"Bağlantınız Gizli Değil" Hatası Nedir, Nasıl Çözülür?

"Bağlantınız gizli değil" uyarısı, tarayıcının siteyle kurduğu şifreli bağlantıyı doğrulayamadığı anlamına gelir. Neredeyse her zaman sitenin SSL sertifikasıyla ilgili bir sorun vardır: sertifika süresi dolmuştur, alan adıyla eşleşmiyordur, eksik kurulmuştur ya da bilgisayarın saati yanlıştır. Site hacklenmiş demek değildir, ama ziyaretçinin gözünde aynı kapıya çıkar; o ekranı gören insanların büyük çoğunluğu geri döner.

Aşağıda önce hatayı hangi tarafın çözeceğini ayırıyoruz, sonra site sahibi için sebep sebep çözümü veriyoruz.

Önce şunu ayırın: sorun sizde mi, sitede mi?

Aynı uyarı iki farklı sebepten çıkar ve çözümleri taban tabana zıttır.

Tek bir sitede görüyorsanız sorun büyük ihtimalle o sitenin sertifikasındadır. Site sizinse aşağıdaki adımlar size.

Girdiğiniz her sitede görüyorsanız sorun sizin cihazınızdadır. En sık sebebi bilgisayarın tarih ve saatinin yanlış olmasıdır: sertifikaların başlangıç ve bitiş tarihi vardır, saat yanlışsa tarayıcı geçerli sertifikayı bile süresi dolmuş sanır. İkinci sık sebep, halka açık ağlarda araya giren bir güvenlik duvarı ya da antivirüs yazılımının bağlantıyı kendi sertifikasıyla değiştirmesidir.

Tarayıcının verdiği kod ne anlatıyor

Chrome uyarının altında teknik bir kod gösterir. O kod, sorunun hangi sebepten çıktığını doğrudan söyler.

Site sahibiyseniz: sebebe göre çözüm

1. Sertifikanın süresi dolmuş

En sık sebep budur ve en kolay önlenebilenidir. Ücretsiz sertifikalar (Let's Encrypt) 90 gün, ücretli olanlar genelde bir yıl geçerlidir. Otomatik yenileme kurulmamışsa ya da yenileme görevi sessizce bozulmuşsa site bir sabah uyarıyla açılır.

Çözüm sertifikayı yenilemek, kalıcı çözüm ise otomatik yenilemeyi kurup çalıştığını test etmektir. Yenilemenin kurulu olması yetmez; yılda bir kez bile olsa çalıştığını görmek gerekir. Bir de bitiş tarihinden önce uyaran bir izleme eklemek, bu hatayı tamamen ortadan kaldırır.

2. Sertifika alan adıyla eşleşmiyor

Sertifika siteniz.com için alınmış ama ziyaretçi www.siteniz.com adresine giriyorsa tarayıcı eşleşmediğini söyler. Alt alan adlarında da aynı durum olur: panel.siteniz.com için ayrı bir kapsam gerekir.

Çözüm, sertifikayı her iki sürümü de kapsayacak şekilde almak ve birini diğerine kalıcı olarak yönlendirmektir. İki sürümün ikisini birden açık bırakmak ayrıca arama motoru tarafında da içerik kopyası sorunu yaratır.

3. Ara sertifika eksik

Bu, teşhisi en çok şaşırtan sebeptir: site kendi bilgisayarınızda sorunsuz açılır ama bazı cihazlarda ve özellikle telefonlarda uyarı verir. Sebebi, sertifika zincirindeki ara halkanın sunucuya yüklenmemiş olmasıdır. Masaüstü tarayıcılar eksik halkayı çoğu zaman kendileri tamamlar, mobil tarayıcılar tamamlamaz.

Çözüm, sertifika sağlayıcısının verdiği tam zinciri (fullchain) sunucuya yüklemektir.

4. Karışık içerik

Sertifika geçerlidir ama sayfa içinde http:// ile çağrılan görsel, yazı tipi veya betik vardır. Tarayıcı bu durumda ya uyarı gösterir ya da o dosyaları hiç yüklemez; sayfa bozuk görünür. Bu konuyu SSL sertifikası rehberinde ayrıntılı anlattım.

5. HTTP sürümü hâlâ açık

Sertifika kuruludur ama site hem http:// hem https:// üzerinden açılmaya devam eder. Ziyaretçi eski bir bağlantıdan gelirse şifresiz sürüme düşer. Taradığımız 64 işletme sitesinin %17'sinde bu eksikti.

Çözüm, sunucu tarafında HTTP isteklerini kalıcı olarak (301) HTTPS'e yönlendirmek ve HSTS başlığını eklemektir.

Ziyaretçiyseniz ve her sitede görüyorsanız

• Tarih ve saati kontrol edin. Otomatik saat ayarını açın. Bu tek adım, her sitede çıkan uyarıların büyük kısmını çözer.
• Gizli sekmede deneyin. Sorun kaybolursa bir tarayıcı eklentisi araya giriyor demektir.
• Başka bir ağ deneyin. Telefonun mobil verisiyle açılıyorsa sorun bağlı olduğunuz ağdadır.
• Antivirüs ve güvenlik duvarının HTTPS taramasını geçici kapatın. Bu yazılımlar bağlantıyı açıp kendi sertifikalarıyla yeniden imzalar; bazen bu işlem bozulur.

Uyarıyı görmezden gelip "Yine de devam et" demeyin. Özellikle giriş yapacağınız ya da ödeme yapacağınız bir sayfada bu uyarı, araya birinin girmiş olabileceği anlamına gelir.

Bu hata sıralamanızı etkiler mi?

Doğrudan bir ceza yoktur ama etkisi dolaylı ve serttir. Googlebot sertifikası geçersiz bir siteyi tarayamaz; tarayamadığı sayfayı da güncelleyemez. Uyarıyı gören ziyaretçiler anında geri döner, bu da davranışsal sinyalleri bozar. Uzun süre çözülmezse sayfalar dizinden düşmeye başlar.

Bir daha yaşamamak için

• Otomatik yenilemeyi kurun ve en az bir kez çalıştığını doğrulayın.
• Sertifika bitiş tarihini izleyen bir uyarı kurun; dolmadan haftalar önce haber versin.
• www ve www'siz sürümün ikisini de kapsayın, birini diğerine 301 ile yönlendirin.
• Tam zinciri yükleyin ve sonucu bir mobil cihazda test edin.
• HTTP'yi HTTPS'e zorunlu yönlendirin, HSTS başlığını ekleyin.

Sitenizde bu uyarıyı alıyorsanız

Sertifika yenileme, zincir tamamlama, HTTPS zorunlu yönlendirme ve HSTS kurulumu 9.500 TL sabit fiyatlı güvenlik paketinin içindedir, 3 iş gününde teslim edilir. Paket ayrıca eksik HTTP güvenlik başlıklarını, SPF ve DMARC kayıtlarını, sürüm bilgisi sızıntısını ve açıkta kalan dosyaları da kapatır.

Önce kendiniz görmek isterseniz ücretsiz güvenlik analizi sitenizin sertifika durumunu ve HTTPS yönlendirmesini ölçüp gösterir.

Güvenlik paketi: ne yapılıyor, ne kadar · WhatsApp'tan yazın · iletişim formu

Sıkça Sorulan Sorular

"Bağlantınız gizli değil" uyarısını görmezden gelmek tehlikeli mi?
Tanımadığınız bir sitede evet. Uyarı, bağlantının şifrelenemediği ya da doğrulanamadığı anlamına gelir; o sayfada girdiğiniz parola veya kart bilgisi üçüncü kişiler tarafından okunabilir. Kendi test sunucunuz gibi kaynağını bildiğiniz bir adreste risk düşüktür.

Sertifikam geçerli ama uyarı yalnızca telefonlarda çıkıyor, neden?
Neredeyse her zaman eksik ara sertifika yüzündendir. Masaüstü tarayıcılar zincirdeki eksik halkayı kendileri tamamlayabilir, mobil tarayıcılar tamamlamaz. Sağlayıcınızın verdiği tam zinciri (fullchain) sunucuya yükleyin.

Ücretsiz SSL sertifikası bu hataya daha çok sebep olur mu?
Sertifikanın ücretsiz olması güvenliği zayıflatmaz; şifreleme aynıdır. Fark geçerlilik süresindedir: ücretsiz sertifikalar 90 günlüktür, bu yüzden otomatik yenileme bozulduğunda sorun daha sık ortaya çıkar. Kurulum doğruysa fark kalmaz.

Siteme girildiğinde uyarı çıkıyor, hacklendim mi?
Çok büyük ihtimalle hayır. Bu uyarının birinci sebebi süresi dolmuş veya yanlış kurulmuş sertifikadır. Yine de emin olmak için sitenizi taratmak iyi olur; tarama hem sertifika durumunu hem diğer açıkları gösterir.

Hata ne kadar sürede düzelir?
Sertifika yenileme ya da zincir tamamlama işlemi genelde aynı gün biter. Yenilenen sertifikanın tüm ziyaretçilere ulaşması birkaç dakika sürebilir; tarayıcı önbelleği yüzünden kendi bilgisayarınızda biraz daha uzun görünebilir.

Alan adımın www'li ve www'siz hali için ayrı sertifika mı almalıyım?
Ayrı almanız gerekmez, tek sertifika ikisini birden kapsayabilir. Önemli olan sertifikayı iki adı da içerecek şekilde almak ve birini diğerine 301 ile kalıcı yönlendirmektir.