SSL Sertifikası Nedir? HTTPS, Güvenlik ve SEO Rehberi

SSL sertifikası, bir web sitesinin HTTPS üzerinden şifreli bağlantı kurabilmesi için kullanılan dijital sertifikadır. Sertifika, tarayıcının bağlandığı alan adını doğrulamasına yardımcı olur; bağlantının şifrelenmesi ise TLS protokolüyle gerçekleşir. Günlük kullanımda “SSL” denilse de modern web bağlantılarında kullanılan teknoloji TLS’dir.

İşletmeniz için bunun karşılığı oldukça somuttur: Ziyaretçinin tarayıcısıyla siteniz arasında taşınan bilgilerin korunması. İletişim formu, yönetim paneli ve sipariş ekranı gibi alanlarda bu bağlantı önemlidir. Ancak HTTPS kullanılması, sitenin her bakımdan güvenli olduğunu veya işletmenin güvenilirliğinin onaylandığını göstermez.

Bu rehberde SSL, TLS ve HTTPS arasındaki farkı; sertifika seçerken nelere bakmanız gerektiğini ve kurulum sonrasında hangi kontrollerin yapılacağını bulabilirsiniz.

SSL, TLS ve HTTPS arasındaki fark nedir?

Bu üç kavram ilişkili olsa da aynı şeyi anlatmaz:

TLS, aktarılan verinin üçüncü kişilerce okunmasına ve fark edilmeden değiştirilmesine karşı koruma sağlar. Sertifika da sunucunun ilgili alan adı için doğrulanmasında kullanılır. Dolayısıyla sertifika ile bağlantının kendisini birbirinden ayırmak gerekir. MDN TLS açıklaması.

Hosting panelinizde “SSL etkinleştir” yazması, eski SSL protokolünü kullanmanız gerektiği anlamına gelmez. Bu, sektörde yerleşmiş bir ürün adlandırmasıdır. İşletme sahibi olarak asıl kontrol etmeniz gereken; doğru alan adının kapsanması, bağlantının sorunsuz çalışması ve yenilemenin takip edilmesidir.

SSL sertifikası nasıl çalışır?

Tarayıcı bir HTTPS adresine bağlanırken sunucuyla güvenli bağlantının koşullarını belirler. Sertifikanın alan adıyla uyumu, geçerliliği ve güven zinciri kontrol edilir. Uygun koşullarda taraflar iletişim için kullanılacak anahtarları oluşturur; ardından veri trafiği korunur.

Burada sık yapılan hata, güncel TLS bağlantılarını “tarayıcı oturum anahtarını sunucunun açık anahtarıyla şifreleyip gönderir” şeklinde anlatmaktır. TLS 1.3’te eski RSA anahtar taşıma yöntemi kullanılmaz. Sertifikalı tipik bağlantılarda anahtar anlaşması ve kimlik doğrulama farklı görevler üstlenir; veri trafiğinde simetrik şifreleme kullanılır. IETF TLS 1.3 standardı.

Bu teknik ayrıntıları kurulum sırasında sizin yönetmeniz gerekmeyebilir. Hizmeti aldığınız sağlayıcının doğru yapılandırmayı yapması ve sertifikayı yenilemesi gerekir. Proje tesliminde yalnızca “SSL kuruldu” bilgisini almak yerine, bu işlemleri kimin takip edeceğini de öğrenin.

SSL sertifikası ne işe yarar, neyi garanti etmez?

HTTPS, verinin bağlantı sırasında korunmasına hizmet eder. Ancak sunucuda saklanan veriyi kendiliğinden şifrelemez; zararlı eklentileri temizlemez ve çalınmış bir yönetici hesabını geri almaz. Korunan bağlantının iki ucundaki sistemlerin de ayrıca güvenli olması gerekir. MDN’nin TLS kapsamı.

Bu nedenle web sitesi güvenliğini yalnızca sertifikaya bağlamayın. Yazılım güncellemeleri, erişim yetkileri ve yedekleme ayrıca yönetilmelidir. Bu katmanları WordPress güvenliği rehberinde daha ayrıntılı inceleyebilirsiniz.

Müşteri deneyimi açısından da bir ayrım vardır: Sorunsuz HTTPS bağlantısı, ziyaretçinin hizmetinizi anlayacağı veya formu dolduracağı anlamına gelmez. Açık hizmet açıklamaları, çalışan formlar ve ulaşılabilir iletişim bilgileri ayrı ihtiyaçlardır. Sertifika, bunların yerine geçen bir güven rozeti gibi kullanılmamalıdır.

Ücretsiz SSL yeterli mi, ücretli sertifika gerekli mi?

Ücretsiz olması, sertifikanın otomatik olarak yetersiz olduğu anlamına gelmez. Let’s Encrypt, ücretsiz ve otomatikleştirilebilir sertifika sunan bir sertifika otoritesidir. Pek çok hosting sağlayıcısı bu sertifikaları kullanıcı adına alıp yönetebilir. Sağlayıcınızın panelinde bu özellik bulunup bulunmadığını kontrol edin. Let’s Encrypt başlangıç rehberi.

Karar verirken sertifikanın fiyatından önce şu ihtiyaçları netleştirin:

• Hangi alan adları ve alt alan adları kapsanacak?
• Kurum kimliğinin doğrulanmasına yönelik özel bir gereksinim var mı?
• Kurulum ve yenileme desteği kim tarafından sağlanacak?
• Bir hata oluştuğunda hangi destek kanalına ulaşılacak?
• Kullanılan platform veya entegrasyon özel koşullar istiyor mu?

Sertifika bedeliyle kurulum ve bakım hizmetini ayrı değerlendirin. Ücretsiz sertifika kullanılan bir projede de yapılandırma, hata giderme ve takip için hizmet bedeli olabilir. Tersine, ücretli sertifika satın almak bütün bu işlemlerin otomatik olarak yapılacağını göstermez.

Temsili bir örnek: Tek alan adıyla çalışan bir danışmanlık sitesi için otomatik yönetilen bir DV sertifikası uygun olabilir. Farklı alan adları ve kurumsal tedarik koşulları bulunan başka bir projede ise farklı kapsam gerekebilir. Seçim, yalnızca işletmenin büyüklüğüne göre yapılmamalıdır.

SSL sertifikası türleri: DV, OV ve EV

Bu sınıflandırma, sertifika verilirken yapılan doğrulamanın kapsamıyla ilgilidir:

Let’s Encrypt yalnızca DV sertifikaları sunar. DV, OV ve EV ayrımı; sitenin yazılımındaki bütün açıkların incelendiği anlamına gelmez. Let’s Encrypt sertifika terimleri sözlüğü.

Alan adı kapsamı ise başka bir seçimdir. Tek sertifikada birden fazla adı kapsayan SAN alanları kullanılabilir. Wildcard sertifikası da uygun alt alan adlarını kapsamak için bir seçenektir; alt alan adınız varsa mutlaka wildcard almak zorunda değilsiniz. Let’s Encrypt sık sorulan sorular.

Örneğin *.example.com, blog.example.com gibi bir seviyedeki alt alan adlarını kapsar; tek başına example.com veya a.blog.example.com için yeterli değildir. Ana alan adının ve ihtiyaç duyulan diğer adların ayrıca kapsandığını kontrol edin. Wildcard tanımı.

SSL kurulumu nasıl planlanmalı?

Kurulum yöntemi hosting altyapısına göre değişir. Yönetilen bir hizmette panel üzerinden etkinleştirme yeterli olabilir; kendi sunucunuzda ise sertifika yönetim yazılımı veya otomasyon kullanabilirsiniz. Her VPS kurulumunda sertifika dosyalarını elle yönetmek zorunda değilsiniz. Let’s Encrypt, sertifika alımı için ACME uyumlu istemcilerden yararlanır. Let’s Encrypt kurulum seçenekleri.

Uygulama için şu sırayla ilerleyebilirsiniz:

1. Kullanılan alan adlarını ve varsa alt alan adlarını listeleyin.
2. Sertifikanın alınacağı ve yenileneceği sistemi belirleyin.
3. Mevcut yapılandırmayı ve site verisini yedekleyin.
4. HTTPS bağlantısını yönlendirmeleri etkinleştirmeden önce test edin.
5. Site adreslerini, kaynakları ve yönlendirmeleri uyumlu hale getirin.
6. Formları ve diğer kritik işlemleri ziyaretçi gibi deneyin.

Bu liste bir teslim kontrolü olarak kullanılabilir. Sunucuya özel yapılandırma dosyalarının yerine geçmez. Başka bir projeden alınan yönlendirme kuralını doğrudan uygulamak yerine, kullanılan sunucu ve varsa aradaki servislerle uyumunu kontrol edin.

CDN veya ters vekil kullanılıyorsa ziyaretçi–CDN ve CDN–asıl sunucu bağlantılarını ayrı değerlendirin. Örneğin Cloudflare’ın Full (strict) modu, asıl sunucuya giden bağlantıda da sertifika doğrulaması uygular. Yalnızca dışarıdan HTTPS görünmesine bakmak yeterli değildir. Cloudflare Full (strict) dokümanı.

WordPress’te HTTPS geçişi ve karma içerik

HTTPS üzerinden açılan bir sayfanın görsel, stil veya JavaScript dosyalarını HTTP ile çağırması “karma içerik” olarak adlandırılır. Tarayıcı, içerik türüne göre bu istekleri engelleyebilir veya HTTPS’e yükseltebilir. Bu yüzden yalnızca ana sayfanın açılmasını kontrol etmek yeterli olmaz. MDN karma içerik rehberi.

WordPress sitesinde eski adresler içeriklerde, tema ayarlarında veya sayfa oluşturucunun kayıtlarında bulunabilir. Önce tarayıcı geliştirici araçlarıyla hangi kaynağın sorun çıkardığını belirleyin. Kaynağın HTTPS sürümü gerçekten çalışıyorsa ilgili adresi düzeltin; dış serviste HTTPS desteği yoksa uygun alternatifini değerlendirin.

Veritabanında bütün adresleri gelişigüzel değiştirmeyin. Yedek alarak, WordPress’in veri yapısını koruyan uygun bir yöntemle ve mümkünse önce test ortamında çalışın. Sonrasında önbelleği temizleyip sayfaları yeniden deneyin.

Örneğin ana sayfa düzgün görünürken teklif formundaki bir betik yüklenmeyebilir. Görsel kontrolün yanında deneme formu gönderin ve bildirimin ulaştığını doğrulayın. E-ticaret sitelerinde sepet, ödeme dönüşü ve ilgili entegrasyonları da test planına ekleyin.

SSL sertifikasının SEO’ya etkisi nedir?

Google, HTTPS’i sıralama sinyali olarak kullandığını 2014’te duyurmuştur. Ancak bu, HTTPS kullanan her sayfanın HTTP kullanan rakibinden mutlaka üstte olacağı anlamına gelmez. SSL satın almak, içerik kalitesinin ve diğer SEO çalışmalarının yerine geçmez. Google’ın HTTPS duyurusu.

HTTP’den HTTPS’e geçerken eski adresleri karşılık gelen yeni adreslere kalıcı olarak yönlendirin. Google, uygun durumlarda 301 veya 308 yönlendirmelerini önerir. İç bağlantıları, canonical adreslerini ve site haritasını HTTPS ile uyumlu hale getirin. Yalnızca protokol geçişi için Search Console’un Adres Değişikliği aracını kullanmanız gerekmez. Google site taşıma rehberi.

İşlem sonrasında önemli sayfaların indekslenmesini ve hata bildirimlerini izleyin. Bu kontrolleri daha geniş bir çerçevede ele almak için teknik SEO nedir? yazısını okuyabilirsiniz.

SSL’in hızla ilişkisini de abartmamak gerekir. Sertifika tek başına büyük görselleri küçültmez, sunucu yanıtını iyileştirmez veya Core Web Vitals değerlerini garanti etmez. Performans ihtiyacını ayrıca ölçmek için site hızı rehberinden yararlanabilirsiniz.

SSL hatası alıyorsanız neyi kontrol etmelisiniz?

“Bağlantınız gizli değil” benzeri uyarılar farklı nedenlerle ortaya çıkabilir. Sertifikanın süresinin dolması, alan adının uyuşmaması veya güven zincirinin kurulamaması bunlardan bazılarıdır. Cihazın tarih ve saatinin yanlış olması da doğrulama sorununa yol açabilir. Hata kodunu kaydedin; ziyaretçiden uyarıyı geçmesini istemek yerine nedeni giderin. Mozilla sertifika uyarıları rehberi.

Destek talebinize yalnızca “SSL bozuk” yazmak yerine, hatalı adresi, hata kodunu ve sorunun hangi cihazlarda görüldüğünü ekleyin. Hosting veya alan adı değişikliği yapıldıysa bunu da belirtin. Bu bilgiler, problemin kapsamını daraltmaya yardımcı olur.

Özellikle www kullanılan ve kullanılmayan adresleri ayrı deneyin. Birinin çalışması diğerinin doğru yapılandırıldığını kanıtlamaz. Ayrıca “siteye ulaşılamıyor” mesajını otomatik olarak sertifikaya bağlamayın; DNS veya sunucu erişimi gibi başka nedenler de araştırılmalıdır.

Kurulum sonrası SSL kontrol listesi

Teslim sırasında bu tabloyu doldurmak, kurulumun yalnızca bir panel anahtarını açmaktan ibaret kalmasını önler. Kontrol tarihini ve yapılan denemeleri kaydedin. Sonraki hosting değişikliğinde aynı listeyi yeniden kullanabilirsiniz.

Sık sorulan sorular

Sitenizin HTTPS bağlantısını doğru yapılandırın

İyi bir SSL kurulumu; doğru kapsam, sorunsuz bağlantı, çalışan sayfalar ve takip edilen yenileme sürecini bir araya getirir. Sertifikayı satın almak veya panelde etkinleştirmek bu işin yalnızca bir bölümüdür.

Mevcut sitenizde bağlantı uyarıları veya geçiş sorunları varsa web sitesi geliştirme ve destek hizmetimi inceleyebilirsiniz. Arama görünürlüğü ve teknik yapı için SEO ve performans optimizasyonu hizmetim hakkında da bilgi alabilirsiniz.

Site adresinizi ve gördüğünüz hata mesajını teklif formundan paylaşın; ihtiyacı ve sonraki adımı birlikte netleştirelim.