SSL/TLS

SSL/TLS nedir?

Cloudflare’de tek bir isteğin arkasında iki ayrı sertifika var. Bu, ürünle ilgili anlaşılması gereken ilk şey:

“instead of only one certificate, there can actually be two certificates involved in a single request: an edge certificate and an origin certificate.”

• Edge certificate — Cloudflare’in ziyaretçiye sunduğu sertifika. Panelde SSL/TLS → Edge Certificates.
• Origin certificate — Cloudflare ile senin sunucun arasındaki bacaktaki sertifika. Onu sen yönetirsin.

Şifreleme modu, bu iki sertifikanın nasıl kullanılacağını belirler. Yanlış seçim bu ürünle ilgili en sık görülen arızayı üretir.

Her planda ücretsiz gelenler: Universal SSL, backup sertifikaları, Cloudflare Origin CA, Authenticated Origin Pulls, Always Use HTTPS, HSTS, Automatic HTTPS Rewrites, Opportunistic Encryption, TLS 1.3, zone seviyesi Minimum TLS, Certificate Transparency Monitoring, Encrypted Client Hello ve Cloudflare-yönetimli CA ile mTLS.

Nasıl çalışır?

Şifreleme modları

Cloudflare’in tavsiyesi tek cümle: “If possible, Cloudflare strongly recommends using Full or Full (strict) modes to prevent malicious connections to your origin.”

Full (strict)‘te origin sertifikasının üç şartı sağlaması gerekiyor: süresi dolmamış olmak, public olarak güvenilir bir CA veya Cloudflare’in Origin CA’sı tarafından verilmiş olmak, ve istenen hostname ile eşleşen bir CN veya SAN taşımak.

Flexible’ın iki gizli kısıtı var: “Flexible mode is only supported for HTTPS connections on port 443… Other ports using HTTPS will fall back to Full mode” ve “Authenticated Origin Pull does not work when your SSL/TLS encryption mode is set to Off or Flexible.”

Automatic SSL/TLS

Yeni zone’lar Full (strict) ile başlamıyor — Automatic SSL/TLS ile başlıyor, ve bu özellik zone’u origin’in desteklediği en güvenli moda yükseltiyor.

Nasıl çalışıyor:

• Cloudflare-SSLDetector ajanı origin’den hem HTTP hem HTTPS üzerinden içerik indirip içerik benzerliği algoritması uyguluyor. robots.txt’yi yok sayıyor.
• Yükseltme %1 trafikle başlayıp sorun yoksa %10’luk artışlarla ilerliyor.
• Bağlantı bozulursa: “Cloudflare aborts the upgrade, immediately rolls traffic back to the previous mode, and logs the failure.”
• Tarama yaklaşık ayda bir.
• Asla aşağı indirmiyor: “Automatic SSL/TLS will not change your setting to a less secure encryption mode.” Origin sertifikan dolarsa Full (strict)‘ten Full’e düşmüyor — sorumluluk sende.

2025’te yapılan toplu yükseltmenin dağılımı: Flexible→Full ≈ 2.200.000, Flexible→Full (strict) ≈ 2.000.000, Full→Full (strict) ≈ 1.800.000 alan adı.

Kapatmak için: PATCH /zones/$ZONE_ID/settings/ssl_automatic_mode → {"value":"custom"}

Sertifika tipleri

Universal SSL’in kapsamı — full DNS kurulumunda apex + yalnızca birinci seviye subdomain. dev.www.example.com kapsanmıyor. Partial (CNAME) kurulumunda ise “each proxied subdomain receives its own certificate regardless of depth”.

Ücretsiz planda yalnızca ECDSA sunuluyor; ücretli planlarda RSA da var.

Origin CA’nın ayırt edici özellikleri: en fazla 200 SAN, IP adresi kullanılamıyor, wildcard tek seviye (ama aynı sertifikada birden çok kez kullanılabiliyor), ve geçerlilik 5475 güne (15 yıl) kadar çıkabiliyor.

Kullanılan sertifika otoriteleri

Tam olarak dört tane:

Universal SSL’de CA’yı seçemiyorsun ve “Cloudflare can change the certificate authority without prior notification.”

CAA kayıtları Cloudflare DNS kullanıyorsan senin adına otomatik ekleniyor ve panelde görünmüyor (dig example.com caa +short ile görülür). Ama bu ACM için geçerli değil: “Advanced certificates are dedicated (not shared), so Cloudflare does not add CAA records automatically for them.”

Neden 90 gün

“Cloudflare only issues certificates with validity periods of three months or less for two reasons. First, shorter-lived certificates limit the damage from key compromise and mistaken issuance. Any compromised key material will be valid for a shorter period of time. Second, shorter certificates encourage automation.”

Doğrulama (DCV)

• Full DNS kurulumu: “Cloudflare handles DCV automatically on your behalf using a TXT record.” Yapman gereken bir şey yok.
• Partial (CNAME) kurulumu: duruma göre değişiyor. Wildcard sertifika için TXT zorunlu; ACM varsa Delegated DCV öneriliyor.
• HTTP DCV wildcard’da çalışmıyor: “HTTP DCV validation does not work for wildcard certificates.”
• Delegated DCV kullanıyorsan CNAME’i kalıcı bırakman gerekiyor, ve tek bir sağlayıcıya delege edilebiliyor — çoklu CDN kullanıyorsan bu yöntem diğerlerini engeller.
• E-posta DCV: Cloudflare’in yöntem listesinde yok. Yalnızca Delegated, TXT ve HTTP var (pozitif kontrollü doğrulandı).

Doğrulama başarısız olursa geri çekilme üstel: min(floor(60 × 1.05^deneme) sn, 4 saat). Deneme 40’tan sonra sabit 4 saat.

TLS sürümü, cipher ve edge ayarları

• Varsayılan minimum TLS 1.0’dır. “TLS 1.0 is the version that Cloudflare sets by default.” PCI için 1.2, Cloudflare’in tavsiyesi 1.3.
• TLS 1.3 tüm planlarda. tls_1_3 değeri "zrt" yapılırsa 0-RTT açılıyor. Kısıt: “You cannot set specific TLS 1.3 ciphers.”
• Cipher seviyeleri: Modern (9 cipher, hepsi forward-secret + AEAD), Compatible (13), Legacy (varsayılan, 23 — DES-CBC3-SHA dahil). Değiştirmek ACM gerektiriyor.
• HSTS açılırken dikkat: kapatmak için toggle yetmiyor, Max Age’i 0 (Disable) yapman gerekiyor. Preload “can make a website without HTTPS completely inaccessible”.
• ECH (Encrypted Client Hello) SNI’yi şifreliyor; ECH’li tüm siteler dışarıdan cloudflare-ech.com görünüyor. “ECH is enabled by default on Free zones.”

Authenticated Origin Pulls — üç bağımsız seviye

mTLS — ters yön

AOP Cloudflare’in origin’e kendini kanıtlaması; mTLS ziyaretçinin Cloudflare’e kendini kanıtlaması. Doğrulama hesap seviyesinde yapılıyor, yani aynı sertifikalar hesabındaki birden çok alan adında çalışıyor.

mTLS’i açmak tek başına hiçbir şeyi engellemiyor — doğrulamayı zorunlu kılmak için bir WAF custom rule gerekiyor. Sonuç cf.tls_client_auth.cert_verified alanına yazılıyor.

BYOCA (kendi CA’nı getirmek) yalnızca Enterprise ve hesap başına 5 CA ile sınırlı — bu kota API Shield, Workers mTLS ve Gateway ile paylaşılıyor.

Post-quantum

Şart: “Cloudflare post-quantum key agreements are only supported in protocols based on TLS 1.3 (including HTTP/3).” Hedef 2029’da tüm ürün yelpazesi.

İstemci desteği: Chrome/Edge 131+, Firefox 132+, Safari 26+, OpenSSL 3.5.0+, nginx (OpenSSL 3.5+ ile derlenmişse varsayılan).

Ne zaman kullanılır, ne zaman kullanılmaz

Bu ürün için soru “kullanır mıyım” değil — proxy’lediğin her zone’da açık. Doğru soru hangi modu seçeceğin.

Full (strict) seç

• Origin’inde geçerli bir sertifika kurabiliyorsan — Origin CA ücretsiz ve 15 yıla kadar
• Kişisel veri, oturum, ödeme taşıyan her uygulama
• PCI, KVKK veya kurumsal denetim gerekçesi olan her yerde

Full ile idare et

• Geçiş dönemindesin ve origin’de sertifika kurmak için henüz zaman yok — ama bunun geçici olduğunu bil ve takvime bağla

Flexible’ı seçme

• Sadece origin’de HTTPS kuramadığın, veri hassasiyeti olmayan statik bir sitede geçici olarak. Cloudflare’in kendi ifadesiyle hassas veri varsa “use Full or Full (Strict) modes instead”.

Off’u hiç seçme

• HTTPS isteklerini aktif olarak HTTP’ye düşürüyor, Always Use HTTPS seçeneğini panelden gizliyor ve AOP’yi çalışmaz hâle getiriyor.

Bu ürünün çözmediği şeyler

• Mixed content. Always Use HTTPS çözmüyor; Automatic HTTPS Rewrites pasif içeriği çoğu zaman yeniden yazmıyor. Kalıcı çözüm kaynak kodda.
• Certificate pinning. Edge sertifikaları rotasyona giriyor; pin’lemek siteyi çökertir.
• Türk CA’sıyla çalışmak. Cloudflare yalnızca dört CA kullanıyor; Türk CA’sından alınmış bir sertifikayı ancak Business+ planda custom certificate olarak yükleyebilirsin.
• Anahtarların Türkiye’de kalması. Regional Services Türkiye’yi destekliyor ama Geo Key Manager desteklemiyor.

Somut örnekler

1. Origin CA sertifikası üretmek ve kurmak

Panel: SSL/TLS → Origin Server → Create Certificate. Ya da API ile. Kurulumdan sonra doğrula:

sudo openssl x509 -in /etc/ssl/demo/origin-ca.crt -noout -subject -issuer -dates

issuer alanında CloudFlare Origin SSL Certificate Authority görmelisin.

2. Minimum TLS’i test etmek

curl https://ornek.com -svo /dev/null --tls-max 1.1

Engellenmişse handshake tamamlanmaz: error:1400442E:SSL routines:CONNECT_CR_SRVR_HELLO:tlsv1 alert

Yerel VPN veya güvenlik istemcisi eski protokolleri zaten engelliyor olabilir — testten önce kapat.

3. Origin’i Cloudflare’in cipher listesiyle eşlemek

Cloudflare’in yayımladığı nginx bloğu:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
ssl_ecdh_curve X25519:P-256:P-384;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-CHACHA20-POLY1305:ECDHE+AES128:RSA+AES128:ECDHE+AES256:RSA+AES256:ECDHE+3DES:RSA+3DES;
ssl_prefer_server_ciphers on;

Cloudflare origin’e sabit bir liste sunuyor, seçimi origin yapıyor: “Cloudflare will present the cipher suites to your origin and your server will select whichever cipher suite it prefers.”

4. Post-quantum bağlantıyı origin’de doğrulamak

bssl client -connect origin.ornek.com:443 -curves X25519MLKEM768

Handshake çıktısında ECDHE curve alanı X25519MLKEM768 olmalı.

5. DCV’yi bloklamamak

/.well-known/* yolunu bloklayan bir Redirect Rule varsa ifadesine şunu ekle:

not starts_with(http.request.uri.path, "/.well-known/")

Always Use HTTPS doğrulamayı etkilemiyor — “Enabling Always Use HTTPS does not impact the validation process.” Sorun çıkaranlar: WAF custom rule, IP Access Rule, Under Attack mode ve */* ile eşleşen Workers route.

Demo 1: Full’dan Full (strict)‘e, gerçek bir 526 üreterek

Bu demonun değeri hatayı görmekte. Önce self-signed sertifikayla Full modda sitenin çalıştığını göstereceğiz, sonra Full (strict)‘e geçip 526 üreteceğiz, sonra Origin CA ile düzelteceğiz.

export DOMAIN="demo.ornek.com"
export ORIGIN_IP="203.0.113.10"
export ZONE_ID="<zone_id>"
export CF_TOKEN="<Zone Settings Write yetkili token>"

Adım 1 — nginx ve bilinçli olarak geçersiz sertifika

sudo apt update && sudo apt install -y nginx openssl curl
sudo ufw allow 80/tcp && sudo ufw allow 443/tcp && sudo ufw --force enable

sudo mkdir -p /etc/ssl/demo
sudo openssl req -x509 -nodes -newkey rsa:2048 \
  -keyout /etc/ssl/demo/selfsigned.key \
  -out /etc/ssl/demo/selfsigned.crt \
  -days 365 -subj "/CN=${DOMAIN}"

sudo openssl x509 -in /etc/ssl/demo/selfsigned.crt -noout -subject -issuer -dates

subject ve issuer aynı — self-signed olduğunun kanıtı, ve demonun çıkış noktası.

Terminal — openssl x509 çıktısında subject=CN = demo.ornek.com ve issuer=CN = demo.ornek.com satırları alt alta, ikisinin aynı olduğu net görünecek şekilde

Adım 2 — nginx yapılandırması

sudo tee /etc/nginx/sites-available/demo.conf >/dev/null <<'EOF'
server {
    listen 80;
    listen [::]:80;
    server_name demo.ornek.com;
    root /var/www/demo;
    index index.html;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;
    server_name demo.ornek.com;

    ssl_certificate     /etc/ssl/demo/selfsigned.crt;
    ssl_certificate_key /etc/ssl/demo/selfsigned.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;

    root /var/www/demo;
    index index.html;

    add_header X-Origin-Cert "selfsigned" always;
}
EOF

sudo mkdir -p /var/www/demo
echo "<h1>Origin OK</h1>" | sudo tee /var/www/demo/index.html
sudo ln -sf /etc/nginx/sites-available/demo.conf /etc/nginx/sites-enabled/demo.conf
sudo rm -f /etc/nginx/sites-enabled/default
sudo nginx -t && sudo systemctl reload nginx

server_name satırlarına kendi alan adını yaz — heredoc tırnaklı olduğu için $DOMAIN genişlemez, bu bilinçli.

Adım 3 — Origin’i Cloudflare’i atlayarak test et

openssl s_client -connect ${ORIGIN_IP}:443 -servername ${DOMAIN} </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer

curl -vI --resolve ${DOMAIN}:443:${ORIGIN_IP} https://${DOMAIN}/ 2>&1 | head -20

curl başarısız oluyor ve bu doğru davranış: curl: (60) SSL certificate problem: self-signed certificate

İki komutun çıktısı — openssl s_client sonucunda subject ve issuer aynı, altında curl: (60) SSL certificate problem: self-signed certificate satırı

Adım 4 — Modu Full yap

curl -s "https://api.cloudflare.com/client/v4/zones/${ZONE_ID}/settings/ssl" \
  --request PATCH \
  --header "Authorization: Bearer ${CF_TOKEN}" \
  --json '{"value":"full"}' | head -c 400

Panel ekran görüntüsü — SSL/TLS → Overview sayfası, Full seçeneği işaretli, kartın tamamı ve seçenek açıklamaları görünür durumda

Adım 5 — Full modda sitenin ÇALIŞTIĞINI gör

curl -sI https://${DOMAIN}/ | head -5

HTTP/2 200, server: cloudflare. Origin sertifikası geçersiz olmasına rağmen site çalışıyor — Full modun tehlikesi tam olarak bu.

Tarayıcıda demo.ornek.com adres çubuğunda kilit simgesiyle açık, yanında terminalde HTTP/2 200 yanıtı — ikisi tek karede olsun, çelişki net görünsün

Adım 6 — Full (strict)‘e geç ve 526’yı üret

curl -s "https://api.cloudflare.com/client/v4/zones/${ZONE_ID}/settings/ssl" \
  --request PATCH \
  --header "Authorization: Bearer ${CF_TOKEN}" \
  --json '{"value":"strict"}' | head -c 300

sleep 20
curl -sI https://${DOMAIN}/ | head -3
curl -s  https://${DOMAIN}/ | grep -iEo "error 5[0-9]{2}|invalid ssl certificate" | head -3

Tarayıcıda tam Error 526 — Invalid SSL certificate sayfası; What happened / What can I do bölümleri ve sağ altta Ray ID görünsün. Yanında terminalde HTTP/2 526 satırı

Adım 7 — Origin CA sertifikasını kur

Panel: SSL/TLS → Origin Server → Create Certificate · Hostname’ler: demo.ornek.com ve *.demo.ornek.com · Format: PEM.

sudo tee /etc/ssl/demo/origin-ca.crt >/dev/null   # sertifikayı yapıştır, sonra Ctrl-D
sudo tee /etc/ssl/demo/origin-ca.key >/dev/null   # private key'i yapıştır, sonra Ctrl-D
sudo chmod 600 /etc/ssl/demo/origin-ca.key

sudo openssl x509 -in /etc/ssl/demo/origin-ca.crt -noout -subject -issuer -dates

issuer artık CloudFlare Origin SSL Certificate Authority — Adım 1’in tam tersi.

Terminal — openssl x509 çıktısı; issuer satırında CloudFlare Origin SSL Certificate Authority okunacak şekilde. Mümkünse Adım 1'in çıktısıyla aynı karede

sudo sed -i 's#/etc/ssl/demo/selfsigned.crt#/etc/ssl/demo/origin-ca.crt#; s#/etc/ssl/demo/selfsigned.key#/etc/ssl/demo/origin-ca.key#' /etc/nginx/sites-available/demo.conf
sudo sed -i 's/X-Origin-Cert "selfsigned"/X-Origin-Cert "origin-ca"/' /etc/nginx/sites-available/demo.conf
sudo nginx -t && sudo systemctl reload nginx

Adım 8 — Düzeldiğini doğrula

curl -sI https://${DOMAIN}/ | head -5
curl -sI https://${DOMAIN}/ | grep -i x-origin-cert

HTTP/2 200 ve x-origin-cert: origin-ca — istek gerçekten yeni sertifikalı origin’e gitti.

Terminal — HTTP/2 200 ve x-origin-cert: origin-ca başlıkları; yanında panelde Full (strict) seçili SSL/TLS Overview ekranı

Adım 9 — Beklenen yan etkiyi de göster

curl -vI --resolve ${DOMAIN}:443:${ORIGIN_IP} https://${DOMAIN}/ 2>&1 \
  | grep -iE "issuer|verify|SSL certificate problem" | head -5

Doğrudan origin’e vurulduğunda yine hata — çünkü Origin CA public olarak güvenilir değil: curl: (60) SSL certificate problem: unable to get local issuer certificate

Bu normal: “These certificates only encrypt traffic between Cloudflare and your origin server, not traffic from client browsers to your origin” ve “SSL Labs or similar SSL validators are expected to flag the certificate as invalid.”

İki bölmeli görüntü — solda doğrudan origin'e yapılan curl'ün 'unable to get local issuer certificate' hatası, sağda tarayıcıda Cloudflare üzerinden sorunsuz açılan site

Demo 2: Authenticated Origin Pulls — origin yalnızca Cloudflare’e cevap versin

Ön koşul: Demo 1 tamamlanmış olmalı; şifreleme modu Full veya üzeri olmalı.

Adım 1 — Cloudflare’in AOP CA sertifikasını indir

sudo mkdir -p /etc/nginx/certs
sudo curl -fsSL https://developers.cloudflare.com/ssl/static/authenticated_origin_pull_ca.pem \
     -o /etc/nginx/certs/cloudflare.crt
sudo openssl x509 -in /etc/nginx/certs/cloudflare.crt -noout -subject -issuer -enddate

Beklenen: CN=origin-pull.cloudflare.net, notAfter=Nov 1 17:00:00 2029 GMT.

Terminal — openssl çıktısında CN=origin-pull.cloudflare.net ve notAfter 2029 satırları okunacak şekilde

Adım 2 — nginx’te önce optional ile başla

Dokümanın önerdiği sıra bu: önce gözlemle, sonra zorunlu kıl.

sudo sed -i '/ssl_certificate_key/a \    ssl_client_certificate /etc/nginx/certs/cloudflare.crt;\n    ssl_verify_client optional;' /etc/nginx/sites-available/demo.conf
sudo sed -i 's#add_header X-Origin-Cert "origin-ca" always;#add_header X-Origin-Cert "origin-ca" always;\n    add_header X-Client-Verify $ssl_client_verify always;#' /etc/nginx/sites-available/demo.conf
sudo nginx -t && sudo systemctl reload nginx
grep -nE "ssl_client_certificate|ssl_verify_client|X-Client-Verify" /etc/nginx/sites-available/demo.conf

Adım 3 — Cloudflare tarafında AOP’yi aç

curl -s "https://api.cloudflare.com/client/v4/zones/${ZONE_ID}/settings/tls_client_auth" \
  --request PATCH \
  --header "Authorization: Bearer ${CF_TOKEN}" \
  --json '{"value":"on"}' | head -c 300

Panel ekran görüntüsü — SSL/TLS → Origin Server → Authenticated Origin Pulls sekmesi, Global bölümündeki toggle açık durumda

Adım 4 — Cloudflare’in gerçekten sertifika sunduğunu kanıtla

sleep 20
curl -sI https://${DOMAIN}/ | grep -i -E "x-client-verify|^HTTP"

# Karşılaştırma: Cloudflare'i atlayarak doğrudan origin'e
curl -skI --resolve ${DOMAIN}:443:${ORIGIN_IP} https://${DOMAIN}/ | grep -i -E "x-client-verify|^HTTP"

Cloudflare üzerinden: x-client-verify: SUCCESS. Doğrudan: x-client-verify: NONE — ama optional olduğu için istek hâlâ 200 dönüyor.

Terminal — iki curl çıktısı alt alta; birinde x-client-verify: SUCCESS, diğerinde x-client-verify: NONE, ikisinde de HTTP 200

Adım 5 — Zorunlu kıl ve 400’ü üret

sudo sed -i 's/ssl_verify_client optional;/ssl_verify_client on;/' /etc/nginx/sites-available/demo.conf
sudo nginx -t && sudo systemctl reload nginx

# Cloudflare disindan, dogrudan origin'e
curl -k --resolve ${DOMAIN}:443:${ORIGIN_IP} https://${DOMAIN}/ -i 2>&1 | head -12

# Cloudflare uzerinden — calismaya devam etmeli
curl -sI https://${DOMAIN}/ | grep -i -E "x-client-verify|^HTTP"

Doğrudan istek HTTP 400 ile reddediliyor. nginx’in gövdesinde No required SSL certificate was sent yazıyor.

Tek terminalde üst üste iki sonuç — doğrudan istekte HTTP 400 Bad Request ve 'No required SSL certificate was sent' satırı, altında Cloudflare üzerinden HTTP/2 200 ve x-client-verify: SUCCESS

Adım 6 — Negatif kontrol: AOP’yi kapat

curl -s "https://api.cloudflare.com/client/v4/zones/${ZONE_ID}/settings/tls_client_auth" \
  --request PATCH --header "Authorization: Bearer ${CF_TOKEN}" \
  --json '{"value":"off"}' > /dev/null
sleep 20
curl -sI https://${DOMAIN}/ | head -3

Cloudflare artık sertifika sunmuyor, nginx ise zorunlu kılıyor — site Cloudflare üzerinden de kırılıyor. İki tarafın birlikte yapılandırılması gerektiğinin kanıtı bu. Sonra geri aç.

Terminal — AOP kapalıyken alınan hata kodu ve altında tekrar açıldıktan sonra HTTP/2 200 dönmesi

Ölçüm tablosu

Fiyatlandırma

Rakamlar 1 Eylül 2026’da cloudflare.com/plans üzerinden doğrulanmıştır.

Plan fiyatları: Free 0 USD, Pro 20 USD/ay (yıllık) veya 25 USD/ay, Business 200 USD/ay (yıllık) veya 250 USD/ay, Enterprise özel.

Fiyatı yayımlanmayanlar — bu sayfada rakam verilmedi: ek custom certificate birim fiyatı, Keyless SSL eklenti fiyatı, Geo Key Manager fiyatı, Enterprise plan fiyatı.

Lisanslama ve hukuki çerçeve

SSL/TLS tescilli bir hizmettir ve Cloudflare Hizmet Şartlarına tabidir.

Türkiye — Regional Services destekleniyor. Data Localization dokümanından birebir:

“Turkey — Cloudflare will only use data centers that are physically located within Turkey to decrypt and service HTTPS traffic.”

Bunun pratik anlamı:

1. Regional Services ✅ — TLS sonlandırma, yani özel anahtarın kullanımı ve HTTPS trafiğinin çözülmesi, fiziksel olarak Türkiye’deki veri merkezleriyle sınırlandırılabiliyor. Bu, veri yerelleştirme tartışmalarında doğrudan kullanılabilecek resmî bir taahhüt.
2. Geo Key Manager ✘ — “özel anahtarlarım yalnızca Türkiye’de saklansın” yapılamıyor. Geo Key Manager v2 bölgeleri arasında Türkiye’ye özel bir bölge yok.
3. Customer Metadata Boundary ✘ — metadata sınırı Türkiye için mevcut değil.

Türk sertifika otoriteleri. Cloudflare yalnızca dört CA kullanıyor ve SSL dokümantasyonunun tamamında TÜRKTRUST, E-Tuğra, Kamu SM veya TÜBİTAK hiç geçmiyor. Türk CA’sından alınmış bir sertifikayı kullanmanın tek yolu Business veya Enterprise planda custom certificate olarak yüklemek — ve o sertifikanın büyük bir tarayıcı tarafından public olarak güvenilir olması gerekiyor.

.tr alan adları. Cloudflare Registrar’ın .tr desteği doğrulanamadı; TLD listesi sayfada istemci tarafında yükleniyor. Güncel listeyi cloudflare.com/tld-policies adresinden kontrol et. Registrar desteği ile zone olarak eklemek farklı şeylerdir: .tr bir alan adı, nameserver’ları Cloudflare’e yönlendirilerek zone olarak eklenebilir ve Universal SSL alabilir.

Sık yapılan hatalar

Flexible modda origin’de HTTPS yönlendirmesi bırakmak

Cloudflare origin’e HTTP gönderiyor, origin HTTPS’e yönlendiriyor, Cloudflare yine HTTP gönderiyor. Sonuç: ERR_TOO_MANY_REDIRECTS. Çözüm: origin’deki yönlendirmeyi kaldır veya modu Full’e yükselt. Ters yön de aynı: Full modda origin HTTPS’i HTTP’ye yönlendiriyorsa yine döngü oluşuyor.

Cloudflare’in genel tavsiyesi: “Cloudflare recommends not performing redirects at your origin web server, as this can cause redirect loop errors.”

HSTS’i mod Off iken açmak

Döngü üretiyor. HSTS varsa mod en az Flexible olmalı.

HSTS’i kapatmak için toggle’ı kapatmak

Yetmiyor. Max Age Header’ı 0 (Disable) yapman, sonra tarayıcılarda kayıtlı sürenin dolmasını beklemen gerekiyor. Ve açtıktan sonra yapmaman gerekenler: DNS kayıtlarını gri buluta almak, Cloudflare’i pause etmek, nameserver’ları çıkarmak, HTTPS’i HTTP’ye yönlendirmek.

Ara sertifikaları sunmamak

526’nın en az fark edilen sebebi: “the origin server must serve the leaf certificate along with any required intermediate CA certificates.” Sertifika geçerli olsa bile zincir eksikse Full (strict) reddediyor.

Workers alt isteklerinin farklı davrandığını bilmemek

“Workers subrequests to any hostname outside your Cloudflare zone that is not proxied by Cloudflare are always made using the Full (strict) SSL mode, regardless of the Workers zone configuration.”

Zone’un Full olsa bile Worker’ın dışarıya yaptığı istek strict davranıyor.

Kaydı gri buluta almak

“Cloudflare can only serve an SSL/TLS certificate for a DNS record when you set the record’s proxy status to Proxied.” Gri bulutta sertifika sunulmuyor ve ERR_SSL_VERSION_OR_CIPHER_MISMATCH alınıyor. Origin CA kullanan bir kaydı gri buluta almak ise NET::ERR_CERT_AUTHORITY_INVALID üretiyor.

AAAA kaydını unutmak

“The HTTP verification process is done preferably over IPv6, so if any AAAA record exists and does not point to the same dual-stack location as the A record, the validation will fail.”

Total TLS sertifikasını silmek

Kalıcı opt-out yapıyor: “our system assumes you want to opt that hostname out… This behavior applies even if you delete and re-create the hostname’s DNS record.”

Custom certificate pack’te tek bir sertifikanın süresinin dolması

“The expiration date of a certificate pack is equivalent to the soonest Not After date among the certificates in the pack… if one of them expires the whole pack will be removed.”

Universal SSL kapatınca HTTPS DNS kaydının da durduğunu bilmemek

“Disabling Universal SSL will prevent automatic HTTPS record generation for proxied hostnames, even if you have Advanced Certificates or custom certificates configured.”