SSL sertifikası ne işe yarar?

Adres çubuğundaki kilit simgesi, küçük görünür ama arkasında sitenizin güvenilirliğini belirleyen bir mekanizma vardır. SSL (bugünkü adıyla TLS) sertifikası, tarayıcı ile sunucu arasındaki trafiği şifreler ve bağlandığınız adresin gerçekten o adres olduğunu kanıtlar. Bu yazı, sertifikanın tam olarak neyi koruduğunu, hangi türlerin ne zaman gerektiğini ve kurulum sonrası yapılması gerekenleri ele alır.

SSL üç şey sağlar

• Gizlilik: Form bilgileri, parolalar, oturum çerezleri ve ödeme verileri şifreli gider; araya giren biri yalnızca anlamsız bir veri akışı görür.
• Bütünlük: Veri yolda değiştirilirse bağlantı bozulur. Ziyaretçinize giden sayfaya reklam ya da zararlı kod enjekte edilemez.
• Kimlik: Sertifika, bir sertifika otoritesi tarafından alan adının sahibi doğrulanarak verilir. Tarayıcı, sahte bir sunucuya yönlendirildiğinde uyarı verir.

HTTPS neden artık zorunluluk?

Tarayıcılar sertifikasız siteleri "Güvenli değil" diye işaretler; bu uyarı özellikle form dolduracak ziyaretçiyi geri çevirir. Arama motorları şifreli bağlantıyı sıralama sinyali olarak kullanır. HTTP/2 ve HTTP/3 gibi hızlı protokoller tarayıcılarda yalnızca HTTPS üzerinde çalışır; yani şifreleme aynı zamanda hız demektir. Ödeme alan, üyelik barındıran ya da kişisel veri toplayan bir sitede SSL tercih değil, yükümlülüktür.

Sertifika türleri

Şifreleme gücü türe göre değişmez; DV sertifika da EV sertifika da aynı algoritmalarla aynı korumayı sağlar. Fark, tarayıcının ve ziyaretçinin kimlik hakkında ne kadar bilgi gördüğündedir.

Ücretsiz sertifika yeterli mi?

Çoğu site için evet. Let's Encrypt™ gibi sertifika otoriteleri DV sertifikayı ücretsiz ve otomatik verir. Türkbil hosting paketlerinde sertifika, alan adı hesaba tanımlandığında kendiliğinden kurulur ve süresi dolmadan otomatik yenilenir; sizin bir şey yapmanız gerekmez. Şirket adının sertifikada görünmesini isteyen kurumlar ya da ödeme altyapısı sağlayıcısı OV/EV şart koşan işletmeler ücretli sertifikaya geçer.

HTTPS'e geçerken kontrol listesi

1. Tüm trafiği HTTPS'e yönlendirin. http:// ile gelen her istek 301 ile şifreli adrese dönmeli; site hem HTTP hem HTTPS üzerinden açık kalmamalı.
2. Karışık içeriği temizleyin. Sayfada http:// ile yüklenen görsel, betik ya da stil dosyası kaldıysa tarayıcı kilidi göstermez.
3. Kanonik adresi güncelleyin. Arama motoruna, site haritasına ve sosyal paylaşım etiketlerine HTTPS'li adresi bildirin.
4. HSTS başlığını açın. Tarayıcıya "bu siteye bir daha asla HTTP ile bağlanma" der; ilk ziyaretten sonraki istekleri de korur.
5. Yenilemeyi izleyin. Otomatik yenileme kurulu olsa bile süresi dolmuş sertifika en sık görülen kesinti sebeplerindendir; sona erme tarihini takvime alın.

Sık sorulan sorular

SSL siteyi yavaşlatır mı?

Hayır. Modern işlemcilerde şifreleme maliyeti ölçülemeyecek kadar küçüktür; HTTPS üzerinde çalışan HTTP/2 ve HTTP/3 sayesinde site çoğu zaman daha hızlı açılır.

E-posta da SSL kullanır mı?

Evet. IMAP, POP3 ve SMTP bağlantıları da sertifikayla şifrelenir; posta istemcisinde "SSL/TLS" seçeneğini açık tutmak gerekir.

Sertifika süresi dolarsa ne olur?

Tarayıcı tam sayfa güvenlik uyarısı gösterir ve çoğu ziyaretçi siteye girmez. Bu yüzden otomatik yenileme ve sona erme takibi, sertifikanın kendisi kadar önemlidir.

Özetle: SSL bir "ek özellik" değil, sitenin temel katmanıdır. Ücretsiz ve otomatik olarak kurulabildiği için bugün sertifikasız yayın yapmanın hiçbir gerekçesi kalmamıştır.