SSL Sertifikası Nedir? HTTPS'e Geçiş ve Sık Yapılan Hatalar

SSL sertifikası, web sitesi ile ziyaretçi arasındaki bağlantının şifrelenmesini ve sitenin kimliğinin doğrulanmasını sağlayan dijital sertifikadır. Günümüzde kullanılan protokolün adı aslında TLS'tir; ancak "SSL" ifadesi alışkanlıkla kullanılmaya devam ediyor. Adres çubuğundaki https:// ve kilit simgesi bu sertifikanın göstergesidir.

Neden gerekli?

• Gizlilik: Formlara girilen bilgiler, parolalar ve kişisel veriler şifreli iletilir; aradaki kişiler okuyamaz.
• Bütünlük: Sayfa içeriğinin iletim sırasında değiştirilmesi (örneğin araya reklam eklenmesi) engellenir.
• Güven: Tarayıcılar HTTPS olmayan sayfalarda, özellikle form alanlarında "güvenli değil" uyarısı gösterir.
• SEO: HTTPS, Google tarafından sayfa deneyimi sinyallerinden biri olarak kabul edilir.
• Modern özellikler: HTTP/2, konum erişimi, service worker gibi birçok tarayıcı özelliği yalnızca HTTPS'te çalışır.

Sertifika türleri

Doğrulama seviyesine göre

• DV (Domain Validation): Yalnızca alan adı sahipliği doğrulanır. Hızlı ve çoğu zaman ücretsizdir. Çoğu web sitesi için yeterlidir.
• OV (Organization Validation): Kurumun varlığı da doğrulanır.
• EV (Extended Validation): En kapsamlı doğrulamadır. Tarayıcılar eskiden adres çubuğunda şirket adını gösteriyordu; artık bu belirgin görsel fark büyük ölçüde kaldırıldı.

Kapsamına göre

• Tek alan adı: ornek.com
• Wildcard: *.ornek.com ile tüm alt alan adları
• Çoklu alan adı (SAN): Birden fazla farklı alan adı tek sertifikada

Ücretsiz sertifika yeterli mi?

Let's Encrypt gibi otomatik sertifika otoriteleri tarafından verilen ücretsiz DV sertifikalar, şifreleme gücü açısından ücretli DV sertifikalarla aynıdır. Farklar genellikle geçerlilik süresi, garanti ve destek tarafındadır. Birçok hosting ve CDN sağlayıcısı ücretsiz sertifikayı otomatik olarak kurar ve yeniler.

Sektörde sertifika geçerlilik sürelerinin önümüzdeki yıllarda kademeli olarak kısaltılması kararlaştırıldı. Bu nedenle sertifikaları elle değil, otomatik yenileme ile yönetmek giderek zorunlu hale geliyor.

HTTPS'e geçiş adımları

1. Sertifikayı kurun ve tüm alan adı sürümlerini (www ve www'suz) kapsadığından emin olun.
2. 301 yönlendirmesi ile tüm HTTP isteklerini HTTPS'e yönlendirin.
3. Tek bir tercih edilen adres belirleyin (örneğin https://www.ornek.com) ve diğer sürümleri ona yönlendirin.
4. İç bağlantıları güncelleyin. Sayfa içindeki bağlantılar ve kaynaklar doğrudan HTTPS adresini göstermeli.
5. Canonical etiketlerini ve site haritasını güncelleyin.
6. Search Console'da HTTPS mülkünü kontrol edin. Bkz. Search Console rehberi.
7. Karışık içeriği temizleyin.

Karışık içerik (mixed content)

HTTPS bir sayfada HTTP üzerinden yüklenen görsel, betik veya stil dosyası "karışık içerik" oluşturur. Tarayıcılar bu kaynakları engelleyebilir veya güvenlik uyarısı gösterebilir. Tarayıcı konsolundaki uyarıları kontrol ederek tüm kaynakları HTTPS'e taşıyın.

HSTS ile bir adım ileri

HSTS (HTTP Strict Transport Security) başlığı, tarayıcıya sitenize bir süre boyunca yalnızca HTTPS ile bağlanmasını söyler. Bu, ilk HTTP isteğinin araya girilerek yönlendirilmesi riskini azaltır.

Strict-Transport-Security: max-age=31536000; includeSubDomains

HSTS'yi açmadan önce tüm alt alan adlarınızın HTTPS desteklediğinden emin olun.

Sık yapılan hatalar

• Sertifika süresinin dolmasını fark etmemek
• Yalnızca www'suz sürüme sertifika almak
• HTTP ve HTTPS sürümlerinin ikisinin de erişilebilir kalması (yinelenen içerik)
• Eski TLS sürümlerini (1.0, 1.1) açık bırakmak
• Yönlendirme zincirleri (HTTP → www → HTTPS gibi çoklu adımlar)

Sık sorulan sorular

SSL sertifikası sitemi hacklenmeye karşı korur mu?

Hayır. Sertifika yalnızca bağlantıyı şifreler. Uygulamadaki açıklar, zayıf parolalar veya güncellenmemiş yazılımlar ayrı önlemler gerektirir. Bkz. OWASP Top 10.

Form olmayan bir tanıtım sitesi için de gerekli mi?

Evet. Tarayıcı uyarıları, SEO ve içerik bütünlüğü açısından her site HTTPS kullanmalıdır.

Sonuç

HTTPS artık bir seçenek değil, her web sitesi için temel standarttır. Ücretsiz sertifikalar ve otomatik yenileme ile kurulumu kolaydır; önemli olan yönlendirmeleri, karışık içeriği ve yenilemeyi doğru yönetmektir. Sitenizin güvenlik yapılandırması için iletişime geçebilirsiniz.