HTTPS, SSL ve TLS Nedir? Ücretsiz Sertifika Kurulumu, Yönlendirme ve HSTS Rehberi

Tarayıcı çubuğundaki kilit simgesi, siteyle aranızdaki bağlantının şifreli olduğunu gösterir. Bunun arkasındaki teknoloji HTTPS'tir: HTTP protokolünün TLS ile korunmuş hâli. Bugün HTTPS bir "ekstra" değil, her web sitesi için temel gerekliliktir: kullanıcı verilerini korur, tarayıcı uyarılarını önler ve arama motorları tarafından da tercih edilir.

SSL mi, TLS mi?

SSL (Secure Sockets Layer) eski protokolün adıdır; modern ve güvenli halefi TLS'tir (Transport Layer Security). Günlük dilde hâlâ "SSL sertifikası" denmesi, adın alışkanlığa dönüşmüş olmasındandır; bugün kullanılan protokol TLS'tir. SSL 2.0, 3.0 ve TLS 1.0/1.1 sürümleri artık güvensiz kabul edilir ve devre dışı bırakılmalıdır (TLS 1.0 ve 1.1, RFC 8996 ile resmen kullanımdan kaldırılmıştır). Günümüzde TLS 1.2 ve özellikle TLS 1.3 önerilir.

TLS size ne sağlar?

• Gizlilik (şifreleme): Aradaki bir kişi (açık Wi-Fi'daki saldırgan, ağ sağlayıcı) trafiği okuyamaz.
• Bütünlük: Veri yolda değiştirilemez; sayfaya reklam veya zararlı kod eklenemez.
• Kimlik doğrulama: Kullanıcı gerçekten sizin sunucunuzla konuştuğundan emin olur; bunu güvenilir bir sertifika otoritesinin imzaladığı sertifika sağlar.

HTTPS neden şart?

• Güvenlik ve gizlilik: Giriş formları, ödeme ve kişisel veriler şifrelenir.
• Tarayıcı uyarıları: Modern tarayıcılar, özellikle form içeren HTTP sayfalarını "Güvenli değil" olarak işaretler; bu, güveni ve dönüşümü düşürür.
• SEO: Google, 2014'ten beri HTTPS'i hafif bir sıralama sinyali olarak kullandığını belirtmiştir. Etkisi küçük ama uygulaması neredeyse zorunludur.
• Modern web özellikleri: HTTP/2, HTTP/3, konum erişimi, bildirimler ve birçok tarayıcı API'si yalnızca HTTPS'te çalışır.
• Yasal uyum: Kişisel veri işleyen sitelerde şifreli iletişim, KVKK kapsamındaki teknik tedbirlerin parçasıdır.

Sertifika türleri

• DV (Domain Validation): Yalnızca alan adı sahipliğini doğrular. Hızlı ve çoğu zaman ücretsizdir; çoğu site için yeterlidir.
• OV (Organization Validation): Kuruluşun varlığı da doğrulanır.
• EV (Extended Validation): Daha sıkı kuruluş doğrulaması; modern tarayıcılar artık EV için özel bir görsel gösterge sunmamaktadır, bu nedenle pratik faydası azalmıştır.

Şifreleme gücü bu türlerde değişmez; fark doğrulama seviyesindedir. Ayrıca tek alan adı, çok alan adı (SAN) ve joker karakterli (*.ornek.com) sertifikalar vardır.

Ücretsiz sertifika: Let's Encrypt

Let's Encrypt, kâr amacı gütmeyen bir sertifika otoritesidir ve ücretsiz DV sertifikaları verir. Sertifikalar kısa ömürlüdür (90 gün) ve ACME protokolüyle otomatik yenilenmek üzere tasarlanmıştır. Kurulum yolları:

• Hosting paneli: Birçok hosting firması paneldeki "SSL" bölümünden tek tıkla Let's Encrypt (veya kendi ücretsiz sertifikasını) kurar ve yeniler.
• Certbot: Kendi sunucunuzda (VPS) komut satırıyla sertifika alıp yenilemeyi otomatikleştirir.
• CDN/Proxy hizmetleri: Bazı sağlayıcılar kenarda sertifika sağlar; ancak sunucunuzla CDN arasındaki bağlantının da şifreli olması (tam/strict mod) gerekir.

HTTP'den HTTPS'e geçiş: kontrol listesi

1. Sertifikayı kurun ve https:// adresinin sorunsuz açıldığını doğrulayın.
2. Tüm HTTP isteklerini 301 ile HTTPS'e yönlendirin (HTTP durum kodları).
3. Canonical etiketlerini, sitemap'i, iç bağlantıları ve yapılandırılmış verideki URL'leri HTTPS'e güncelleyin.
4. Karışık içeriği (mixed content) temizleyin: HTTPS sayfada HTTP ile yüklenen görsel, betik veya stil dosyası uyarı üretir ve engellenebilir. Tarayıcı konsolu bu hataları listeler.
5. Google Search Console'a HTTPS sürümünü (veya alan adı mülkünü) ekleyin ve sitemap'i yeniden gönderin.
6. Dış hizmetlerde (reklam, analitik, e-posta bağlantıları, sosyal profiller) eski HTTP adreslerini güncelleyin.

HSTS: tarayıcıya "her zaman HTTPS kullan" demek

HSTS (HTTP Strict Transport Security), bir sunucunun tarayıcıya belirli süre boyunca siteye yalnızca HTTPS ile bağlanmasını söylediği HTTP başlığıdır:

Strict-Transport-Security: max-age=31536000; includeSubDomains

Bu, kullanıcının yanlışlıkla HTTP ile bağlanıp araya girilmesi riskini azaltır. Dikkat: HSTS'yi etkinleştirmeden önce HTTPS'in tüm alt alan adlarında sorunsuz çalıştığından emin olun; ayrıca "preload" listesine eklemek geri alması zor bir karardır. Önce kısa bir max-age ile deneyin.

Sertifika süresi takibi

Süresi dolan sertifika, tarayıcıların büyük bir uyarı sayfası göstermesine ve sitenin fiilen erişilemez olmasına yol açar. Otomatik yenilemeyi kurun ve yine de bir izleme (monitoring) hizmetiyle bitiş tarihi için uyarı alın. Yenileme başarısız olursa bunu sizden önce müşterileriniz görmesin.

Yapılandırmanızı test edin

Qualys SSL Labs'ın ücretsiz SSL Server Test aracı, sertifika zincirinizi, desteklenen protokolleri ve yapılandırma zayıflıklarını notlandırır. A veya A+ notu hedefleyin; eski protokollerin kapalı olduğundan emin olun.

Kaynaklar ve ileri okuma

• Let's Encrypt: Başlangıç
• web.dev: HTTPS neden önemli?
• MDN: Strict-Transport-Security
• RFC 8446: TLS 1.3
• Qualys SSL Labs: SSL Server Test

Sık Sorulan Sorular

Ücretsiz sertifika ücretli kadar güvenli mi?

Şifreleme açısından evet; DV sertifikaları aynı TLS şifrelemesini kullanır. Ücretli sertifikalar daha çok kuruluş doğrulaması, destek ve garanti gibi ek hizmetler sunar.

HTTPS siteyi yavaşlatır mı?

Modern sunucularda ve HTTP/2 ile fark ihmal edilebilir düzeydedir; HTTP/2 ve HTTP/3 zaten HTTPS gerektirir ve çoğu durumda performansı artırır.

Statik bir bilgi sitesi için de gerekli mi?

Evet. Giriş formu olmasa bile içeriğin yolda değiştirilmesini önler, tarayıcı uyarılarından kaçınır ve kullanıcı güvenini artırır.