Genellikle İstemci Tarafı SSL veya karşılıklı TLS olarak adlandırılan iki yönlü SSL, hem sunucunun hem de istemcinin (web tarayıcısı) kendilerini tanımlamak için sertifika sağladığı bir SSL modudur.

Hesap yöneticileri, Güvenlik Ayarları sayfasında istemci tarafı sertifikasını yapılandırabilir.

Acrobat Sign, web kancası URL'sine yük teslim ederken SSL sertifikalarını doğrular. SSL sertifika doğrulamasında başarısız olan web kancaları, JSON yükünü başarılı bir şekilde gönderemez.

İstemcinin (Acrobat Sign) ve dinleme hizmetinin kimliğini doğrulamak için İki yönlü SSL kullanarak web kancası URL'nize yalnızca Acrobat Sign'ın erişebildiğinden emin olun.

Web kancası, İş Ortağı Uygulaması tarafından oluşturulmuşsa web kancası bildirimlerini gönderirken kendisini tanımlamak için İş Ortağı Uygulamasının Hesabından (varsa) bir istemci sertifikası kullanır.

İstemci sertifikası yüklemek için kullanıcı arabirimi kontrollerine gitme

Aşağıda hem web sunucusu doğrulama işlemi hem de istemci sertifikasyon doğrulaması için en yaygın sorular vardır.

Web sunucusu doğrulaması

Bir web kancasının kaydı sırasında, Acrobat Sign web kancası sunucu URL'sini doğrular.

Müşteriler, Acrobat Sign'dan web kancası geri çağırma URL'sine bağlantı tamamlanamazsa web kancasına kaydolamaz.

Hayır.

Web kancası geri çağırma URL'si yalnızca 443 veya 8443 bağlantı noktasında HTTPS olabilir.

Acrobat Sign diğer tüm bağlantı noktalarına giden HTTPS trafiğini engeller.

Sunucu sertifikasını doğrulamanın iyi bir yolu, DigiCert® SSL Kurulum Tanı Aracını kullanmaktır.

Sadece ana bilgisayar adını girin, ör.: www.digicert.com

Genel sorunlar aşağıdakileri içerir:

Sorun: Güvenilir olmayan bir CA veya kendi kendine imzalanmış sertifika kullanma

Düzeltme: Web kancası geri çağırma sunucusu için herkese açık bir CA tarafından verilen SSL sertifikasını kullanın.

Sorun: Sunucu ara sertifikayı göndermiyor

Düzeltme: Ara sertifikaları web kancası geri çağırma sunucusuna yükleyin.

Ayrıntılı bilgiler için bkz. https://www.digicert.com/kb/ssl-certificate-installation.htm.

İstemci sertifikası doğrulaması

Bir web kancası için iki yönlü SSL kurmak amacıyla, yöneticinin özel anahtarı içeren bir .p12 (veya .pfx) yükleyin. Dosya müşteri hesabında güvenli şekilde depolanır ve yönetici istenen zamanda bunu kaldırmak için tam kontrole sahiptir.

İki yönlü bir web kancası kurulumunda, Acrobat Sign arayan/istemcidir ve çağrının müşteri hesabı adına Acrobat Sign tarafından yapıldığını kanıtlamak için özel anahtara ihtiyacı vardır.

İki yönlü SSL'nin etkinleştirildiğini doğrulayın

İki yönlü SSL, web kancası geri arama sunucusunda etkinleştirilmelidir.

Herhangi bir web kancasını kullanarak, web kancası geri arama URL'sine bağlanın. Aşağıdakileri almalısınız:
```
400 Hatalı İstek
Gönderilen SSL sertifikası gerekmez
```
Bu, sunucunun istemcinin istemci sertifikalarını göndermesini beklediği anlamına gelir (yani: İki yönlü SSL sunucu için etkinleştirilir).

Yukarıdaki mesajı görmüyorsanız iki yönlü SSL etkinleştirilmedi.

Not:

Postman kullanabilir ve web kancası geri arama URL'sine bir POST isteği yapabilirsiniz. Benzer bir sonuç almanız gerekir.

İstemci sertifikasını yerel olarak doğrulayın

İstem kimlik bilgileri kendi kendine imzalı sertifika veya CA tarafından verilen sertifikadır. Bununla birlikte, aşağıdaki X.509 v3 uzantılarına minimum düzeyde uymalıdır:

X.509 v3 uzantı	Değer
ExtendedKeyUsage	clientAuth (OID: 1.3.6.1.5.5.7.3.2)
KeyUsage	digitalSignature

İstemci sertifikası, .p12 veya .pfx uzantısına sahip bir PKCS12 dosyası olmalı ve hem istemci sertifikasını (böylece sunucu istemcinin kimliğini doğrulayabilir) hem de istemcinin özel anahtarını (böylece istemci, sunucunun SSL tokalaşması sırasında doğrulaması için mesajları dijital olarak imzalayabilir) içermelidir.

P12 (pfx) dosyasını doğrulamak için openssl komutunu kullanın:

openssl pkcs12 -info -in outfile.p12

Özel anahtar için parola, istenmesi gereken özel anahtardır. Çıkış, hem sertifikaları hem de aşağıdakiler gibi Şifrelenmiş Özel Anahtarları içermelidir:

Çanta Özellikleri
    localKeyID: 9D BD 22 80 E7 B2 B7 58 9E AE C8 42 71 F0 39 E1 E7 2B 57 DB
subject=/C=US/ST=California/L=San Jose/O=Adobe Inc./CN=sp.adobesignpreview.com
issuer=/C=US/O=DigiCert Inc/CN=DigiCert TLS RSA SHA256 2020 CA1
-----SERTİFİKAYI BAŞLAT-----
MIIGwDCCBaigAwIBAgIQAhJSKDdyQZjlbYO5MJAYOTANBgkqhkiG9w0BAQsFADBP
MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMSkwJwYDVQQDEyBE
...
JAKQLQ==
-----SERTİFİKAYI BİTİR-----
Çanta Özellikleri: <Özellik Yok>
subject=/C=US/O=DigiCert Inc/CN=DigiCert TLS RSA SHA256 2020 CA1
issuer=/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root CA
-----SERTİFİKAYI BAŞLAT-----
MIIEvjCCA6agAwIBAgIQBtjZBNVYQ0b2ii+nVCJ+xDANBgkqhkiG9w0BAQsFADBh
MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMRkwFwYDVQQLExB3
...
-----SERTİFİKAYI BİTİR-----
Çanta Özellikleri
    localKeyID: 9D BD 22 80 E7 B2 B7 58 9E AE C8 42 71 F0 39 E1 E7 2B 57 DB
Anahtar Özellikleri: <Özellik Yok>
-----ŞİFRELENMİŞ ÖZEL ANAHTARI BAŞLAT-----
MIIFDjBABgkqhkiG9w0BBQ0wMzAbBgkqhkiG9w0BBQwwDgQI7eNh2qlsLPkCAggA
...
FHE=
-----ŞİFRELENMİŞ ÖZEL ANAHTARI BİTİR-----

Sertifikalar en azından son varlık sertifikasını ve ara sertifikaları içermelidir. İdeal olarak, ayrıca kök CA sertifikasını içerecektir.

Uyarı:

.p12 veya .pfx dosyasının parola korumalı olduğundan emin olun.

Kendi kendine imzalanan bir istemci sertifikası (isteğe bağlı) oluşturun

İstemci sertifikaları, ihtiyacınıza bağlı olarak CA tarafından verilmiş veya kendi kendine imzalanmış olabilir.

Kendi kendine imzalanmış bir istemci sertifikası oluşturmak için aşağıdaki openssl komutunu kullanın:

openssl req -newkey rsa:4096 -keyform PEM -keyout ca.key -x509 -days 3650 -outform PEM -out ca.cer

Dikkat:

Kendi kendine imzalanmış CA sertifikaları olduğu için elde edilen dosyaları gizli tutun.
Sonra, istemci .p12 dosyasını oluşturun:
1. SSL istemcisi için özel bir anahtar oluşturun:
  openssl genrsa -out client.key 2048
2. Bir sertifika isteği oluşturmak için istemcinin özel anahtarını kullanın:
  openssl req -new -key client.key -out client.req
3. Sertifika isteği ve CA sertifika/anahtarını kullanarak istemci sertifikasını yayınlayın:
  openssl x509 -req -in client.req -CA ca.cer -CAkey ca.key -set_serial 101 -extensions client -days 365 -outform PEM -out client.cer
4. İstemci sertifikasını ve özel anahtarı tarayıcılar tarafından kullanım için pkcs#12 formatına dönüştürün:
  openssl pkcs12 -export -inkey client.key -in client.cer -out client.p12
5. pkcs12 ihtiyacınız olan her şeye sahip olduğu için istemci özel anahtarını, istemci sertifikasını ve istemci dosyalarını kaldırın.
  rm client.key client.cer client.req
İstemci sertifikasını uzak sunucuya karşı doğrulayın
- İstemci PFX dosyasını Ayarlar > Sertifikalar yoluna yüklemek için Postman kullanın.
- İstemci sertifikasını eklemek için Sertifika Ekle seçeneğini belirleyin.
- HTTP başlığını x-adobesign-cliendid için yapılandırın:
Yapılandırıldığında web kancası geri arama URL'sine bir POST isteği gönderin.

200 yanıt almalısınız.
Neden Postman ile doğruladıktan sonra bile Acrobat Sign PFX dosyamı reddediyor?

Yukarıdaki pfx dosyası doğrulama işlemini izlediyseniz ve Acrobat Sign pfx dosyasını hala reddediyorsa dosya standart olmayan PKCS12 dosyası oluşturabilen bir Microsoft aracı tarafından oluşturulmuş olabilir.

Bu durumda, pfx dosyasından sertifikaları ve özel anahtar çıkarmak için openssl komutlarını kullanın ve ardından doğru formatlı bir PKCS12 dosyası oluşturun:
```
// Sertifikaları ve özel anahtarı pfx dosyasından ayıklayın
openssl pkcs12 -info -in microsoftclientssl.pfx -passin pass:&quot;&quot; -out clientcert.crt -nokeys
openssl pkcs12 -info -in microsoftclientssl.pfx -passin pass:&quot;&quot; -out clientcert.key -nodes -nocerts

// Yeni PKCS12 dosyası oluşturun
openssl pkcs12 -export -inkey clientcert.key -in clientcert.crt -out clientcert.pfx
```