Ters proxy arkasında HTTPS yönlendirme döngüsü: nerede düzeltilmeli?

Bir süredir en sık karşılaştığım HTTPS sorunlarından biri, site açılırken tarayıcının “çok fazla yönlendirme” hatası vermesi. Özellikle TLS’in CDN’de ya da yük dengeleyicide sonlandığı kurulumlarda uygulama, proxy’den gelen isteği HTTP sanıp tekrar HTTPS’e yönlendiriyor; dışarıdan bakınca da bu yönlendirme hiç bitmiyor.

Bence önce TLS’in nerede sonlandığını netleştirmek gerekiyor:

• Proxy ile sunucu arasındaki bağlantı HTTP ise uygulama, asıl isteğin HTTPS olduğunu ancak güvenilir proxy’nin aktardığı X-Forwarded-Proto gibi bir başlıktan anlayabilir.
• Bu başlığı gelişigüzel herkesten kabul etmek güvenli değil. Uygulama yalnızca kendi proxy’sinden gelen bu bilgiyi dikkate almalı; aksi hâlde istemci başlığı taklit edebilir.
• CDN kullanılıyorsa “Flexible” benzeri, ziyaretçi ile CDN arasında HTTPS olup CDN ile sunucu arasında HTTP kullanan modlar yerine mümkünse uçtan uca TLS tercih edilmeli. Sunucudaki sertifika ve yönlendirme kuralları da birlikte kontrol edilmeli.

Teşhis için yönlendirme zincirine bakmak işe yarıyor: curl -IL https://alanadiniz ile yanıt kodları ve Location başlıkları görülebilir. Döngünün hangi katmanda başladığı genellikle buradan belli oluyor.

Sizde bu sorun hangi kurulumda çıktı; düzeltmeyi web sunucusunda mı, uygulama ayarında mı yaptınız?