SSL Sertifikası Nasıl Alınır? Ücretsiz mi Ücretli mi Olmalı?

SSL sertifikası almanın üç yolu vardır: barındırma paketinizle gelen ücretsiz sertifikayı açmak, Let's Encrypt gibi ücretsiz bir sağlayıcıdan almak ya da ücretli bir sertifika satın almak. Çoğu site için birinci veya ikinci seçenek fazlasıyla yeterlidir. Ücretli sertifika yalnızca belirli durumlarda anlamlıdır ve bu yazının asıl konusu, o durumun sizin siteniz için geçerli olup olmadığı.

SSL'in ne olduğunu ve nasıl çalıştığını SSL sertifikası nedir yazısında anlattım. Burada doğrudan seçim ve kurulum var.

Ücretsiz ve ücretli sertifika arasındaki gerçek fark

En yaygın yanılgı şu: ücretli sertifika daha güçlü şifreler. Yanlış. Şifreleme her ikisinde de aynıdır. Ücretsiz bir Let's Encrypt sertifikasıyla yüzlerce dolarlık bir sertifika arasında, verinin korunma gücü açısından hiçbir fark yoktur. Tarayıcı ikisinde de aynı kilidi gösterir.

Fark üç yerdedir: doğrulama derinliği, garanti ve destek.

Hangisini almalısınız?

Ücretsiz yeter: kurumsal tanıtım siteleri, bloglar, portföyler, randevu ve teklif formu olan hizmet siteleri, ödeme almayan her site. Bu, Türkiye'deki sitelerin büyük çoğunluğudur.

Ücretsiz yeter ama kurulum önemli: kendi altyapısında ödeme alan e-ticaret siteleri. Şifreleme aynı olduğu için sertifikanın kendisi sorun değildir; önemli olan HTTPS'in doğru zorlanması ve karışık içerik bırakılmamasıdır.

Ücretli düşünülebilir: kurum kimliğinin sertifikada görünmesinin istendiği durumlar (OV), kurumsal satın alma süreçlerinin belgeli sertifika şart koştuğu kurumlar, ve bir sağlayıcıdan sözleşmeli destek istenen yapılar.

EV sertifikası: Bir zamanlar tarayıcıda yeşil şirket adı gösterdiği için prestij sayılırdı. Tarayıcılar bu göstergeyi kaldırdı. Bugün ziyaretçi EV ile DV arasındaki farkı ekranda göremez. Pazarlama metinlerinde hâlâ "yeşil bar" diye satılıyorsa, o metin güncel değildir.

Nasıl alınır: üç yol

1. Barındırma panelinden açmak

En kolay yol budur ve çoğu kişinin ihtiyacı burada biter. cPanel, Plesk, DirectAdmin ve benzeri panellerin hemen hepsinde "SSL" ya da "Let's Encrypt" başlığı altında tek düğmeyle kurulum vardır. Alan adını seçip kurulumu başlatmanız yeterlidir; yenileme de otomatik yapılır.

Kurulumdan sonra mutlaka www'li ve www'siz sürümü birlikte seçin. Yalnızca birini seçmek, en sık görülen sertifika uyarısının sebebidir.

2. Sunucuda Let's Encrypt kurmak

Kendi sunucunuz varsa certbot gibi bir istemciyle sertifikayı doğrudan alabilirsiniz. Komut sertifikayı alır, sunucu yapılandırmasını düzenler ve yenileme görevini kurar.

Burada en çok atlanan şey şudur: yenilemenin çalıştığını test etmek. Çoğu istemcide bir "kuru çalıştırma" seçeneği vardır; kurulumdan sonra bir kez çalıştırıp hatasız bittiğini görün. Yenileme sessizce bozulursa 90 gün sonra site uyarı vermeye başlar ve bunu genelde müşteriler haber verir.

3. Ücretli sertifika satın almak

Sağlayıcıdan satın alırsınız, sunucuda bir istek dosyası (CSR) üretirsiniz, doğrulamayı tamamlarsınız ve gelen dosyaları sunucuya yüklersiniz. OV ve EV sertifikalarda sağlayıcı şirket kaydınızı da kontrol eder, bu birkaç gün sürebilir.

Yüklerken tam zinciri (fullchain) yükleyin. Yalnızca kendi sertifikanızı yükleyip ara sertifikayı atlarsanız site masaüstünde çalışır, telefonlarda uyarı verir. Teşhisi en çok vakit alan hatalardan biridir.

Kurulum bitti demek değil: üç kontrol

Sertifikayı kurmak işin yarısıdır. Taradığımız 64 işletme sitesinin SSL tarafı büyük ölçüde sağlıklıydı ama %17'si HTTP'den HTTPS'e zorunlu yönlendirme yapmıyordu. Yani sertifika vardı, ziyaretçi yine de şifresiz sürüme düşebiliyordu.

• HTTP kalıcı olarak HTTPS'e yönlensin. 301 yönlendirmesi olmadan eski bağlantılardan gelen ziyaretçi şifresiz sürüme düşer.
• Karışık içerik kalmasın. Sayfa içinde http:// ile çağrılan tek bir görsel bile tarayıcıda uyarıya sebep olur.
• HSTS başlığı eklensin. Tarayıcıya "bu siteye her zaman şifreli bağlan" der, ilk istekteki açığı da kapatır.

Sitenizin bu üçünü geçip geçmediğini ücretsiz güvenlik analiziyle ölçebilirsiniz; sertifika durumunu, yönlendirmeyi ve güvenlik başlıklarını birlikte gösterir.

Sertifika kurdum ama uyarı devam ediyor

Bu durumda sorun genelde sertifikanın kendisinde değil, kurulumun eksik kalan bir parçasındadır: süresi dolmuş sertifika, alan adıyla eşleşmeyen kapsam, eksik ara sertifika veya karışık içerik. Hata kodlarına göre sebebi ayırmayı "Bağlantınız gizli değil" hatası yazısında tek tek anlattım.

Kurulumu kendiniz yapmak istemiyorsanız

Sertifika kurulumu, www ve www'siz kapsamın birleştirilmesi, tam zincir yüklemesi, HTTPS zorunlu yönlendirme ve HSTS başlığı 9.500 TL sabit fiyatlı güvenlik paketinin içindedir, 3 iş gününde teslim edilir. Paket ayrıca eksik HTTP güvenlik başlıklarını, SPF ve DMARC kayıtlarını ve açıkta kalan dosyaları da kapatır; teslimden sonra site yeniden taranıp kapatılan maddeler gösterilir.

Güvenlik paketi: kapsam ve fiyat · WhatsApp'tan yazın · iletişim formu

Sıkça Sorulan Sorular

Ücretsiz SSL sertifikası güvenli mi?
Evet. Şifreleme gücü ücretli sertifikalarla aynıdır ve tarayıcılar ikisini de aynı şekilde kabul eder. Fark güvenlikte değil, doğrulama derinliği ve garanti tarafındadır. Ödeme almayan siteler için ücretsiz sertifika fazlasıyla yeterlidir.

Let's Encrypt sertifikası neden 90 günlük?
Kısa süre bilinçli bir güvenlik tercihidir: sertifika anahtarı ele geçse bile kullanım penceresi dardır ve otomatik yenilemeyi zorunlu kıldığı için süreç insana bağlı kalmaz. Otomatik yenileme doğru kurulduğunda 90 gün sizin için bir yük oluşturmaz.

E-ticaret sitem için ücretli sertifika şart mı?
Hayır. Ödeme çoğu kurulumda zaten bankanın veya ödeme sağlayıcısının sayfasında tamamlanır ve orada kendi sertifikaları çalışır. Sizin tarafınızda önemli olan sertifikanın fiyatı değil, HTTPS'in her sayfada zorunlu olması ve karışık içerik kalmamasıdır.

EV sertifikası alırsam sitemde şirket adım görünür mü?
Artık görünmüyor. Tarayıcılar adres çubuğundaki yeşil şirket adı göstergesini kaldırdı. Bilgi sertifikanın içinde durur ama ziyaretçi onu ekranda görmez; bu yüzden EV'nin ziyaretçi güveni üzerindeki eski etkisi bugün yoktur.

SSL kurunca sitem yavaşlar mı?
Hayır. Modern sunucularda şifrelemenin maliyeti ölçülemeyecek kadar küçüktür. Tersine, HTTPS olmadan HTTP/2 ve HTTP/3 kullanılamaz; bu protokoller sayfayı belirgin biçimde hızlandırır. Yani SSL pratikte siteyi yavaşlatmaz, hızlanmanın önünü açar.

Sertifikayı kurduktan sonra arama sıralamam düşer mi?
Doğru yapılırsa düşmez. Riskli olan kısım, HTTP sürümünden HTTPS sürümüne kalıcı (301) yönlendirme kurulmaması ve Search Console tarafında yeni sürümün tanımlanmamasıdır. Bu iki adım atlanırsa geçici sıralama dalgalanması görülebilir.