ACME (Automatic Certificate Management Environment), bir sunucunun TLS sertifikasını insan müdahalesi olmadan talep etmesini, alan adı sahipliğini kanıtlamasını ve sertifikayı süresi dolmadan yenilemesini sağlayan bir protokoldür. Let’s Encrypt’in 2015’te ücretsiz sertifika dağıtımını mümkün kılan altyapısı olarak yaygınlaştı ve sonradan RFC 8555 ile IETF standardı hâline geldi. Bugün milyonlarca alan adı sertifikasını arka planda bu protokol yönetiyor.

ACME, alan adı sahipliğinin kanıtlanmasından sertifikanın yenilenmesine kadar tüm sertifika yaşam döngüsünü makineler arası bir konuşmaya indirgeyen bir otomasyon protokolüdür.

Meydan-Yanıt Akışı Nasıl İşler?

Protokolün kalbinde sahiplik doğrulaması yatar. İstemci (örneğin certbot ya da sunucunun kendi ajanı) bir hesap anahtar çifti üretir ve sertifika almak istediği alan adları için bir sipariş açar. Buna karşılık sunucu bir meydan okuma (challenge) döndürür: istemcinin belirli bir dosyayı web kökünde yayımlaması ya da belirli bir TXT kaydını yayına alması istenir. İstemci koşulu yerine getirince doğrulayıcı, alan adının gerçekten o istemcinin kontrolünde olduğunu kanıtlamış olur ve imzalı sertifikayı teslim eder.

İki temel doğrulama yöntemi vardır. HTTP-01, alan adının 80 numaralı portunda özel bir yol altında token barındırmayı ister ve tek bir ana bilgisayarı doğrular. DNS-01 ise doğrulama kaydını alan adının bölgesine yazar; bu yöntem joker (wildcard) sertifika üretmenin tek yoludur ve doğrudan DNS altyapısıyla konuştuğu için web sunucusunun ayakta olmasını gerektirmez.

Sertifika Otoritesiyle İlişkisi

ACME, sertifikayı imzalayan tarafın yerine geçmez; ona giden yolu otomatikleştirir. İmzayı yine güvenilir bir Sertifika otoritesi atar ve üretilen belge, tarayıcıların tanıdığı X.509 sertifikası biçimindedir. Bütün bu güven zinciri, kök ve ara sertifikaların hiyerarşik olarak birbirini imzaladığı Açık anahtar altyapısı üzerine oturur; ACME yalnızca bu altyapıya erişimi bir API üzerinden erişilebilir kılar.

Kısa Ömür ve Otomatik Yenileme

ACME’nin getirdiği en belirgin değişim sertifika ömürlerinin kısalmasıdır. Manuel dönemde bir yıl ya da daha uzun süren geçerlilik, otomasyon sayesinde 90 güne kadar indi; sektör 47 günlük ömürlere doğru ilerliyor. Kısa ömür, çalınan bir özel anahtarın kötüye kullanılabileceği pencereyi daraltır, ancak bunu ancak yenileme tamamen otomatikse sürdürebilirsiniz. Pratikte istemci genellikle ömrün üçte ikisi dolduğunda yenilemeyi kendiliğinden başlatır.

• Hesap kaydı: istemci anahtar çiftiyle CA’da hesap açar
• Sipariş: doğrulanacak alan adları bildirilir
• Meydan okuma: HTTP-01 ya da DNS-01 ile sahiplik kanıtlanır
• İmzalama: CA, X.509 sertifikasını üretip teslim eder
• Yenileme: ömrün sonuna doğru döngü kendiliğinden tekrarlar

Kurumsal Etki

Süresi dolmuş sertifika, hâlâ en sık görülen kesinti nedenlerinden biridir ve genellikle bir takvim hatırlatmasının atlanmasından kaynaklanır. ACME bu insan hatasını devreden çıkarır, ama beraberinde yeni bir sorumluluk getirir: istemci ajanının çalıştığı makineler, kullandığı hesap anahtarı ve doğrulama için açtığı yollar artık kritik varlıklardır. Bu bileşenlerin sağlıklı yapılandırıldığını ve otomasyonun sessizce durmadığını doğrulamak için düzenli bir altyapı ve mimari gözden geçirme yürütmek, otomasyonun kazandırdığı güveni kalıcı kılar.