SSL sertifikası nedir, HTTPS neden zorunlu? Let's Encrypt, wildcard SSL, mixed content çözümü ve Google güven sıralaması. Solid Medya'dan web sitesi SSL kurulumu ve sertifika yenileme rehberi.
Tarayıcı adres çubuğundaki kilit simgesi, ziyaretçinin siteyle aranızdaki bağlantının şifreli olduğunu gösterir. Bu kilit olmadığında tarayıcılar "güvenli değil" uyarısı verir; özellikle form dolduran ya da ödeme yapan ziyaretçi için bu uyarı çoğu zaman sayfadan ayrılma sebebidir.
SSL'in ne yaptığı, sertifika türleri, kurulum adımları, "mixed content" hatası ve yenilemenin neden giderek daha önemli hale geldiği bu yazının konularıdır.
SSL sertifikası nedir, HTTPS ile ilişkisi nedir?
SSL sertifikası, bir sitenin kimliğini doğrulayan ve tarayıcıyla sunucu arasındaki veriyi şifreleyen dijital bir belgedir. Teknik olarak SSL eski bir protokolün adıdır; bugün kullanılan güncel protokol TLS'tir, ama "SSL sertifikası" adı yaygın kullanımda kalmıştır. Sertifika kurulduğunda site adresi "http" yerine "https" ile başlar ve bu bağlantıya HTTPS denir.
Şifreleme, giriş şifreleri, form verileri ve kart bilgileri gibi hassas bilgilerin ağ üzerinde okunmasını engeller. Sertifika ayrıca ziyaretçinin gerçekten sizin sitenize bağlandığını, araya başka bir sunucunun girmediğini doğrular.
Sertifikayı bir sertifika otoritesi (CA) imzalar. Tarayıcılar güvendikleri otoritelerin listesini bilir; sertifika bu listedeki bir otorite tarafından imzalanmışsa bağlantıyı güvenli kabul eder. Kendi kendine imzalanmış (self-signed) sertifika şifreleme sağlar ama tarayıcı onu tanımadığı için uyarı verir; canlı sitelerde kullanılmaz.
HTTPS neden zorunlu sayılır?
HTTPS, tarayıcıların güvenlik uyarısından kaçınmanın, ziyaretçi verisini korumanın ve modern web özelliklerini kullanabilmenin ön koşuludur. Tarayıcılar HTTP sitelerini "güvenli değil" olarak işaretler. Konum bilgisi, service worker ve birçok yeni tarayıcı özelliği de yalnızca HTTPS üzerinde çalışır. Google da HTTPS'i sıralama sinyallerinden biri olarak kullandığını açıkladı; etkisi küçüktür, ancak güvenli bağlantı ziyaretçi güveni ve kullanılabilirlik açısından asıl farkı yaratır.
Kişisel verileri toplayan siteler için ayrıca bir yükümlülük boyutu da vardır: KVKK'nın genel çerçevesi, kişisel verinin iletiminde uygun güvenlik önlemlerinin alınmasını bekler ve şifrelenmemiş bir form bu beklentiyi karşılamaz. Bir iletişim formu bile ad, telefon ve e-posta topladığı için HTTPS arkasında durmalıdır.
HTTP'de veri düz metin olarak gider; ortak bir Wi-Fi ağında bir saldırgan formda yazılanları ya da oturum çerezini okuyabilir. HTTPS ile aynı veri şifreli aktığı için ele geçirilse bile anlamsızdır. Ek olarak HTTPS sayfasından HTTP sayfasına geçen ziyaretçinin kaynak (referrer) bilgisi iletilmeyebilir, bu da analitik verilerini bozar.
DV, OV ve EV sertifikaları arasındaki fark nedir?
Üç sertifika türü arasındaki fark şifreleme gücünde değil, sertifikayı veren kurumun sizi ne kadar doğruladığındadır. Üçü de aynı düzeyde şifreleme sağlar.
- DV (Domain Validation): yalnızca alan adının sahibi olduğunuz doğrulanır, dakikalar içinde verilir. Let's Encrypt ücretsiz DV sertifika sunar ve çoğu hosting firması bunu panelden otomatik kurar. Bloglar, tanıtım siteleri ve çoğu işletme için yeterlidir.
- OV (Organization Validation): alan adına ek olarak kuruluşun gerçekliği de doğrulanır. Sertifika ayrıntılarında kurum adı görünür. Kurumsal projeler ve ticari siteler tercih edebilir.
- EV (Extended Validation): en sıkı kuruluş doğrulamasını içerir ve süreç daha uzundur. Modern tarayıcılar artık EV için adres çubuğunda ayrı bir gösterge kullanmadığından pratik avantajı sınırlıdır.
Wildcard ve çok alan adlı sertifika ne zaman gerekir?
Birden fazla subdomain kullanıyorsanız wildcard sertifika, birden fazla farklı alan adı kullanıyorsanız çok alan adlı (SAN) sertifika uygun olur. Wildcard sertifika *.ornek.com biçiminde tüm tek seviyeli alt alan adlarını (blog.ornek.com, panel.ornek.com) kapsar; ancak a.b.ornek.com gibi iki seviyeli adresleri kapsamaz. Çok alan adlı sertifika ise tek belgede farklı alan adlarını listeler.
Let's Encrypt de wildcard sertifika verir; bunun için sahipliğin DNS TXT kaydıyla doğrulanması gerekir. Yalnızca bir alan adı ve www için sertifika yetiyorsa wildcard'a gerek yoktur.
SSL kurulumu ve HTTPS'e geçiş nasıl yapılır?
Kurulum çoğu hostingde panelden tek adımda yapılır; asıl iş sertifikadan sonra siteyi tamamen HTTPS'e taşımaktır. Aşağıdaki sırayı izleyin.
Satın alınan sertifikalarda süreç biraz farklıdır: sunucuda bir CSR (sertifika imzalama isteği) oluşturur, sertifika otoritesine gönderir, alan adı doğrulamasını (e-posta, DNS TXT kaydı ya da dosya yoluyla) tamamlar ve gelen sertifikayı panele yüklersiniz. Ücretsiz otomatik sertifikalarda bu adımları panel arka planda kendisi yürütür.
- 1. Hosting panelinden ücretsiz SSL (AutoSSL ya da Let's Encrypt) seçeneğini etkinleştirin ya da satın aldığınız sertifikayı CSR oluşturarak kurun.
- 2. Sertifikanın hem alan adı hem "www" için geçerli olduğunu tarayıcıda kontrol edin.
- 3. Tüm HTTP adreslerini 301 yönlendirmesiyle HTTPS'e taşıyın.
- 4. CMS ayarlarındaki site adresini (WordPress'te "Site Adresi" alanlarını) https olarak güncelleyin.
- 5. Site haritasını, kanonik etiketleri ve iç bağlantıları HTTPS adreslerine çevirin.
- 6. Search Console'a HTTPS sürümünü ekleyin ve taranma durumunu izleyin.
Mixed content (karışık içerik) hatası nasıl çözülür?
Mixed content, HTTPS ile açılan bir sayfanın içinde HTTP ile yüklenen görsel, betik ya da stil dosyası bulunması durumudur ve tarayıcı kilidi bozar ya da kaynağı engeller. Önce tarayıcının geliştirici araçlarındaki konsola bakın; engellenen adresler orada tek tek listelenir.
Genellikle nedeni veritabanında ya da tema dosyalarında eski "http://" adreslerinin sabit yazılı olmasıdır. WordPress'te veritabanındaki adresleri toplu güncelleyen bir arama-değiştirme aracı kullanın, tema ve eklenti dosyalarındaki sabit adresleri düzeltin. Geçici bir önlem olarak "upgrade-insecure-requests" güvenlik yönergesi tarayıcıdan HTTP isteklerini HTTPS'e çevirmesini ister, ancak kök nedeni düzeltmeniz gerekir.
Sorunu kökünden bulmak için sayfa kaynağında "http://" ifadesini aratmak da işe yarar. Üçüncü taraf bir betik hâlâ HTTP adresi sunuyorsa HTTPS karşılığını kullanın ya da o betiği kaldırın. CDN veya önbellek eklentisi kullanıyorsanız önbelleği temizlemeyi unutmayın; eski sayfa kopyaları HTTP adreslerini sunmaya devam eder.
Sertifika yenileme neden otomatik olmalı?
Sertifikaların geçerlilik süresi kısalıyor ve süresi dolan sertifika ziyaretçiye tam sayfa bir güvenlik uyarısı gösteriyor. Sertifika otoritelerinin ve tarayıcıların ortak kuruluşu CA/B Forum 2025'te azami sürenin kademeli olarak kısaltılmasını kabul etti; 2026'dan başlayarak 200 güne, 2029'a kadar da 47 güne iniyor. Let's Encrypt sertifikaları ise zaten kısa ömürlüdür ve otomatik yenilenmek üzere tasarlanmıştır.
Yenilemenin başarısız olmasının yaygın nedenleri şunlardır: DNS kaydı değiştiği için doğrulamanın yapılamaması, CAA kaydının ilgili otoriteyi engellemesi, yönlendirme kuralının doğrulama dosyasına erişimi kapatması ve hosting taşımasından sonra eski sertifikanın kalması. Yenileme günlüklerini ve bitiş tarihlerini ayda bir kontrol edin.
Bu yüzden elle yenilemeye dayanan bir düzen sürdürülebilir değildir. Otomatik yenilemeyi açın, yenileme başarısız olursa e-posta uyarısı alacak bir izleme kurun ve süresi yaklaşan sertifikaları kontrol edin. Sertifika, alan adı ve hosting yenilemelerini tek takvimde izlemek ya da bu işi Solid Medya gibi bir ajansa bırakmak, süresi dolan sertifikanın sitenizi kapatmasını önler.