Tarayıcının adres çubuğunda sitenizin yanında “Güvenli değil” yazısını görmek hem sizin hem de ziyaretçileriniz için tedirgin edicidir. Safranbolu’da bir butik otelin rezervasyon formunda ya da bir kliniğin randevu sayfasında görülen bu uyarı, ziyaretçinin bilgi bırakmadan sayfadan ayrılması için yeterli bir sebep olabilir.
Bu yazıda SSL sertifikasının ne olduğunu sade bir dille anlatıyoruz. İşletmenizin hangi sertifikaya ihtiyaç duyduğunu, HTTPS’e geçişin adımlarını ve geçiş sırasında ya da sonrasında en sık yapılan hataları da tek tek ele alıyoruz.
SSL ve HTTPS nedir?
Bir siteye girdiğinizde tarayıcınız ile sitenin bulunduğu sunucu arasında sürekli veri gidip gelir: açtığınız sayfalar, doldurduğunuz formlar, girdiğiniz şifreler. HTTPS, bu trafiğin şifrelenerek taşınmasını sağlar. Böylece aradaki biri, örneğin bir kafenin ya da otelin ortak kablosuz ağına bağlı başka bir kişi, gönderdiğiniz bilgileri okuyamaz ya da değiştiremez.
Bu şifrelemeyi mümkün kılan şey, sitenin sunucusuna kurulan sertifikadır. Bugün kullanılan teknolojinin adı aslında TLS’dir; ancak eski adı olan SSL o kadar yerleşmiştir ki hem sektörde hem de günlük dilde hâlâ “SSL sertifikası” denir. Bu yazıda biz de bu yaygın adı kullanıyoruz.
Sertifikası doğru kurulmuş bir sitenin adresi https:// ile başlar. Sertifikası olmayan sitelerin adresi ise http:// ile başlar ve tarayıcılar bu sitelerde uyarı gösterir.
Tarayıcılar neden “Güvenli değil” uyarısı veriyor?
Google Chrome, 2018’den bu yana HTTPS kullanmayan siteleri adres çubuğunda “Güvenli değil” olarak işaretliyor. Diğer yaygın tarayıcılar da şifrelenmemiş bağlantılar için benzer uyarılar gösteriyor. Uyarının mesajı basit: Bu sayfaya gireceğiniz bilgiler şifrelenmeden gönderilecek.
Daha ciddi bir durum ise sertifikanın süresinin dolmasıdır. Bu durumda ziyaretçi küçük bir uyarıyla değil, tam sayfa kırmızı bir uyarı ekranıyla karşılaşır; Chrome’da bu ekranda “Bağlantınız gizli değil” yazar. Bu ekranı gören bir ziyaretçiden siteye devam etmesini beklemek gerçekçi değildir.
Arama tarafında da HTTPS’in bir karşılığı var: Google, 2014’te HTTPS’i hafif bir sıralama sinyali olarak kullanacağını duyurdu. Etkisi küçük olsa da bugün HTTPS, her sitenin sahip olması beklenen temel bir standarttır.
Hangi sertifika türü size uygun?
Sertifikalar, sertifikayı veren kuruluşun başvuru sırasında neyi doğruladığına göre üç türe ayrılır:
| Sertifika türü | Neyi doğrular? | Kimler için uygun? |
|---|---|---|
| DV (alan adı doğrulamalı) | Başvuranın alan adını kontrol ettiğini | Kurumsal tanıtım siteleri, bloglar, çoğu küçük işletme sitesi |
| OV (kurum doğrulamalı) | Alan adına ek olarak kurumun gerçekten var olduğunu ve temel kayıt bilgilerini | Kurum bilgilerinin sertifika ayrıntılarında yer almasını isteyen şirketler |
| EV (genişletilmiş doğrulama) | Kurumla ilgili en kapsamlı doğrulamayı | Özel gereksinimleri olan bankalar ve büyük kurumlar |
Burada önemli bir nokta var: Şifreleme gücü açısından bu türler arasında fark yoktur; fark, doğrulamanın kapsamındadır. Günümüzde tarayıcılar da adres çubuğunda bu türler arasında belirgin bir görsel ayrım göstermiyor. Bu yüzden kurumsal tanıtım siteleri, randevu ve rezervasyon siteleri ve çoğu küçük işletme sitesi için DV sertifika yeterlidir.
Let’s Encrypt gibi kuruluşların verdiği ücretsiz DV sertifikalar bugün çok yaygın kullanılıyor ve doğru kurulduğunda otomatik olarak yenilenebiliyor. Pek çok hosting paneli bu sertifikaları birkaç tıkla kurma imkânı sunar.
Sertifika süreleri kısalıyor: otomatik yenileme artık şart
Her sertifikanın bir geçerlilik süresi vardır ve bu süre giderek kısalıyor. Tarayıcı üreticileri ile sertifika veren kuruluşların bir araya geldiği CA/Browser Forum, 2025’te azami geçerlilik süresinin kademeli olarak düşürülmesine karar verdi:
- Mart 2026’dan itibaren en fazla 200 gün
- Mart 2027’den itibaren en fazla 100 gün
- Mart 2029’dan itibaren en fazla 47 gün
Yani bir zamanlar yılda bir kez yenilenen sertifikalar artık yılda birkaç kez yenilenmek zorunda. Bunu elle takip etmek hem zahmetli hem de unutulmaya çok açık. Sitenizin sertifikasının otomatik yenilendiğinden ve bir sorun çıktığında birinin haberdar olacağından emin olun. Süresi dolmuş bir sertifika, bir gecede sitenizin önüne kırmızı bir uyarı ekranı koyar.
HTTP’den HTTPS’e geçiş adımları
Sitenizde henüz HTTPS yoksa ya da geçiş yarım kaldıysa şu sırayı izleyebilirsiniz:
- Sertifikayı kurun: Sertifikanın hem www ile hem de www olmadan açılan adresi, kullanıyorsanız alt alan adlarını da kapsadığından emin olun.
- 301 yönlendirmesi ekleyin: Bütün http adreslerini kalıcı (301) yönlendirmeyle aynı sayfanın https karşılığına yönlendirin. Her şeyi ana sayfaya göndermek yerine her sayfanın kendi karşılığına gitmesi gerekir.
- Site ayarlarını güncelleyin: İçerik yönetim sisteminizdeki site adresini https olarak değiştirin.
- Karışık içeriği temizleyin: Sayfalardaki görsel, yazı tipi ve kod dosyalarının http ile değil, https ile çağrıldığından emin olun.
- Site haritasını ve canonical etiketlerini düzeltin: Site haritasındaki ve canonical etiketlerindeki (bir sayfanın asıl adresini arama motorlarına bildiren etiket) adresler https olmalıdır.
- Search Console’u kontrol edin: Google Search Console’da (Google’ın site sahiplerine sunduğu ücretsiz panel) alan adı mülkü olarak eklenmiş bir site hem http hem de https adreslerini kapsar. Güncel site haritasını gönderin ve sonraki haftalarda dizine ekleme raporlarını izleyin.
- Dış bağlantıları güncelleyin: Google İşletme Profili’nizdeki, sosyal medya hesaplarınızdaki ve reklamlarınızdaki site adreslerini https olarak değiştirin.
- Test edin: Siteyi farklı tarayıcılarda ve telefonda açın, formları gönderin, ödeme ya da rezervasyon adımlarını deneyin.
HTTPS’e geçişi bir site yenileme ya da taşıma ile birlikte yapıyorsanız, bu adımları site yenileme SEO kontrol listesi yazımızdaki diğer kontrollerle birlikte ele almanızı öneririz.
En sık karşılaşılan sorunlar
- Süresi dolmuş sertifika: Otomatik yenileme çalışmamış ya da sertifika elle yenilenmeyi bekliyordur. Sonuç, tam sayfa uyarı ekranıdır.
- Karışık içerik (mixed content): Sayfa https ile açılır, ama içindeki bazı görseller ya da kod dosyaları hâlâ http ile çağrılır. Tarayıcı bu dosyaları engelleyebilir ya da sayfayı tam güvenli saymayabilir; görseller eksik görünebilir, bazı özellikler çalışmayabilir.
- www ya da alt alan adını kapsamayan sertifika: Site ornekfirma.com adresinde sorunsuz açılırken www ile yazıldığında uyarı verir. Sertifikanın kullandığınız bütün adresleri kapsaması gerekir.
- Eksik yönlendirme: Site hem http hem de https ile açılıyorsa, ziyaretçiler ve arama motorları aynı sayfanın iki farklı sürümünü görür. Bu durum hem uyarılara hem de arama sonuçlarında karışıklığa yol açabilir.
- Yönlendirme döngüsü: Sayfa sürekli kendi kendine yönlenir ve tarayıcı çok fazla yönlendirme olduğunu söyleyen bir hata verir. Genellikle sunucudaki, içerik yönetim sistemindeki ya da araya giren bir hizmetteki yönlendirme ayarlarının birbiriyle çakışmasından kaynaklanır.
- Eski http adresleri: Site haritasında, canonical etiketlerinde ya da iç bağlantılarda kalan http adresleri arama motorlarına çelişkili sinyaller gönderir.
HSTS hakkında kısa bir not
HSTS (HTTP Strict Transport Security), tarayıcıya “Bu siteye her zaman HTTPS ile bağlan” talimatını veren bir ayardır ve güvenliği bir adım ileri taşır. Ancak tarayıcılar bu talimatı belirlenen süre boyunca hatırladığı için, her şeyin sorunsuz çalıştığından emin olmadan etkinleştirilmemelidir. Yanlış yapılandırılmış bir HSTS ayarının etkisini geri almak zaman alabilir.
HTTPS neyi garanti etmez?
HTTPS çok önemli, ama sık yanlış anlaşılan bir konu. Adres çubuğunda uyarı olmaması şu anlamlara gelmez:
- Sitenin saldırılara karşı korunduğu: HTTPS yalnızca veri taşınırken koruma sağlar. Güncellenmeyen bir içerik yönetim sistemi, zayıf şifreler ya da açık barındıran eklentiler HTTPS kullanan bir sitede de risk oluşturur. Düzenli güncelleme ve yedekleme ayrı bir iştir.
- İşletmenin güvenilir olduğu: Sertifika, özellikle DV sertifika, yalnızca alan adının kontrolünü doğrular. Sahte siteler ve oltalama (kimlik avı) sayfaları da HTTPS kullanır. Bir sitenin gerçek olup olmadığını yalnızca uyarı olmamasına bakarak anlayamazsınız.
E-ticaret siteleri için de bir not: HTTPS, sipariş formunu ve hesap bilgilerini korur; ancak kart bilgileri genellikle sitenin kendisinde değil, banka ya da ödeme kuruluşunun güvenli sayfalarında işlenir. E-ticaret projelerinde ödeme adımının nasıl kurulduğu bu yüzden en az sertifika kadar önemlidir. Benzer bir mantık e-posta için de geçerli: Alan adınızla kullandığınız kurumsal e-posta hesaplarında, e-posta programınızın sunucuya şifreli bağlantıyla (SSL/TLS) bağlandığından emin olun.
Kısa kontrol listesi
- Siteniz https ile açılıyor ve adres çubuğunda uyarı görünmüyor mu?
- http ile yazılan adresler 301 yönlendirmesiyle https sürümüne gidiyor mu?
- www ile ve www olmadan yazılan adresler aynı sürümde buluşuyor mu?
- Sertifikanın otomatik yenilendiğini ve bitiş tarihini biliyor musunuz?
- Sayfalarda karışık içerik uyarısı var mı?
- Site haritası, canonical etiketleri ve iç bağlantılar https mi?
- Search Console’da alan adı mülkünüz tanımlı mı?
Yeni bir siteye başlıyorsanız, sertifika kurulumunu ve otomatik yenilemeyi işin en başında planlamak gerekir; web tasarım sürecimizde bu konuyu site yayına girmeden önce ele alıyoruz. Mevcut sitenizin sertifika ve yönlendirme ayarlarının doğru çalışıp çalışmadığını merak ediyorsanız ücretsiz site analizi aracımızla kısa bir kontrol yapabilir, sonuçlarla ilgili sorularınız için bize yazabilirsiniz.
