Cihaza makinelerinizin zaten güvendiği bir HTTPS sertifikası verin, kök CA'sını dağıtın ve dışarı çıkışta TLS inceleyen bir vekil sunucuya güvenin.

Ayarlar → Sertifikalar tek bir şeyi yönetir: bu cihazın https:// üzerinde neyi sunduğunu — pano, API ve LLM vekil sunucusu için. Ya cihazın, bir kez dağıttığınız bir kök CA'dan kendi sertifikasını imzalamasına izin verirsiniz ya da makinelerinizin zaten güvendiği bir CA'dan sertifika kurarsınız. Aynı sayfa dışa yönelik yarıyı da tutar: ağınız dışarı çıkışta HTTPS'i yeniden imzalıyorsa güvenilecek CA.

Neye ihtiyacım var?

Lisans: Any
Rol: superadminadmin_user

Ön koşullar

Cihaz ilk açılış sihirbazını tamamlamış olmalıdır. Tamamlanana kadar her /admin yolu 423 SETUP_REQUIRED yanıtı verir.
superadmin olarak oturum açmalısınız. API admin_user rolünü kabul etse de pano bu bölmeyi yalnızca superadmin ve salt okunur viewer rolüne listeler.
Kullanıcılarınızın cihaza erişeceği her DNS adı zaten cihaza çözümlenmelidir — bkz. Adlandırma, DNS ve TLS.
Kendi sertifikanız için: PEM biçiminde bir uç sertifika, ara sertifikaları ve ya eşleşen şifrelenmemiş özel anahtar ya da bu sayfadan bekleyen bir CSR.
Dışa yönelik güven için: TLS inceleyen vekil sunucunuzun düzenleyici CA sertifikası, PEM biçiminde.

Screenshot pendingappliance-ca kipini, uç sertifika konusunu, SAN'ları, kök CA indirme bağlantılarını ve adlar alanını gösteren Ayarlar → Sertifikalar sayfası/assets/screenshots/settings-certificates@0.4.png

Üç güven çıpası, tek sayfa

Sayfa bunu Which certificate do I need? başlığı altında kendisi söyler ve en çok zaman kazandıran ayrım budur:

Bu sayfa — cihazın HTTPS sertifikası. Panoyu açan her tarayıcı, tarayıcı eklentisi ve makineye yönlendirilmiş Claude Code ve API istemcileri için gereklidir.
Tarayıcı Denetimi — satır içi vekil sunucunun kök CA'sı. Yalnızca trafiği satır içi vekil sunucudan geçen cihazlarda gereklidir.
Uç nokta ajanı — kendi cihaz başına CA'sı. Ajan tarafından üretilir ve kurulur; burada indirilecek bir şey yoktur.

Mode alanı, cihazın beş durumdan hangisinde olduğunu belirtir.

Kip	Sayfa ne gösterir	Ne anlama gelir
`appliance-ca`	Issued by this appliance's own CA	Yeni bir kurulumun varsayılanı. On yıl geçerli, makineye özel bir kök CA, 825 gün geçerli bir uç sertifika imzalar.
`custom`	Customer certificate	Kendi sertifikanız; bir anahtarla yüklenmiş ya da bu sayfadan çıkan bir CSR'ye karşı düzenlenmiş.
`legacy-self-signed`	Self-signed (installed by the original setup)	0.3.48 kurulum programından gelen yalın kendinden imzalı uç sertifika. Her cihazda her tarayıcı uyarır.
`none`	No certificate yet	Bir durum dosyası vardır ve hiçbir sertifikanın adını vermez.
`unavailable`	Not managed on this deployment	Hiçbir ana makine uzlaştırıcısı bildirim yapmamıştır. TLS, API'nin önündeki bir şey tarafından sonlandırılır ve sayfanın geri kalanı gizlenir.

Yeniden adlandırdığınızda ya da yenilediğinizde yalnızca uç sertifika değişir. Kök CA korunur, bu nedenle daha önce dağıttığınız güven her ikisinden de sağ çıkar.

Cihaza erişilen adları belirleyin

Sertifika ayarlarını açın

Ayarlar → Sertifikalar öğesini seçin.

Sayfa Mode, Subject, Issuer, kalan günleriyle Valid until, Names (SAN), Fingerprint (SHA-256) ve Measured — ana makinenin en son ne kadar zaman önce bildirim yaptığı — bilgilerini gösterir. On saniyede bir yenilenir.

Ek adları girin

Names, comma-separated alanına, cihazın kendi adresi ve ana makine adı dışında erişildiği her ana makine adını ve IPv4 adresini yazın — örneğin app.cid.example.com, api.cid.example.com.

Alanın altındaki yardım satırı Wanted: başlığıyla, ana makinenin düzenleyeceği SAN kümesini — kendi türettiği adlar dahil — gösterir. Her girdi bir ana makine adı ya da bir IPv4 adresi olmalı, en fazla 253 karakter olmalıdır ve 32 ad sınırı vardır.

Uç sertifikayı yeniden düzenletin

Save names and reissue öğesini seçin.

Bir bildirim Names saved — the certificate is being reissued der ve ana makine uzlaştırıcısı bitene kadar sayfa Applying on the host: ensure gösterir. Ardından Names (SAN), Wanted: ile eşleşir.

Note

Aynı anda tek bir ana makine uzlaştırması çalışır. Biri beklerken yapılan ikinci bir değişiklik a host reconcile is already pending (tls/ensure); wait for it to finish ile reddedilir.

Cihaza bir sertifika verin

Filonuza tek bir kök sertifikayı — Grup İlkesi, MDM ya da elle — dağıtabildiğinizde ve bir daha hiç düşünmek istemediğinizde bunu kullanın.

Cihaz CA'sına geçin

Use the appliance CA for HTTPS öğesini seçin.

Düğme yalnızca kip zaten appliance-ca değilken görünür. Bir bildirim Switching to the appliance CA der ve ana makine uzlaştırması tamamlandığında kip değişir.

Kök sertifikayı indirin

Appliance root CA altında cid222-appliance-root.crt öğesini seçin.

İndirme oturum açmayı gerektirmez; böylece henüz panoya güvenmeyen bir makine dosyayı alabilir — sayfa tam bu durum için curl komutunu basar. Aynı sertifika yanında PEM biçiminde de sunulur.

Dağıtmadan önce parmak izini denetleyin

İndirilen dosyanın SHA-256 parmak izini, sayfadaki CA fingerprint (SHA-256) değeriyle karşılaştırın.

Sayfa bu adımı kendisi etiketler: verify this before trusting a downloaded file.

Makinelerinize güvenilir kök olarak kurun

Dosyayı; panoyu açan, tarayıcı eklentisini çalıştıran ya da Claude Code ve API istemcilerini cihaza yönlendiren her cihazın makine güven deposuna dağıtın.

Tarayıcılar uyarmayı bırakır. Yeniden adlandırma ya da yenilemede yalnızca uç sertifika yeniden düzenlendiği için bu tek seferlik bir dağıtımdır.

Warning

custom bir sertifika kendini hiçbir zaman yenilemez. Bitişe otuz gün kala sayfa, Renew it with your PKI and upload the new certificate notuyla birlikte Certificate expires in N days gösterir. Bitişten sonra cihaz, siz bir yenisini yükleyene ya da cihaz CA'sına geri dönene kadar süresi dolmuş sertifikayı sunmayı sürdürür.

Dışarı çıkışta TLS inceleyen bir vekil sunucuya güvenin

Ağınız HTTPS'i kendi CA'sıyla yeniden imzalıyorsa, cihaz o CA'ya güvenene kadar LLM sağlayıcılarına ya da güncelleme kanalına erişemez.

Vekil sunucunun düzenleyici CA'sını yapıştırın

Outbound trust (TLS-inspecting networks) altına, vekil sunucunun düzenleyici CA sertifikasını PEM biçiminde yapıştırın.

Bir uç sertifikayı değil, düzenleyici CA'yı yapıştırın: CA:TRUE taşımayan bir sertifika reddedilir.

Kurun

Trust this CA for outbound connections öğesini seçin.

Bir bildirim, sertifikanın konusuyla birlikte Site CA accepted: der. Ana makine CA'yı güven deposuna ekler ve ağ geçidi kapsayıcısını bu paketle yeniden oluşturur; böylece cihazdan çıkan HTTPS bu CA'ya karşı doğrulanır.

Alan başvurusu

Durum bloğunun gösterdiği değerler, GET /admin/certificates/status yanıtından.

Sayfadaki alan	Yanıt alanı	Ne tutar
Mode	`mode`	Yukarıdaki beş durumdan biri.
Subject	`subject`	O anda sunulan sertifikanın konusu.
Issuer	`issuer`	Onu kimin imzaladığı.
Valid until	`not_after`, `days_left`	Uç sertifikanın bitişi ve kalan gün sayısı.
Names (SAN)	`sans`	Sunulan uç sertifikanın gerçekte taşıdığı SAN'lar.
Fingerprint (SHA-256)	`fingerprint_sha256`	Uç sertifika üzerinde SHA-256, iki nokta ile ayrılmış onaltılık.
Measured	`measured_at`	Ana makinenin durumunu en son ne zaman yazdığı, göreli zaman olarak.
CA subject, CA valid until, CA fingerprint (SHA-256)	`ca_subject`, `ca_not_after`, `ca_fingerprint_sha256`	Cihaz kök CA'sı.
Wanted:	`wanted_sans`	Ana makinenin bir sonraki uzlaştırmada düzenleyeceği SAN kümesi.
—	`names`	Operatörün belirlediği ek adlar, kaydedildiği hâliyle.
Applying on the host	`pending_intent`	Sürmekte olan uzlaştırma ve eylemi.
—	`csr_pending`	Yalnızca bir istek yapıldığında ve dosya ana makinede varken true.

Bu sayfadan ya da API'sinden hiçbir özel anahtar hiçbir zaman okunamaz.

Doğrulama

Ayarlar → Sertifikalar seçtiğiniz Mode değerini, temizlenmiş bir Applying on the host bildirimini ve Wanted: ile aynı olan Names (SAN) değerini gösterir.
Valid until gelecekte bir tarihtir ve Measured günceldir — eski bir Measured, sayfanın geri kalanı ne derse desin ana makine uzlaştırıcısının çalışmadığı anlamına gelir.
CA'nıza güvenen bir makineden, cihazın kendi adı üzerinden panoyu açın. Tarayıcı hiçbir sertifika uyarısı göstermez.
Güvenmeyen bir makineden kök sertifikayı anonim olarak alın ve HTML sayfası değil sertifika olarak indiğini doğrulayın:
curl -kO https://<appliance-fqdn>/certs/appliance-root.crt openssl x509 -in appliance-root.crt -noout -fingerprint -sha256
Parmak izi, sayfadaki CA fingerprint (SHA-256) değeriyle eşleşir.

Note

Sertifika değişiklikleri Olay Günlükleri sayfasına hiçbir satır yazmaz — modül yalnızca kapsayıcı kaydına yazar. Sayfanın kendi durumu ve ana makinenin geri yazdığı last_apply kaydı, size sunulan denetim izidir.

Başarısız olursa

Cihaza 443 üzerinden erişilemiyor ya da sertifikanın süresi dolmuş:

Çalışma kitabıtls

Sertifikanın süresi dolmuş ya da 443'ü sunan yok

Şunları görebilirsiniz: ERR_CERT_DATE_INVALID (sertifikanın tarihleri geçerli değil) · NET::ERR_CERT_AUTHORITY_INVALID (sertifikayı veren otoriteye güvenilmiyor) · connection refused on 443 (443'te bağlantı reddedildi) · panoya HTTPS üzerinden erişilemiyor

Başlamadan önce

Cihaza, IP adresiyle değil, sertifikanın verildiği adla mı erişiyorsunuz?beklenen · Yazdığınız ad sertifikada geçiyor.Değilse, önce /install/naming-dns-tls sayfasına gidin.
Cihaz ağda yanıt veriyor mu — bir ping'e ya da başka bir porttaki HTTP isteğine karşılık veriyor mu?beklenen · İkisinden en az biri bağlanıyor. Hiçbiri bağlanmıyorsa bu bir TLS sorunu değil, ağ ya da elektrik sorunudur.Değilse, önce /install/network-prerequisites sayfasına gidin.

Denetimler

1
Cihaz ana makinesinde 443 portunu gerçekten tutan bir şey olduğunu doğrulayın
tanılama · appliance.tls.servedBy
2
Cihazın sunabileceği bir sertifikası olduğunu doğrulayın
tanılama · appliance.tls.mode = "none"
3
Sunulan sertifikanın kaç günü kaldığını okuyun
tanılama · appliance.tls.daysLeft = 0
4
Sertifikanın yenileme penceresinde olup olmadığını denetleyin — 30 gün; bu, `appliance/tls/ensure-tls.sh` betiğinin cihazın kendi verdiği yaprak sertifikayı yenilediği ve müşteri sertifikası için uyardığı `CID_TLS_RENEW_DAYS` varsayılanıdır
tanılama · appliance.tls.daysLeft = 30
5
Cihaz kök CA'sının var olduğunu doğrulayın; istemcilerin, cihazın verdiği bir sertifikaya güvenmesi ancak böyle sağlanabilir
tanılama · appliance.tls.caPresent = true

Nedenler ve düzeltmeler

Ne zaman ulaşılır	Neden	Açıklama, düzeltme ve doğrulama
denetim 1 başarısız olduğunda	`nothing-on-443` (kritik)	443'ü hiçbir süreç tutmuyor, dolayısıyla istemcinin bağlantısı daha TLS el sıkışması başlamadan reddedilir. Tarayıcı sertifika hatası değil bağlantı hatası bildirir; bu yüzden sorun ilk bakışta TLS sorununa benzemez. Bunun ardında genellikle başarısız bir sertifika dağıtımı vardır: ön yüz, kullanamadığı bir sertifikayla bozuk hizmet vermektense hiç başlamamayı seçer. Düzeltme: Ayarlar → Sistem Güncellemeleri sayfasından ana makine onarımını çalıştırın; onarım HTTPS ön yüzünü yeniden kurar ve cihazın sertifika isteğini yeniden uygular. Ardından panoyu yeniden yükleyin. Onarım bir sertifika sorunu bildiriyorsa önce onu çözün — sunması söylenen sertifika geçerli olana kadar ön yüz başlamayı reddetmeyi sürdürür. Doğrulama: tanılama · appliance.tls.servedBy Bu geçerli değilse: Ana makinenin HTTPS envanterini taşıyan destek paketini ekleyin.
denetim 2 başarısız olduğunda	`no-certificate` (kritik)	Cihazda hiç sertifika yapılandırılmamış — ne kendi CA'sının verdiği ne de yüklenmiş bir sertifika var. Bu giderilene kadar 443'te hiçbir şey sunulamaz. Düzeltme: Ayarlar → Sertifikalar altında cihaz CA'sından bir sertifika verin ya da orada üretilmiş bir CSR'ye karşı kurumunuzun CA'sının imzaladığı bir sertifikayı yükleyin. Bkz. Adlandırma, DNS ve TLS. Doğrulama: tanılama · appliance.tls.mode = "none"
denetim 3 başarısız olduğunda	`certificate-expired` (kritik)	Sunulan sertifikanın süresi dolmuş. Tarayıcılar bağlantıyı doğrudan reddeder; cihaza güvenecek biçimde yapılandırılmış istemciler — satır içi vekilin kendi çağıranları, tarayıcı eklentisi, uç nokta ajanı — zayıflayarak değil kapalı kalarak başarısız olur. Düzeltme: Hemen yerine yenisini verin. Cihaz CA'sının verdiği bir sertifika Ayarlar → Sertifikalar sayfasından yerinde yeniden verilir; dışarıdan imzalanmış bir sertifika için yeni bir CSR, imza ve yükleme gerekir. Sertifikayı suçlamadan önce ana makine saatini denetleyin: kayan bir saat geçerli bir sertifikayı süresi dolmuş gösterir. Doğrulama: tanılama · appliance.tls.daysLeft = 0
denetim 4 başarısız olduğunda	`certificate-expiring-soon` (uyarı)	Sertifika hâlâ geçerli ama yenileme penceresinin içinde. Şimdi yenilemek, aksi hâlde uyarısız gelecek bir kesintiyi önler ve dış bir CA'nın bir CSR'yi imzalayıp döndürmesi için zaman bırakır. Düzeltme: Sertifikayı süresi dolmadan yenileyin; Adlandırma, DNS ve TLS sayfasını izleyin. Sertifika dışarıdan imzalanıyorsa hemen başlayın — uzun süren adım cihaz değil, imza sürecidir. Doğrulama: tanılama · appliance.tls.daysLeft = 30
denetim 5 başarısız olduğunda	`ca-missing` (uyarı)	Cihaz kök CA'sı yok; dolayısıyla istemciler cihazın verdiği bir sertifikaya güvenecek duruma getirilemez ve herkese açık kök CA indirmesinin sunacağı bir şey kalmaz. Sertifikanın kendisi güncel olsa bile her istemci güvenilmeyen otorite hatası bildirir. Düzeltme: Ayarlar → Sertifikalar altında cihaz CA'sını yeniden oluşturun, kök sertifikayı cihazın herkese açık indirme yolundan yeniden dağıtın ve sunucu sertifikasını yeniden verin. Yeniden vermenin, istemcilerin daha önce kurduğu güveni geçersiz kıldığını unutmayın; dağıtımı yeniden vermeden önce planlayın. Doğrulama: tanılama · appliance.tls.caPresent = true

Ağ geçidinin reddettiği her şey kırmızı bir bildirimde olduğu gibi görünür. Bilinmeye değer olanlar:

a host reconcile is already pending (tls/install); wait for it to finish → aynı anda tek bir uzlaştırma çalışır. Applying on the host temizlenene kadar bekleyin, sonra işlemi yineleyin. Gönderdiğiniz dosyaların ana makinede zaten hazırlanmış olduğunu unutmayın — doğrulamanın gerçekleşmiş olması için onları yeniden yapıştırmanız gerekmez; ancak işlemin kendisi kuyruğa alınmamıştır.
cert is a CA certificate; upload the server (leaf) certificate, with the CA in chain → CA'nızı Certificate (PEM) alanına yapıştırdınız. Onun yeri Chain alanıdır.
chain link 1 (…) did not issue … — order the chain leaf-side first → ara sertifikalar yanlış sıradadır. Uç sertifikanızı imzalayan sertifika önce gelir.
key is not a PEM private key (encrypted keys are not accepted — decrypt it first) → anahtar parola korumalıdır.
the private key does not match the certificate → iki yarı farklı düzenlemelerden gelmiştir.
no key uploaded and no CSR is pending — generate a CSR first, or upload the key with the certificate → bu cihazda bekleyen bir istek yokken anahtar kutusunu boş bıraktınız.
the certificate has no subjectAltName; browsers reject certificates without one → CA yalnızca ortak ada göre düzenlemiş. SAN'larla yeniden düzenletin.
this certificate is not a CA (basicConstraints CA:TRUE); upload the proxy's issuing CA, not a leaf → dışa yönelik güvene bir sunucu sertifikası verilmiş.
not a hostname or IPv4 address: … ya da at most 32 names → adlar alanı. Yalnızca ana makine adları ve IPv4 adresleri kabul edilir ve en fazla 32 tane olabilir.
no CSR is pending — generate one first (404) → istek bir kurulumla tüketilmiş ya da hiç üretilmemiştir.
İndirmede this appliance has no root CA yet (404) → ana makine CA'yı oluşturmamıştır. Onu oluşturmak için cihaz CA'sına geçin.

Sonraki adımlar

Adlandırma, DNS ve TLS — herhangi bir şey düzenletmeden önce hazırlanması gereken adlar ve kayıtlar.
SIEM ve webhook entegrasyonları — engel dışa yönelik güvense, denetlenecek bir sonraki dışa çıkış yolu budur.
Ayarlar — diğer bölmeler ve onlara hangi rolün eriştiği.