SSL Sertifikası Nedir, İşletme Siteniz İçin Neden Gereklidir

Bir web sitesine girdiğinizde adres çubuğunda https ile başlayan bir adres ve yanında kilit ya da benzeri bir simge görürsünüz. Bu, siteyle aranızdaki bağlantının şifrelendiği anlamına gelir. Bu şifrelemeyi mümkün kılan şey SSL sertifikasıdır. Teknik olarak bugün kullanılan protokolün adı TLS'tir, ama günlük dilde hâlâ SSL deniyor.

Bu yazıda SSL sertifikası nedir, ne işe yarar, neyi yapmaz ve kurulumdan sonra nelere bakmanız gerekir, sade bir dille anlatıyoruz.

SSL ne işe yarar

Ziyaretçiniz sitenize bağlandığında bilgiler ziyaretçinin cihazı ile sunucunuz arasında pek çok noktadan geçer: evdeki modem, kafedeki kablosuz ağ, internet sağlayıcısı ve aradaki diğer ağlar. Bağlantı şifrelenmemişse bu noktalardan biri araya girip gidip gelen bilgiyi okuyabilir veya değiştirebilir.

SSL sertifikası iki şey sağlar:

Şifreleme: Formlara yazılan ad, telefon, e-posta, parola gibi bilgiler yol boyunca okunamaz hale gelir.
Kimlik doğrulama: Ziyaretçi, gerçekten o alan adının sunucusuyla konuştuğundan emin olur. Araya giren biri kendini sizin siteniz gibi gösteremez.

SSL olmadığında ne olur

Bugün tarayıcılar, HTTPS kullanmayan sayfaları "güvenli değil" olarak işaretliyor. Özellikle form içeren sayfalarda bu uyarı daha belirgin oluyor. İletişim formunuzun yanında böyle bir uyarı gören müşteri, telefon numarasını yazmaktan vazgeçebilir.

Arama motorları da HTTPS'i sayfa deneyiminin bir parçası olarak dikkate alıyor. SSL tek başına sizi üst sıralara taşımaz, ama eksikliği hem güveni hem deneyimi zayıflatır.

HTTPS bağlantısı nasıl kurulur, kısaca

Teknik ayrıntıya girmeden süreci şöyle özetleyebiliriz. Ziyaretçinin tarayıcısı sitenize bağlanmak istediğinde sunucu ona sertifikasını gösterir. Tarayıcı bu sertifikanın güvendiği bir sertifika otoritesi tarafından verilip verilmediğine, süresinin geçip geçmediğine ve gerçekten bu alan adına ait olup olmadığına bakar. Her şey yolundaysa iki taraf, yalnızca kendilerinin bildiği geçici bir anahtar üzerinde anlaşır ve bundan sonraki tüm iletişim bu anahtarla şifrelenir. Bütün bunlar ziyaretçi fark etmeden, saniyenin çok küçük bir bölümünde olur.

Bu yüzden sertifikayla ilgili sorunların çoğu üç yerden çıkar: süresi geçmiş sertifika, alan adıyla eşleşmeyen sertifika ve eksik kurulmuş sertifika zinciri. Aşağıdaki tabloda bu belirtileri ayrıca topladık.

Sertifika türleri

Tür	Neyi doğrular	Kimin için
Alan adı doğrulamalı (DV)	Sertifikayı alanın o alan adını kontrol ettiğini	Tanıtım siteleri, bloglar, çoğu küçük işletme sitesi
Kurum doğrulamalı (OV)	Alan adının yanında kurumun varlığını	Kurum bilgisinin sertifikada görünmesini isteyen şirketler
Genişletilmiş doğrulama (EV)	Daha kapsamlı kurum kontrolünü	Sözleşme veya mevzuat gereği istenen durumlar

Kapsam açısından da üç seçenek vardır: yalnızca tek bir adresi kapsayan sertifika, alt alan adlarının tümünü kapsayan joker (wildcard) sertifika ve birden fazla alan adını tek sertifikada toplayan çoklu alan adı sertifikası.

Ücretsiz mi, ücretli mi

Ücretsiz sertifikalar alan adı doğrulamalıdır ve trafiği ücretli sertifikalarla aynı güçte şifreler. Tarayıcı açısından ikisi de geçerlidir. Ücretsiz sertifikaların süresi kısadır ama otomatik yenilenecek şekilde kurulur. Pek çok hosting firması bunu panelde tek tıkla sunar.

Ücretli sertifika şu durumlarda düşünülebilir:

Kurum bilgisinin sertifikada yer alması isteniyorsa
Bir iş ortağı, banka veya kurum belirli bir sertifika türünü şart koşuyorsa
Sertifika sağlayıcısından ek destek veya garanti isteniyorsa

Bir tanıtım sitesi, katalog sitesi veya ödeme işlemini bankanın kendi sayfasında yapan küçük bir e-ticaret sitesi için ücretsiz sertifika genelde yeterlidir.

Kurulumdan sonra yapılması gerekenler

Sertifikanın kurulmuş olması işin yarısıdır. Şu adımlar tamamlanmazsa ya uyarılar devam eder ya da arama sonuçlarında sorun çıkar:

HTTP'den HTTPS'e kalıcı yönlendirme: Sitenin http ile başlayan tüm adresleri, https karşılığına kalıcı (301) yönlendirmeyle gitmeli.
Tek bir ana adres: www'lu ve www'suz adreslerden biri seçilmeli, diğeri ona yönlenmeli.
Karışık içerik temizliği: Sayfada http üzerinden yüklenen görsel, betik veya stil dosyası kalmamalı. Kalırsa tarayıcı kilidi göstermez veya o dosyayı engeller.
İç linkler: Site içindeki linkler doğrudan https adreslerine işaret etmeli.
Site haritası ve Search Console: Site haritasındaki adresler https olmalı, Google Search Console'da https mülkü ekli olmalı.
Dış bağlantılar: Google İşletme Profili, sosyal medya hesapları ve rehber kayıtlarındaki site adresi https olarak güncellenmeli.

"Bağlantınız gizli değil" uyarısının sık sebepleri

Belirti	Muhtemel sebep
Tam sayfa uyarı, bir gün önce site normaldi	Sertifikanın süresi doldu, otomatik yenileme çalışmadı
www ile açılıyor, www olmadan uyarı veriyor	Sertifika adreslerden yalnızca birini kapsıyor
Kilit yok ama sayfa açılıyor	Sayfada http üzerinden yüklenen içerik var
Sadece bazı cihazlarda uyarı	Cihazın tarihi yanlış veya sertifika zinciri eksik kurulmuş
Alan adı başka bir sitenin sertifikasını gösteriyor	Sunucu yapılandırması veya DNS hatalı

E-ticaret ve ödeme sayfalarında SSL

Online ödeme alan bir sitede SSL tartışmaya açık değildir, zorunludur. Ödeme genellikle bankanın veya ödeme kuruluşunun sayfasında ya da onların sağladığı güvenli bir form üzerinden yapılır. Kart bilgileri sizin sunucunuza hiç gelmese bile, müşterinin sepet, adres ve iletişim bilgilerini girdiği sayfalar sizin sitenizdedir ve bu sayfaların da şifreli olması gerekir. Ödeme kuruluşları entegrasyon için genellikle sitenin HTTPS üzerinden çalışmasını şart koşar.

Üyelik sistemi olan sitelerde de aynı durum geçerlidir. Müşterinin giriş yaparken yazdığı parola, şifresiz bir bağlantıda düz metin olarak taşınır. Aynı parolayı başka yerlerde de kullanıyorsa zarar yalnızca sizin sitenizle sınırlı kalmaz.

Alt alan adları ve e-posta

Ana siteniz için sertifika kurmuş olmanız, alt alan adlarının da korunduğu anlamına gelmez. Yönetim paneli için ayrı bir alt alan adı, kampanya sayfası için başka bir adres veya bir demo kurulumu varsa her birinin sertifikası ayrıca kontrol edilmelidir. Webmail adresi ve e-posta sunucusunun kullandığı sertifika da aynı listede olmalı; aksi halde e-posta programları sizi her açılışta uyarı ile karşılar.

SSL'in yapmadıkları

SSL sertifikası sık yanlış anlaşılan bir konudur. Kilit simgesi "bu site güvenilir" anlamına gelmez; sadece "bu bağlantı şifreli" anlamına gelir. Sahte siteler de kolayca SSL alabilir. SSL şunlara karşı koruma sağlamaz:

Zayıf veya sızdırılmış yönetici parolaları
Güncellenmemiş eklenti ve tema açıkları
Sunucuya yerleşmiş zararlı kod
Sunucuda düzgün korunmayan veriler

Bu yüzden SSL, güvenlik listesinin başlangıcıdır, sonu değil. Diğer adımları web sitesi güvenliği yazımızda sıraladık.

Süre takibini otomatiğe bağlayın

SSL ile ilgili en sık yaşanan sorun, kurulduktan aylar sonra yenilemenin sessizce durmasıdır. Sunucu taşıması, DNS değişikliği veya bir ayar güncellemesi yenilemeyi bozabilir. Önerimiz:

Otomatik yenilemenin açık olduğunu kontrol edin.
Sertifika bitiş tarihini izleyen ve yaklaşınca uyarı gönderen bir izleme aracı kullanın.
Sunucu veya DNS değişikliğinden sonra sertifikayı ayrıca kontrol edin.
Sertifika uyarı e-postalarının gittiği adresin gerçekten okunan bir adres olduğundan emin olun. Eski bir çalışanın adresine giden uyarı kimseye ulaşmaz.

Bu kontroller düzenli sunucu bakımı işlerinin bir parçasıdır.

HTTPS'e geçerken arama sonuçlarını korumak

Yıllardır HTTP ile yayında olan bir siteyi HTTPS'e taşırken asıl risk, eski adreslerin yeni adreslere doğru yönlendirilmemesidir. Her eski sayfanın tek tek kendi HTTPS karşılığına gitmesi gerekir; hepsinin ana sayfaya yönlendirilmesi arama motorları için kafa karıştırıcıdır. Geçişten sonra birkaç hafta boyunca Search Console'daki dizin raporlarına bakın, hata veren sayfa varsa düzeltin.

Kendi sitenizi kontrol etmek için

Sitenizin adresini başına http yazarak açın, otomatik olarak https'e geçiyor mu?
www'lu ve www'suz adresleri ayrı ayrı deneyin.
Adres çubuğundaki simgeye tıklayıp sertifikanın geçerlilik tarihine bakın.
İletişim formu olan sayfada uyarı çıkıyor mu kontrol edin.
Telefonda mobil veri ile açıp aynı kontrolleri tekrarlayın.

SSL'i bakımın bir parçası yapmak

SSL kurulumu birkaç dakikalık bir iştir; asıl önemli olan yönlendirmenin doğru yapılması ve sertifikanın yıllar boyunca kesintisiz yenilenmesidir. HKASOFT'un bakım ve güvenlik hizmetinde sertifika süresi, yönlendirmeler ve karışık içerik kontrolleri rutin listenin içinde. Sitenizde güvenli değil uyarısı görüyorsanız Teklif Al sayfasından bize yazabilirsiniz.

Sık sorulan sorular

Ücretsiz SSL sertifikası yeterli mi?

Küçük işletme siteleri için çoğu durumda yeterlidir. Ücretsiz sertifikalar da trafiği aynı güçte şifreler. Ücretli sertifikalar daha çok kurum doğrulaması, garanti veya özel destek ihtiyacı olanlar için tercih edilir.

SSL sertifikası olan site güvenli midir?

SSL yalnızca ziyaretçi ile sunucu arasındaki bağlantıyı şifreler. Sitenin içeriğinin güvenilir olduğunu, sitenin hacklenmediğini veya sahibinin dürüst olduğunu garanti etmez.

SSL kurduktan sonra arama sonuçlarında düşer miyim?

HTTP adreslerden HTTPS adreslere kalıcı yönlendirme doğru kurulursa arama motorları yeni adresleri zamanla eskilerin yerine koyar. Sorun genelde yönlendirmenin eksik veya hatalı kurulmasından çıkar.

Sertifikanın süresi dolarsa ne olur?

Tarayıcılar ziyaretçiye siteye bağlantının güvenli olmadığını söyleyen tam sayfa bir uyarı gösterir. Ziyaretçilerin çoğu bu ekranda geri döner.

Yorumlar

Henüz yorum yok. Sorunuzu ya da deneyiminizi yazın; yazar olarak yanıtlıyoruz.