavanı da var. Yalnızca var olan CA'lar arasında çeşitlendirme yapabilirsiniz ve kaynak, yetkin olanların arzının göründüğünden daha ince olduğunu savunuyor.

Yoğunlaşma sorunu #

Bu argümanın arkasındaki rakamlar çarpıcı. Let's Encrypt günde on milyon civarında sertifika veriyor. 500 milyondan fazla siteye hizmet veriyor ve 2025'te dört milyar etkin sertifikayı aştı. Bunlar tek bir ücretsiz CA'nın rakamları ve şifrelemesi büyük ölçüde tek bir kuruluşa yaslanan bir web'i tarif ediyor.

Kaynak, yerinde bir çekinceyle bariz sonucu çıkarıyor: baskın ücretsiz sertifika otoritesinin kötü bir haftası olsa, web'in büyük bölümünün yükü üstlenmeye hazır, karşılaştırılabilir ücretsiz ve otomatik bir alternatifi olmazdı. Bu varsayımsal bir durum hakkında bir ifade ve Cloudflare onu öyle sunuyor. Böyle bir haftanın yaşandığını ya da yaklaştığını iddia etmiyor.

Yine de mantığı izlemek kolay. Ücretsiz ve otomatik bir CA, ancak acil durumdan önce varsa bir dayanıklılık seçeneğidir. Cloudflare'in önerisi, ölçekli ikinci bir seçeneği sağlayabileceği. Bunun duyurudaki en güçlü ticari ve teknik gerekçe olduğunu savunurum ve planın daha spekülatif kısımlarının hiçbirine bağlı değil. Tek bir baskın ücretsiz CA'sı olan ve neredeyse başka bir şeyi olmayan bir web, o CA'nın operasyon kalitesi ne olursa olsun tek bir arıza noktası olan bir web'dir.

Boyut	Geleneksel Ücretsiz Otomatik CA (Let's Encrypt)	Önerilen Cloudflare Genel CA'sı
Güven Çapası Stratejisi	ISRG Root X1 / X2 (2015 ve sonrasında kurulan kendi kökleri)	Satın alınan GlobalSign kökü (2012'den beri güvenilir) + yeni kök
Verme Protokolü	Standart ACME (RFC 8555)	Zorunlu ARI (RFC 9773) uygulamalı ACME
İptal Yaklaşımı	CRL / OCSP + acil toplu abone değişimi	ARI uç noktaları üzerinden koordineli yenileme öne çekme
Kuantum Sonrası Yol	Değerlendirme aşamasındaki hibrit X.509 imzaları	Klasik X.509 ile bir arada yerel Merkle Ağacı Sertifikaları (MTC)
Ölçek ve İlk İş Yükü	500 milyonu aşkın sitede günde ~10 milyon sertifika	Küresel web trafiğinin %20'sinden fazlasında Sıfırıncı Müşteri doğrulaması

Kök beklemek yerine kök satın almak #

Duyurudaki en pratik karar kökle ilgili. Cloudflare, GlobalSign'dan yerleşik, geniş ölçüde güvenilen bir kökü satın almak için kesin bir anlaşma imzaladığını söylüyor. Kaynak gerekçeyi doğrudan veriyor: yepyeni bir kök yıllarca geniş ölçüde işe yaramaz. Mevcut GlobalSign kökü ise 2012'den beri tarayıcılar, işletim sistemleri ve cihazlar genelinde güvenilir.

Kök güveni yavaştır, çünkü cihazlara kurulur ve cihazlar yavaş güncellenir. Yeni bir kök her program tarafından kabul edilip yine de eski bir telefonda ya da gömülü bir sistemde doğrulanamayabilir. 2012'den beri sahada olan bir kökü satın almak, en azından kaynağın çerçevelediği biçimiyle, bu beklemeyi aşıyor.

Cloudflare yeni kök yolundan da tamamen vazgeçmiyor. Kök anahtar programlarına dahil edilmek üzere yeni bir kök de sunacak ve bunu, güvenilir bir kökün ne kadar eski olabileceğine sınır koymaya başlayan programlar dahil, ekosistemin gittiği yön için kurulmuş olarak tanımlıyor. Bu son ayrıntı, yaşın iki yönlü kestiğini yararlı biçimde hatırlatıyor. Güvenilir bir kökün yaşı cihaz kapsamı açısından bir varlık ve bazı programlar güvenilir bir kökün ne kadar eski olabileceğine sınır koymaya doğru ilerliyor. Hem satın alınmış bir kökü hem de yeni bir başvuruyu yürütmek bu gerilime bir yanıt gibi görünüyor, ancak kaynak gerekçeyi bu terimlerle açıklamıyor.

Koşullu, ACME öncelikli bir hizmet #

Benimseme, pek çok CA duyurusunun belirsizleştiği yerdir. Cloudflare net. Genel CA'sı ACME öncelikli olacak, yani mevcut otomasyonun zaten kullandığı Automated Certificate Management Environment protokolünü konuşacak. İddia şu: mevcut bir ücretsiz CA'ya yönlendirilmiş herkes, bir dizin URL'sini değiştirerek, yeni araç olmadan ve hiçbir şeyi yeniden tasarlamadan Cloudflare'in CA'sına geçebilir. Bu bir plan, sınanmış bir geçiş yolu değil ve öyle okunmalı. Ancak tek satırlık bir yapılandırma değişikliği doğru hedef, çünkü insanları varsayılanda tutan şey geçiş maliyetidir.

Püf noktası, ACME kullanıcılarının çoğunun henüz karşılamak zorunda kalmadığı bir gereklilik. Cloudflare yalnızca RFC 9773 ile standartlaşan ACME Renewal Information'ı, yani ARI'yi destekleyen istemcilere sertifika verecek. Aboneler, Cloudflare'in yenileme uç noktasını sorgulayan, Cloudflare'in yayımladığı yenileme pencerelerine göre davranan ve değiştirdiği sertifikayı belirten bir otomasyonu sürdürmek zorunda.

Bu kesin bir tutum ve bence doğru olanı. Benimseme hakkında da haklı bir soru doğuruyor: yalnızca ARI destekli istemcilere hizmet veren bir CA, ACME kütüphanesi olan herkese hizmet veren bir CA'dan daha dardır. Kaynak bunun bugün kaç istemciyi dışarıda bıraktığını söylemiyor, bu yüzden tahmin yürütmeyeceğim. Söylediği şey, Cloudflare'in bu kısıtı neden istediği.

Siteleri bozmadan iptal #

Cloudflare son 16 yılda bazı şeyler gözlemlediğini belirtiyor ve bu tasarımı yönlendiren bir gözlem var. Sertifika otoritelerinin zamanında iptal ile abonelerin sitelerini çevrimiçi tutmak arasında sıkıştığını gördü.

Bu gerilim her CA için gerçek. Bir sertifikayı hızla iptal etmek kamuyu korur, ancak abone onu yeterince hızlı değiştiremezse o sertifikaya bağlı her siteyi çökertebilir. Ortada kalan bir CA ya geç iptal eder ya da müşterilerini bozar.

ARI, Cloudflare'in yanıtı. Sertifikaların emekliye ayrılması gerektiğinde Cloudflare, etkilenen sertifikaların yenileme pencerelerini öne çekebileceğini söylüyor. Abonelerin yenileme uç noktasını sorgulaması ve yayımlanan pencerelere göre davranması zorunlu olduğundan, CA katı bir iptal gelmeden önce onları değişime yönlendirebilir. Bu mekanizma, Cloudflare'in bir CA olarak gösterdiği bir yetenek olarak değil, sahip olmayı amaçladığı bir yetenek olarak tanımlanıyor. Yine de mantık tutarlı: sorgulama gerekliliği, bu kaldıraç işlesin diye var.

Aynı düşünce daha geniş bir tasarım hedefinde de görülüyor. Cloudflare, güvenilirliği yalnızca hatalardan kaçınmaya değil, Cloudflare'in diğer ürünlerinde olduğu gibi küçük ölçekte arızalanmaya ve herhangi bir tek sorunun etkisini sınırlamaya dayanan bir sertifika otoritesi kurmayı amaçlıyor. Hatalardan kaçınmak bir CA için gereklidir ve hiçbir CA bunu kusursuzca vaat edemez. Bir hatanın sınırlı kalacağı biçimde tasarlamak daha dürüst bir mühendislik tutumudur.

Denetimin ötesinde şeffaflık #

Genel CA'lar normalde denetimlerle değerlendirilir. Kaynak, sınırları konusunda açık sözlü: denetimler belirli bir anı yansıtır ve size bir CA'nın geçtiğini söyler. CA'nın sonrasında herhangi bir salı günü ne yaptığını söylemezler.

Cloudflare'in yanıtı, sertifikaları imzalayan yazılımın yeniden üretilebilir derlemelerini yayımlayacağını söylemek. Bu tamamlanmış bir teslimat olarak değil, bir taahhüt olarak çerçeveleniyor. Yeniden üretilebilir derlemeler, dışarıdakilerin imzalama yolunda çalışan ikili dosyanın yayımlanan kaynak koda karşılık geldiğini doğrulamasını sağlar; bu, bir denetim raporunun olmadığı biçimde sürekli bir özelliktir. Bunun yeterli olup olmayacağı, Cloudflare'in gerçekte ne yayımladığına ve başkalarının bunu denetleyip denetlemediğine bağlı olacak.

Duyurunun ikinci yarısı: Merkle Ağacı Sertifikaları #

Kuantum sonrası kısım, duyurunun en ileriye baktığı yer. Cloudflare kuantum sonrası sertifika sunan ilk CA'lardan biri olma planlarını duyuruyor ve ilk Merkle Ağacı Sertifikalarını 2027'nin ilk çeyreğinde vermeyi planlıyor. Kaynağın başka bir bölümü ilk MTC'lerin 2027 başında beklendiğini söylüyor. İkisi de plan.

Kaynak MTC'leri, genel güvenilir sertifikaları sunmanın yeni ve çok daha kompakt bir yolu olarak tanımlıyor. Bu ifade bir tanım ve dayandığım bölümlerde kaynak ölçüm vermiyor, bu yüzden ne kadar daha kompakt olduklarını söyleyemem. Cloudflare, IETF'te MTC'ler için standartlara dayalı öneriyi savunduğunu söylüyor. Ayrıca Chrome'un bu yılın başlarında MTC'leri kuantum sonrası kimlik doğrulama için tercih edilen yol olarak adlandırdığını bildiriyor. Bu gerçekleşmiş bir olay ve önemli, çünkü bir tarayıcı üreticisinin açıkladığı tercih, bir öneriyi bir CA'nın etrafında plan yapabileceği bir şeye dönüştürür.

Cloudflare geçişin ani olmasını beklemiyor. İnternetin büyük bölümünün daha uzun yıllar klasik sertifikalara ve mevcut WebPKI'ye dayanmaya devam etmesini bekliyor. Bu süre boyunca MTC'lerin sertifika vermede istikrarla büyüyen bir pay almasını bekliyor. Bunlar beklentiler ve kaynak onları öyle etiketliyor.

Tek CA, tek yaşam döngüsü #

Bundan çıkan mimari seçim, en ikna edici bulduğum seçim. Yeni CA, klasik sertifikaları ve Merkle Ağacı Sertifikalarını tek bir yaşam döngüsü ve tek bir güvenceler kümesiyle tek bir CA altında taşıyacak biçimde tasarlanıyor. Müşteriler böylece kendilerine uygun hızda benimseyebilir ve web'in bu geçişi sert bir geçiş olmadan yapmasına yardım edebilir.

Alternatif, iki paralel CA, iki prosedür kümesi ve bir noktada zorunlu bir geçiş. Sert bir geçiş, bir sertifika ekosistemini değiştirmenin en riskli yoludur ve kaynağın açıkladığı amaç bundan kaçınmak. İfade temkinli ve haklı olarak öyle: bu, henüz sertifika vermeyen bir CA için bir tasarım niyeti.

Bu, teşvik tablosuyla da örtüşüyor. Cloudflare, azami geçerlilik süreleri kısaldıkça, ajan etkinliği arttıkça ve kuantum sonrası sertifikalar yaygınlaştıkça yıllık olarak dayandığı sertifika sayısının artmaya devam etmesini beklediğini söylüyor. Daha sık verilen daha fazla sertifika, otomasyonu ve yenilemeyi birinci sınıf bir işlem olarak ele alan bir CA'yı destekler. ARI ve tek bir yaşam döngüsü etrafında kurulmuş bir sistem bu beklentiye makul bir yanıt, ancak beklentinin kendisi bir ölçüm değil, bir tahmin.

Sıfırıncı Müşteri #

Kamu bir CA'ya güvenmeden önce onu nasıl sınarsınız? Cloudflare'in yanıtı kendi ilk müşterisi olmak. Yeni CA ve onun hem WebPKI hem MTC sertifikaları için Sıfırıncı Müşteri olacak. Açıklanan amaç, yeni sistem ve süreçlerin tüm yönlerinin Cloudflare'in yüksek iç standartlarını karşılamasını ve CA altyapısının Cloudflare ölçeğinde sınanmasını sağlamak.

Önceki rakamlar düşünüldüğünde bu zorlu bir iç yük: küresel istek trafiğinin yüzde 20'sinden fazlasının önünde duran bir şirkette yılda milyonlarca sertifika. İlk işletme yıllarının sorunsuz geçip geçmeyeceğini bu iddialar söyleyemez. Gösterdikleri şey makul bir işlem sırası. Şirket, inşa ettiği şeyin yoğun bir kullanıcısı olarak başlıyor; arkasında çoklu CA temini geçmişi, yedek yollar ve 16 ortak CA var.

Neyin eksik olduğunu açıkça söylemekte yarar var. Kaynakta Cloudflare'in kendi CA'sına ait verme hacimleri, hata oranları, doğrulama gecikmesi ya da olay geçmişi yer almıyor, çünkü henüz böyle bir geçmiş yok. Duyuru; başvurular, bir satın alma anlaşması ve bir tasarımla desteklenen bir niyet beyanı. Bir sicil değil.

Neyi izlemeli #

Bunun WebPKI'ye anlamlı bir katkı mı yoksa yalnızca ilginç bir duyuru mu olacağına üç şey karar verecek.

Birincisi kök programları. Cloudflare Chrome, Apple, Microsoft ve Mozilla'ya başvurdu ve süreçler açıkta işliyor. Onları izlemek, planın ne kadar ilerlediğini görmenin en doğrudan yolu ve sonuç, iddiaların hiçbirinin öngörmeme izin verdiği bir şey değil.

İkincisi ARI gerekliliği. RFC 9773 desteğinde ısrar eden bir CA, yenileme otomasyonunun abone tabanı genelinde ilerletilebileceğine bahse giriyor. Bahis doğruysa Cloudflare, sertifikaların emekliye ayrılması gerektiğinde yenileme pencerelerini öne çekme yeteneği kazanır; bu da gördüğü iptal ikilemine açıkladığı yanıt. Yanlışsa benimseme, tek satırlık geçiş öyküsünün ima ettiğinden daha yavaş olacak.

Üçüncüsü 2027'nin ilk çeyreği. Cloudflare ilk Merkle Ağacı Sertifikalarını o zaman planlıyor. Açık soru, internetin büyük bölümünün daha uzun yıllar klasik sertifikalarda kalacağı yönündeki kendi görüşü göz önüne alındığında, beklediği istikrarla büyüyen payın gerçekte ne kadar hızlı büyüyeceği. Şirket geçişin sert bir kesinti gerektirmemesi gerektiğini söyledi. 2027'nin ilk çeyreği, her iki sertifika türünü taşıyan tek bir CA'nın bunu gerçeğe dönüştürüp dönüştüremeyeceğini görmenin ilk fırsatı olacak.

Sektörler İçin Anlamı #

Bir uç altyapı sağlayıcısından yüksek hacimli, otomatik bir genel sertifika otoritesinin çıkması, birkaç teknik alanda operasyonel riski ve PKI planlamasını değiştiriyor.

Bulut altyapısı ve uç ağlar #

Uç ölçekte genel bir CA işletmek, üçüncü taraf doğrulama API'lerine ve CRL'lere dış bağımlılığı azaltır. Ters vekil uç sonlandırmasını otomatik ACME ARI yenilemeleriyle birleştiren altyapı sağlayıcıları, müşterilerini yukarı akıştaki sertifika otoritesi kesintilerine karşı koruyabilir.

Kurumsal PKI ve DevOps ekipleri #

Genel uç noktaları için Let's Encrypt'e dayanan kuruluşlar güvenilir, otomatik bir alternatif kazanıyor. Ancak RFC 9773'ün (ARI) zorunlu uygulanması, ekiplerin dizin uç noktalarını değiştirmeden önce ARI desteğinin etkin olduğundan emin olmak için ACME istemcilerini (Certbot, Lego, Caddy, Traefik) denetlemesi gerektiği anlamına geliyor.

Tarayıcı üreticileri ve kök yönetişimi #

Kök programları (Chrome, Mozilla, Apple, Microsoft), yüksek hacimli otomatik CA'lardan oluşan genişleyen bir ekosistemle karşı karşıya. Çift hatlı kök yaklaşımı (modern bir kök sunarken 2012 tarihli eski bir kökü satın almak), kök sertifika ömürlerini giderek kısıtlayan tarayıcı politikalarına uyum sağlarken eski cihazlar için geriye dönük uyumluluğu koruyor.

Sonuç #

Cloudflare'in genel bir sertifika otoritesi olma adımı, modern WebPKI'deki gerçek bir yapısal zafiyeti ele alıyor: ücretsiz, otomatik sertifika vermedeki aşırı yoğunlaşma. Yerleşik bir GlobalSign kökünü, katı ARI yenileme otomasyonunu ve kuantum sonrası Merkle Ağacı Sertifikalarına uzanan bir köprüyü birleştiren tasarım, yalnızca sertifika temini yerine operasyonel dayanıklılığı hedefliyor. Başarıyı kök programı onayları ve istemci araçlarının 2027'deki kullanıma sunuluştan önce ARI standartlarını ne kadar hızlı benimsediği belirleyecek.

Sıkça Sorulan Sorular #

ACME istemcimi bugün Cloudflare'in CA'sına geçirebilir miyim?

Henüz değil. Cloudflare niyetini açıkladı, kök satın alma anlaşmasını imzaladı ve büyük kök programlarına başvurularını sundu. Genel sertifika verme, kök programı onaylarının ardından kullanıma sunulacak.

ACME Renewal Information (ARI) nedir ve neden önemlidir?

ARI (RFC 9773), sertifika otoritelerinin abonelere bir sertifikanın ne zaman yenilenmesi gerektiğini bildirmesini sağlayan bir ACME protokolü uzantısıdır. Bu, CA'ların planlı iptallerden önce erken yenilemeleri sorunsuzca koordine etmesini ve site kesintilerini önlemesini sağlar.

Merkle Ağacı Sertifikaları (MTC) standart X.509 sertifikalarından nasıl farklıdır?

MTC'ler, geleneksel tekil kriptografik imzaların yerine, genel olarak doğrulanabilir bir günlüğe bağlı Merkle dahil etme kanıtlarını koyar. Bu, sertifika boyutunu ve iletim yükünü önemli ölçüde azaltarak onları kuantum sonrası TLS kimlik doğrulaması için tercih edilen bir aday yapar.

Kaynaklar #

Cloudflare, (2026). Tüm İnternet İçin Bir Sertifika Otoritesi Kurmak ⧉. Cloudflare Blog.
IETF, (2024). RFC 9773: Automated Certificate Management Environment (ACME) Yenileme Bilgisi (ARI) ⧉. IETF.
IETF, (2025). TLS için Merkle Ağacı Sertifikaları ⧉. IETF.
Chrome Root Program, (2026). Kuantum Sonrası Kimlik Doğrulamaya İlişkin Politika ve Değerlendirmeler ⧉. Chromium Projects.

Son inceleme 2026-09-20.

Son inceleme 2026-10-27.

Bu makaleyi yeniden yayınla

Cloudflare kendi sertifikalarını verecek: ücretsiz CA yoğunlaşması — Sebastien Rousseau

Cloudflare genel sertifika otoritesi olma niyetini açıkladı: kök programlarına başvurdu ve yoğunlaşmayı azaltmak için GlobalSign'dan güvenilir bir kök satın alıyor.

Bu makale şu lisans altında yayınlanmıştır Creative Commons Attribution 4.0 International. Yeniden yayın, kanonik URL'ye atıfta bulunulmasını gerektirir.

Cloudflare kendi sertifikalarını verecek: ücretsiz CA yoğunlaşması — Sebastien Rousseau

Cloudflare genel sertifika otoritesi olma niyetini açıkladı: kök programlarına başvurdu ve yoğunlaşmayı azaltmak için GlobalSign'dan güvenilir bir kök satın alıyor.

Originally published at https://sebastienrousseau.com/tr/2026-09-20-cloudflare-kendi-sertifikalarini-verecek-ucretsiz/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER