Yükleniyor
Kriptografik anahtar secimi, TLS surumu ve ag gecikmesinin TTFB uzerindeki etkisini olcun. ECDSA P-256 ile TCP paket tasmasini onleyin ve Nginx/Caddy cift sertifika konfigurasyonu olusturun.
Sertifika algoritmasi, TLS surumu ve ag gecikmesini belirleyerek el sikisma gecikmesini simule edin.
2026 kuresel web standardi. Minimum sertifika boyutu, yuksek imzalama hizi ve dusuk TTFB.
Toplam sertifika zinciri: 1.302 byte. Tek bir TCP penceresine sigarak mobilde gecikmesiz iletilir.
RSA 2048'e kiyasla sadece sertifika el sikisma basliklarindan elde edilen bant genisligi tasarrufu.
ECDSA'nin saniyede 28.500 imzalama kapasitesi sayesinde sunucu vCPU yukunu azaltir.
Mobil ve masaustu ziyaretcilerin beklemedigi ve web sitenizin aninda yuklendigi toplam zaman.
| Algoritma | Anahtar Boyutu | Guvenlik Seviyesi | Zincir Boyutu | Imzalama Kapasitesi | Dogrulama Kapasitesi | Tarayici Uyumu |
|---|---|---|---|---|---|---|
| ECDSA P-256 (secp256r1)Secili | 256 bit | RSA-3072 esdegeri | ~1.22 KB | 28.500 ops/sn | 9.200 ops/sn | %99.8 |
| ECDSA P-384 (secp384r1) | 384 bit | RSA-7680 esdegeri | ~1.54 KB | 8.200 ops/sn | 3.400 ops/sn | %99.5 |
| RSA 2048-bit | 2048 bit | RSA-2048 esdegeri | ~3.37 KB | 2.450 ops/sn | 48.000 ops/sn | %100 |
| RSA 4096-bit | 4096 bit | RSA-4096 esdegeri | ~6.74 KB | 390 ops/sn | 13.500 ops/sn | %100 |
Modern cihazlara yuksek hizli ECDSA sunarken, eski cihazlara otomatik RSA sertifikasi dondurur.
# Nginx Dual-Certificate (ECDSA P-256 Primary + RSA 2048 Fallback) & TLS 1.3
# /etc/nginx/conf.d/siteadiniz.com.conf
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
listen 443 quic reuseport; # HTTP/3 QUIC destegi
server_name siteadiniz.com www.siteadiniz.com;
# 1. ECDSA P-256 Sertifikasi (Modern Istemciler - Yag gibi hizli)
ssl_certificate /etc/letsencrypt/live/siteadiniz.com-ecdsa/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/siteadiniz.com-ecdsa/privkey.pem;
# 2. RSA 2048 Sertifikasi (Eski Istemciler Icin Fallback)
ssl_certificate /etc/letsencrypt/live/siteadiniz.com-rsa/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/siteadiniz.com-rsa/privkey.pem;
# Guvenli TLS Protokolleri
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
# 0-RTT Resumption & Oturum Yonetimi
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets on;
# OCSP Stapling (Ziyaretci tarayicisinin CA'ya sorgu atip beklemesini onler)
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/siteadiniz.com-ecdsa/chain.pem;
resolver 1.1.1.1 8.8.8.8 valid=300s;
resolver_timeout 5s;
# HTTP/3 Reklam Basligi
add_header Alt-Svc 'h3=":443"; ma=86400';
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
location / {
proxy_pass http://127.0.0.1:3000;
proxy_set_header Host $host;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Forwarded-Proto https;
}
}Web sitelerinin ilk yukleme performansinda (Time to First Byte - TTFB), sunucu islem suresinden (PHP/Node.js render) once ag uzerinde gerceklesen TCP ve TLS el sikisma asamasi buyuk bir paya sahiptir. Geleneksel TLS 1.2 protokolunde sunucu ile istemci arasinda 2 tam gidis-donus (2-RTT) gerekirken, modern TLS 1.3 standardi bu islemi tek bir gidis-donuse (1-RTT) indirmistir. Session Resumption ile 0-RTT (Early Data) aktif edildiginde ise tekrar eden ziyaretcilerde TLS el sikisma gecikmesi tamamen ortadan kalkar.
Geleneksel RSA 2048-bit sertifikalar ortalama 3.5 KB zincir boyutuna sahipken ve saniyede yaklasik 2.500 imzalama yapabilirken; ECDSA P-256 sertifikalari yalnizca ~1.2 KB zincir boyutuna sahiptir ve modern bir CPU cekirdeginde saniyede 28.000'den fazla imzalama gerceklestirebilir. Bu durum ozellikle yuksek trafikli e-ticaret, medya ve API altyapilarinda vCPU tuketimini dramatik olcude dusurur.
Linux cekirdeginde varsayilan TCP Initial Congestion Window degeri 10 MSS paketidir (~14.600 byte). Eger cok sayida Subject Alternative Name (SAN) iceren veya RSA 4096 gibi buyuk bir sertifika zinciri kullaniliyorsa, ServerHello ve sertifika verisi bu 10 paketi asar. Bu durumda sunucu, istemciden bir TCP ACK paketi beklemek zorunda kalir ve mobil aglarda ek +40ms ila +120ms gecikme (stall) olusur.
Sertifikanin iptal edilip edilmedigini (revocation) kontrol etmek icin tarayicilar varsayilan olarak sertifika otoritesinin (CA) OCSP sunucusuna sorgu gonderir. OCSP Stapling kapali oldugunda, ziyaretcinin tarayicisi web sitenize baglanirken ekstra harici bir HTTP/DNS sorgusu yapmak zorunda kalir ve bu sorgu 50ms ila 350ms arasinda fazladan gecikmeye neden olur. Web sunucunuzda ssl_stapling on; yapilandirmasi aktif edildiginde sunucu bu kaniti onceden onbellekler ve ziyaretciye aninda sunar.
Gunumuzde Let's Encrypt, ZeroSSL ve diger kamusal sertifika otoriteleri ayni alan adi icin hem ECDSA hem deRSA sertifikasi saglayabilmektedir. Nginx, Apache veya HAProxy web sunucularina iki sertifika dosyasini da tanimlayarak, modern istemcilere (Chrome, Safari, Firefox, Edge ve modern mobil tarayicilar) yuksek hizli ECDSA sertifikasini sunabilir; eliptik egri kriptografisini desteklemeyen cok eski kurumsal veya gomulu cihazlara ise otomatik olarak RSA sertifikasini fallback olarak dondurebilirsiniz.