SSL Sertifikası Nedir? HTTPS Neden Şart?

01SSL Sertifikası Ne İşe Yarar?

Şifresiz bir bağlantıda tarayıcı ile sunucu arasında giden her bilgi, aradaki ağlarda düz metin olarak dolaşır. Ortak bir Wi-Fi ağında, kötü niyetli biri iletişim formuna yazılan telefon numarasını ya da giriş sayfasındaki parolayı görebilir. SSL sertifikası bu trafiği şifreleyerek okunamaz hale getirir.

Sertifikanın ikinci görevi kimlik doğrulamadır. Tarayıcı, bağlandığı sunucunun gerçekten o alan adına ait olduğunu sertifika üzerinden kontrol eder. Böylece araya giren sahte bir sunucunun kendini sizin siteniz gibi göstermesi zorlaşır.

Bugün kullanılan protokolün teknik adı TLS'dir (Transport Layer Security); SSL eski sürümlerin adıdır ve artık güvenli kabul edilmez. Ancak alışkanlık nedeniyle sektörde hâlâ SSL sertifikası ifadesi kullanılır.

02HTTPS Nedir, Nasıl Çalışır?

HTTPS, web sayfalarını taşıyan HTTP protokolünün TLS ile şifrelenmiş halidir. Ziyaretçi siteye bağlandığında tarayıcı ve sunucu kısa bir el sıkışması yapar: sunucu sertifikasını gösterir, tarayıcı bunun güvenilir bir sertifika otoritesi tarafından verildiğini ve süresinin dolmadığını doğrular, ardından iki taraf yalnız o oturuma özel şifreleme anahtarları üretir.

Bu işlem milisaniyeler sürer ve modern protokoller sayesinde hız kaybı yok denecek kadar azdır. Üstelik HTTP/2 ve HTTP/3 gibi daha hızlı protokoller tarayıcılarda yalnız HTTPS üzerinden çalışır; yani şifreleme çoğu zaman siteyi yavaşlatmak yerine hızlandırır. Sunucu tarafındaki bu ayarları hız ve performans yönetimi çalışmalarında birlikte ele alıyoruz.

03HTTPS Neden Şart?

Güvenli Değil Uyarısı

Güncel tarayıcılar HTTPS kullanmayan sayfaları adres çubuğunda güvenli değil uyarısıyla işaretler; form alanı olan sayfalarda uyarı daha da belirgin hale gelir. Ziyaretçinin ilk gördüğü şey bu uyarı olduğunda iletişim formunu doldurma ya da sipariş verme ihtimali düşer.

SEO Etkisi

Google, HTTPS'i arama sıralamasında bir sinyal olarak kullandığını açıkça duyurmuştur. Bu sinyal tek başına sıralamayı belirlemez ama güvenli olmayan bir site, sayfa deneyimi açısından geride başlar. HTTPS'e geçişte eski HTTP adreslerinin 301 yönlendirmesiyle yeni adreslere bağlanması, kazanılmış arama görünürlüğünü korur; bu ayrıntılar SEO uyumlu web tasarımı sürecinin parçasıdır.

Ödeme Güvenliği

Kart bilgisi alan her sayfa şifreli bağlantı gerektirir; kart endüstrisinin güvenlik standardı PCI DSS, kart verisinin açık ağlarda güçlü şifrelemeyle iletilmesini şart koşar. Bir e-ticaret altyapısı seçerken sertifikanın tüm sayfalarda geçerli olduğunu ve otomatik yenilendiğini kontrol edin.

Kişisel Verilerin Korunması

İletişim formu, üyelik ya da rezervasyon formu aracılığıyla ad, telefon ve e-posta toplayan siteler kişisel veri işler. Verinin iletim sırasında şifrelenmesi, alınması beklenen temel teknik tedbirlerden biridir. Yükümlülüklerinizin ayrıntısı için güncel KVKK mevzuatını ve hukuk danışmanınızı kontrol edin.

04SSL Çeşitleri Nelerdir?

SSL çeşitleri iki eksende ayrılır: sertifikayı verenin sizi ne kadar ayrıntılı doğruladığı ve sertifikanın kaç alan adını kapsadığı. Şifreleme gücü tüm türlerde aynıdır; fark doğrulama düzeyinde ve kapsamdadır.

Kapsama Göre Sertifikalar

Tarayıcılar EV sertifikalarını eskiden adres çubuğunda şirket adıyla öne çıkarıyordu; güncel tarayıcılarda bu görsel fark büyük ölçüde kaldırıldı. Bu nedenle çoğu site için iyi yapılandırılmış bir DV sertifikası yeterlidir.

• Tek alan adı: yalnız firmaniz.com ve genellikle www sürümü.
• Wildcard: *.firmaniz.com biçiminde, aynı seviyedeki tüm alt alan adları (magaza, panel, blog).
• Çoklu alan adı (SAN): farklı alan adlarını tek sertifikada toplar; birden fazla markası olan işletmeler için pratiktir.

05Ücretsiz mi, Ücretli mi?

Let's Encrypt gibi kâr amacı gütmeyen sertifika otoriteleri ücretsiz DV sertifikası sağlar ve bu sertifikalar ücretli DV sertifikalarıyla aynı şifreleme gücündedir. Kısa geçerlilik süresiyle verilir ve otomatik yenileme araçlarıyla sorunsuz kullanılır. Birçok hosting paneli ve CDN hizmeti bu sertifikayı tek tıkla kurar.

Ücretli sertifikalar; OV ve EV doğrulaması, bazı sağlayıcılarda sigorta ve destek hizmeti, otomasyonun mümkün olmadığı eski sistemlerde uzun yenileme aralığı gibi ihtiyaçlarda anlam kazanır. Fiyatı doğrulama türü, kapsanan alan adı sayısı ve sertifika otoritesi belirler.

06Sertifika Kurulduktan Sonra Kontrol Listesi

Sertifikayı kurmak işin yarısıdır. Aşağıdaki adımlar tamamlanmadan site hâlâ uyarı verebilir ya da arama görünürlüğü zarar görebilir. Sunucuya kurulumun adımlarını SSL sertifikası kurulumu rehberinde ayrıca anlattık.

1. Tüm HTTP isteklerini kalıcı (301) yönlendirmeyle HTTPS'e çevirin.
2. Sayfalardaki görsel, betik ve stil dosyalarının http:// ile çağrılmadığından emin olun; aksi halde karışık içerik uyarısı çıkar.
3. Site haritası, canonical etiketleri ve iç linkleri HTTPS adreslerle güncelleyin.
4. Search Console'da HTTPS sürümünün doğrulandığını kontrol edin.
5. Her şey sorunsuzsa HSTS başlığıyla tarayıcıya siteye yalnız HTTPS ile bağlanmasını söyleyin.
6. Sertifikanın bitiş tarihini izleyen bir uyarı kurun.

07Sık Görülen SSL Hataları

Sertifika ve sunucu ayarları değiştirilmeden önce sitenin ve veritabanının güncel bir kopyasını almak, bir hata durumunda dakikalar içinde geri dönmenizi sağlar; yöntemler yedekleme nasıl yapılır yazısında. Şifrelemenin geleceğine dair merak ediyorsanız post-kuantum kriptografi yazımız TLS'in önümüzdeki yıllarda nasıl değişeceğini anlatıyor.