Yönetilen TLS özelliğinde yapılan değişiklikler

Microsoft Azure, çeşitli Microsoft hizmetleriyle tümleştirilmiş kapsamlı bir yönetilen TLS çözümü sunar. Bu özellik, DigiCert tarafından sağlanan müşteri gösterim etki alanları için yönetilen TLS sunucu sertifikalarını içerir.

Gelişen sektör uyumluluğu standartları, güvenlik gereksinimleri ve PKI yaşam döngüsü değişikliklerinin bir sonucu olarak, bu teklif 2025 ve 2026'da bu özelliği kullanan müşterileri etkileyecek birçok önemli güncelleştirmeden geçecektir.

PKI güncelleştirmeleri

2025'in sonlarından itibaren Azure, yönetilen TLS çözümünü yaklaşan tarayıcı gereksinimleriyle uyumlu olacak şekilde güncelleştirmeye başladı. Bu değişiklikler, aşağıdaki Azure hizmetleri için verilen tüm yönetilen TLS sertifikalarını etkiler:

• Azure Front Door (AFD) ve CDN Classic
• Azure Front Door Standart/Premium SKU
• Azure API Management
• Azure App Service
• Azure Konteyner Uygulamaları
• Azure Statik Web Uygulamaları
• Azure Depolama (Azure Blobları, Azure Dosyaları, Azure Tabloları, Azure Kuyrukları, Statik Web Sitesi ve Azure Data Lake Storage)

Önemli değişiklikler

Bu güncelleştirme iki önemli değişiklik içerir:

• Yeni Kök ve Alt Sertifika Yetkilileri (CA):

  • Tüm yönetilen TLS sertifikaları , DigiCert Genel Kök CA'sı altındaki Sertifika Yetkililerinden (CA) DigiCert Genel Kök G2 ve DigiCert Genel Kök G3 altındaki CA'lara geçirilir. Bu geçiş, tarayıcının güvenilen kök program gereksinimleriyle uyumluluğu sağlar.

• İstemci Kimlik Doğrulaması EKU'nun Kaldırılması

  • Bu yeni CA'lar, tarayıcının güvenilen kök program gereksinimlerine uygun olarak istemci kimlik doğrulamayı desteklemez. Yeni CA'lar altındaki tüm yönetilen TLS sertifikaları yalnızca Sunucu Kimlik Doğrulaması Genişletilmiş Anahtar Kullanımı 'nı (EKU) içerir.

Potansiyel müşteri etkisi

Değişikliğe hazırlanmak için değişikliklerin müşterileri nasıl etkileyebileceğini bilmeniz önemlidir.

• Sertifika Sabitleme

  • Sertifikaları veya ortak anahtarları sabitlerseniz, pin kümelerinizi yeni kökleri ve ara değerleri içerecek şekilde güncelleştirmeniz gerekir.
  • Statik sabitleme, operasyonel risk nedeniyle kesinlikle önerilmez.

• İstemci Kimlik Doğrulaması

  • Uygulamanız ortak sertifikalarda İstemci Kimlik Doğrulaması EKU'sunu kullanıyorsa, diğer CA'ların sertifikalarını kullanmak için yapılandırmanızı güncelleştirmeniz gerekir.
  • Yönetilen TLS sertifikaları yalnızca Sunucu Kimlik Doğrulaması EKU'sını destekler.

Etki alanı doğrulaması

DigiCert, 2025'in sonlarından itibaren etki alanı doğrulama süreçlerinde saydamlığı ve sorumluluğu geliştirmek için tasarlanmış yeni bir açık kaynak yazılım (OSS) etki alanı denetimi doğrulaması (DCV) platformuna geçiş yaptı. DigiCert artık belirtilen Azure hizmetlerinde etki alanı denetimi doğrulaması için eski CNAME Temsilcisi DCV iş akışını desteklemeyecektir.

Sonuç olarak, bu Azure hizmetleri, etki alanı doğrulamasını önemli ölçüde hızlandırmayı ve kullanıcı deneyimindeki önemli güvenlik açıklarını gidermeyi hedefleyen gelişmiş bir etki alanı denetimi doğrulama işlemine giriş yapacaktır.

Bu değişiklik, doğrulamanın CNAME kaydında rastgele bir değer kullandığı DigiCert müşterileri için standart CNAME DCV işlemini etkilemez. Daha önce Microsoft tarafından kullanılan doğrulama için yalnızca bu iş akışı kullanımdan kaldırılıyor.

Uyarı

Yapılandırmalarını yönetilen TLS değişiklikleriyle uyumlu olacak şekilde güncelleştirmeyen müşteriler, yapılandırmayı güncelleştirmezlerse hizmet kesintisi yaşanacaktır.

• Geçerli sertifikanın süresi dolduğunda kesinti yaşanması garanti edilir .
• Sertifika iptal edilirse bir kesinti oluşabilir .

İptal durumunda sertifikalar CA /Tarayıcı Forumu Temel Gereksinimleri tarafından zorunlu kılındığı şekilde 24 saat içinde iptal edilmelidir ve yanıt vermek için çok az zaman bırakılmalıdır. Müşterilerin kesintiyi önlemek için yapılandırmalarını aciliyetle güncelleştirmeleri gerekir.

Sıkça sorulan sorular

Özel etki alanları için destek kullanımdan kaldırılıyor mu?

Hayır. Bu özellik çok destekleniyor ve aslında genel kullanıcı deneyimini geliştiren birkaç önemli güncelleştirme alıyor.

Uyarı

Kaldırma sürecinde olan AFD klasik ve CDN Klasik SKU'ları, yeni özel etki alanları ekleme desteğini sonlandırıyor. Daha fazla bilgi için bkz. 15 Ağustos 2025'e kadar CNAME tabanlı etki alanı doğrulaması ve yeni etki alanı/profil oluşturma işlemleriyle biten Klasik Microsoft SKU'sundan Azure Front Door (klasik) ve Azure CDN. Müşterilerin yeni özel etki alanları için AFD Standart ve Premium SKU'ları ile yönetilen TLS sertifikalarını kullanması önerilir.

S: Etki alanı denetimi doğrulaması nedir?

Etki Alanı Denetimi Doğrulaması (DCV), TLS/SSL sertifikası isteyen bir varlığın sertifikada listelenen etki alanları üzerinde meşru denetime sahip olduğunu doğrulamak için kullanılan kritik bir işlemdir.

S: DigiCert, CNAME etki alanı denetimi doğrulamasını devre dışı mı kullanıyor?

Hayır. Yalnızca Azure hizmetlerine özgü bu belirli CNAME doğrulama yöntemi kullanımdan kaldırılıyor. DigiCert OV/EV sertifikaları ve DV sertifikaları için açıklanan gibi DigiCert müşterileri tarafından kullanılan CNAME DCV yöntemi etkilenmez.

Bu değişiklik yalnızca Azure tarafından etkilenir.

S: Microsoft neden DigiCert Genel Kök G2 ve G3 köklerine geçiş gerçekleştiriyor?

Bu değişiklik, endüstri standartları ve yaklaşan tarayıcı gereksinimleriyle uyumludur. 15 Nisan 2026'da Mozilla ve Chrome, DigiCert Global Kök CA'ya güvenmeyecek. Güveni korumak için, tüm yönetilen TLS sertifikaları bu tarihten önce DigiCert Genel Kök G2 ve DigiCert Genel Kök G3'e taşınır. Daha fazla bilgi için bkz . DigiCert kök ve ara CA sertifika güncelleştirmeleri 2023.

S: İstemci Kimlik Doğrulaması EKU neden kaldırılıyor?

Bu, Chrome Güvenilen Kök Programı tarafından yönetilen sektör genelindeki bir değişikliktir. Chrome, güvenliği ve uyumluluğu geliştirmek için TLS sertifikalarını sunucu kimlik doğrulamasıyla kısıtlar. Daha fazla bilgi için, DigiCert genel TLS sertifikalarından istemci kimlik doğrulaması EKU'sunu devre dışı bırakma hakkında konusuna bakın.