SSL Sertifikası Nedir? Web Sitesi Güvenliği İçin Neden Şart?

SSL sertifikası, bir web sitesiyle ziyaretçinin tarayıcısı arasındaki veri trafiğini şifreleyen ve sitenin iddia ettiği alan adına gerçekten ait olduğunu doğrulayan dijital bir belgedir. Sertifika kurulduğunda adres http:// yerine https:// ile açılır ve tarayıcıda kilit simgesi görünür. Teknik adı bugün TLS'tir; SSL adı yaygın kullanımda kaldığı için ikisi aynı şeyi anlatır.

Ne işe yaradığı üç maddede toplanır: araya giren birinin veriyi okumasını engeller (form, parola, kart bilgisi), verinin yolda değiştirilmediğini garanti eder, ve karşı tarafın kim olduğunu doğrular. Sertifikası olmayan bir siteyi tarayıcılar "güvenli değil" diye işaretler, Google ise HTTPS'i sıralama sinyali olarak kullanır.

Pratik iki soru için ayrı yazılar var: sertifikayı nasıl alacağınız ve ücretsiz mi ücretli mi olması gerektiği, ve kurulduktan sonra hâlâ "Bağlantınız gizli değil" uyarısı alıyorsanız sebebinin nasıl bulunacağı.

Tarayıcınızın adres çubuğundaki kilit simgesi, çoğu ziyaretçinin fark ettiği ama gerçekte ne anlama geldiğini bilmediği bir işarettir. SSL sertifikası, bir web sitesinin en temel güven katmanıdır, hem ziyaretçi güveni hem de Google sıralaması için doğrudan etkisi vardır. Bu yazıda SSL'in gerçekte ne yaptığını, hangi türlerin ne zaman gerekli olduğunu ve sertifika hatalarının bir işletmeye neye mal olabileceğini ele alıyoruz.

SSL Sertifikası Tam Olarak Ne Yapar?

SSL (Secure Sockets Layer, güncel teknik adıyla TLS), ziyaretçinin tarayıcısı ile sunucunuz arasındaki veri trafiğini şifreler. Sertifika olmadan bir formdan gönderilen isim, telefon, kart bilgisi gibi veriler açık metin olarak iletilir; aradaki herhangi bir nokta (özellikle halka açık Wi-Fi ağları) bu veriyi okuyabilir. Sertifika varken bu trafik şifrelenir ve okunamaz hale gelir.

Adres çubuğundaki https:// öneki ve kilit simgesi, bu şifrelemenin aktif olduğunun görsel kanıtıdır. Sertifika yoksa veya süresi dolmuşsa modern tarayıcılar (Chrome, Firefox, Edge) tam sayfa kaplayan kırmızı bir "Bağlantınız güvenli değil" uyarısı gösterir, bu uyarıyı gören ziyaretçilerin büyük çoğunluğu siteyi hemen terk eder.

SSL, Google Sıralamasını Etkiler mi?

Evet, doğrudan etkiler. Google 2014'te HTTPS'i resmi bir sıralama sinyali olarak duyurdu; o tarihten beri SSL'siz bir site, aynı içerik kalitesine sahip SSL'li bir rakibe karşı yapısal bir dezavantajla başlar. Ayrıca Chrome tarayıcısı SSL'siz siteleri "Güvenli değil" olarak etiketleyerek kullanıcı davranışını (hemen çıkma oranını) da dolaylı olarak etkiler, bu da SEO'yu ikinci kez, davranışsal sinyaller üzerinden vurur.

SSL Sertifikası Türleri

• DV (Domain Validation): yalnızca alan adının sahipliğini doğrular. En hızlı ve genelde ücretsiz kurulan türdür (Let's Encrypt gibi). Çoğu kurumsal web sitesi için yeterlidir.
• OV (Organization Validation): alan adı sahipliğinin yanında şirketin gerçek bir tüzel kişilik olduğunu da doğrular. Kurumsal güven algısı biraz daha yüksektir.
• EV (Extended Validation): en kapsamlı doğrulama sürecidir; bankacılık ve finans gibi yüksek güven gerektiren sektörlerde tercih edilir.
• Wildcard SSL: bir alan adının tüm alt alan adlarını (blog.siteniz.com, magaza.siteniz.com vb.) tek sertifikayla korur.

Çoğu kurumsal web sitesi için DV sertifika teknik olarak yeterlidir; asıl önemli olan sertifikanın var olması, güncel kalması ve doğru yapılandırılmasıdır.

Sertifika Süresi Dolarsa Ne Olur?

SSL sertifikaları süresizdiği değildir, genelde 90 gün ile 1 yıl arasında bir geçerlilik süresine sahiptir. Süre dolduğunda site tamamen çökmez ama tarayıcı ziyaretçiye "Bağlantınız gizli değil" uyarısı gösterir ve büyük çoğunluk bu noktada siteyi terk eder. Otomatik yenileme yapılandırılmamış sertifikalar, kurumsal sitelerde en sık karşılaşılan ve en kolay önlenebilir kesinti nedenlerinden biridir.

Karışık İçerik (Mixed Content) Hatası Nedir?

SSL kurulu olsa bile sayfa içinde hâlâ http:// üzerinden yüklenen bir görsel, script veya stil dosyası varsa tarayıcı bunu "karışık içerik" olarak işaretler ve kilit simgesi yarım/uyarılı görünür. Bu genelde eski bir siteden HTTPS'e geçişte, veritabanındaki eski görsel bağlantılarının güncellenmemesinden kaynaklanır. SSL kurmak tek başına yeterli değildir; sitedeki tüm kaynakların HTTPS üzerinden servis edildiğinden emin olunmalıdır.

SSL, bir web sitesinin güvenlik denkleminde sadece tek bir parçadır. Sitenizin genel güvenlik durumunu (güvenlik başlıkları, DNS, açık portlar dahil) daha kapsamlı değerlendirmek isterseniz Site Güvenliği Sorgulama: Web Siteniz Gerçekten Güvenli mi? yazımıza göz atabilirsiniz.

Sıkça Sorulan Sorular

SSL sertifikası ücretsiz mi olur, ücretli mi?

Let's Encrypt gibi sağlayıcılar ücretsiz DV sertifika sunar ve çoğu kurumsal site için teknik olarak yeterlidir. OV/EV gibi daha kapsamlı doğrulama gerektiren sertifikalar ücretlidir.

SSL sertifikası kurmak siteyi yavaşlatır mı?

Modern sunucularda şifreleme/çözme işlemi milisaniyeler sürer, fark edilir bir yavaşlama yaratmaz. Aksine, HTTP/2 protokolü (daha hızlı sayfa yüklemesi sağlayan) yalnızca HTTPS üzerinden çalışır, yani SSL dolaylı olarak hızı artırabilir.

www ve www'siz versiyon için ayrı SSL gerekir mi?

Hayır, doğru yapılandırılmış bir sertifika (veya wildcard sertifika) her iki versiyonu da kapsayabilir. Önemli olan hangi versiyonun "canonical" (asıl) kabul edildiğinin sunucu tarafında net şekilde tanımlanmasıdır.

SSL sertifikası hacklenmeyi tamamen önler mi?

Hayır. SSL yalnızca veri iletimini şifreler; eklenti açıkları, zayıf şifreler veya güncel olmayan yazılım gibi diğer güvenlik risklerine karşı koruma sağlamaz. Kapsamlı bir güvenlik yaklaşımının sadece bir parçasıdır.

Sertifikamın süresi dolduğunu nasıl anlarım?

Çoğu hosting/sunucu sağlayıcısı otomatik yenileme sunar (Let's Encrypt bunu varsayılan yapar). Otomatik yenileme yoksa takvime hatırlatıcı koymak veya periyodik olarak ücretsiz bir güvenlik tarama aracıyla kontrol etmek gerekir.

Sertifika dışındaki güvenlik eksiklerini de kapatmak isterseniz web sitesi güvenlik paketi bunların tamamını kapsıyor.

SSL tamam, peki sitenizin geri kalanı?

SSL sertifikası güvenliğin yalnızca bir katmanı. Taradığım 64 işletme sitesinin %92'sinde en az bir HTTP güvenlik başlığı eksikti, %42'sinde DMARC kaydı yoktu, %17'si HTTPS'e zorunlu yönlendirmiyordu. Bu maddelerin hepsini kapatan sabit fiyatlı bir paket var: 9.500 TL, 3 iş günü. Teslimden sonra site yeniden taranır, kapatılan maddeler gösterilir.

Web sitesi güvenlik paketi: ne yapılıyor, ne kadar · WhatsApp'tan yazın · iletişim formu

SSL konusunda diğer rehberler

SSL sertifikası nasıl alınır, ücretsiz mi ücretli mi olmalı? Üç kurulum yolu, ücretsiz ile ücretli arasındaki gerçek fark ve kurulumdan sonra atlanmaması gereken üç kontrol.

"Bağlantınız gizli değil" hatası nedir, nasıl çözülür? Tarayıcının verdiği hata koduna göre sebebi bulma ve site sahibi için adım adım çözüm.