SSL Sertifikası Nedir, Siteye Nasıl Kurulur?

SSL sertifikası nedir?

SSL sertifikası, bir web sitesi ile ziyaretçinin tarayıcısı arasındaki veri trafiğini şifreleyen ve sitenin gerçekten o alan adına ait olduğunu doğrulayan dijital bir belgedir. Sertifika kurulu bir site HTTPS protokolüyle açılır; böylece form bilgileri, parolalar ve çerezler üçüncü kişiler tarafından okunamaz ya da değiştirilemez.

Günümüzde kullanılan protokolün teknik adı aslında TLS'tir; SSL, onun eski ve artık güvenli kabul edilmeyen sürümlerinin adıdır. Ancak "SSL sertifikası" ifadesi yerleştiği için sektörde hâlâ bu isimle anılır. HTTPS kullanmayan sitelerde tarayıcılar adres çubuğunda "güvenli değil" uyarısı gösterir, bu da ziyaretçi güvenini doğrudan zedeler. Google da HTTPS'i bir sıralama sinyali olarak kullandığını açıklamıştır; bu nedenle SSL, teknik SEO çalışmalarının da temel adımlarından biridir.

HTTPS nasıl çalışır?

Bir ziyaretçi HTTPS adresinizi açtığında tarayıcı ile sunucu arasında kısa bir "el sıkışma" gerçekleşir. Sunucu sertifikasını tarayıcıya gönderir; tarayıcı, sertifikanın güvendiği bir sertifika otoritesi (CA) tarafından imzalandığını, süresinin dolmadığını ve alan adıyla eşleştiğini kontrol eder. Doğrulama başarılıysa iki taraf, yalnızca o oturum için geçerli bir şifreleme anahtarı üzerinde anlaşır ve sonraki tüm veri bu anahtarla şifrelenerek iletilir.

Bu süreç milisaniyeler içinde gerçekleşir ve modern sunucularda performansa etkisi yok denecek kadar azdır. Hatta HTTP/2 ve HTTP/3 gibi daha hızlı protokoller tarayıcılarda pratikte yalnızca HTTPS üzerinden kullanılabildiği için, SSL kurulumu çoğu zaman siteyi hızlandırır.

SSL sertifikası türleri: DV, OV ve EV

Sertifikalar şifreleme gücü bakımından aynıdır; farkları, sertifikayı veren kurumun başvuru sahibini ne kadar ayrıntılı doğruladığıdır.

Tek alan adı, wildcard ve çoklu alan adı

Sertifikalar kapsama göre de ayrılır. Tek alan adı sertifikası yalnızca belirli bir adresi korur. Wildcard sertifika, bir alan adının tüm birinci seviye alt alan adlarını (blog, magaza, destek gibi) tek sertifikayla kapsar. Çoklu alan adı (SAN) sertifikası ise birbirinden farklı birden fazla alan adını aynı sertifikada toplar.

Ücretsiz SSL: Let's Encrypt yeterli mi?

Let's Encrypt, kâr amacı gütmeyen bir sertifika otoritesidir ve ücretsiz DV sertifikası sağlar. Tüm modern tarayıcılar tarafından tanınır ve şifreleme açısından ücretli DV sertifikalardan farkı yoktur. Sertifikaların geçerlilik süresi kısa tutulduğu için yenilemenin otomatik yapılması gerekir; cPanel'deki AutoSSL, Plesk eklentileri ya da sunucuda çalışan Certbot gibi araçlar bu işi kendiliğinden halleder.

Blog, haber sitesi, forum ve küçük–orta ölçekli e-ticaret siteleri için ücretsiz SSL çoğu zaman yeterlidir. Kurumunuzun adının sertifikada görünmesini istiyorsanız, garanti (warranty) kapsamı arıyorsanız ya da bir sözleşme veya mevzuat OV/EV şartı koşuyorsa ücretli sertifika tercih edilir. Ücretli sertifikalarda da sektör kuralları gereği azami geçerlilik süresi kademeli olarak kısaldığı için, hangi sertifikayı kullanırsanız kullanın yenilemeyi otomatikleştirmek iyi bir alışkanlıktır.

SSL kurulumu adım adım

Kurulum yöntemi, kullandığınız hostinge göre değişir. Paylaşımlı hostinglerin çoğunda ücretsiz SSL tek tıkla etkinleşirken, yönetimsiz bir sunucuda işlemi kendiniz yaparsınız. Genel akış şöyledir:

1. DNS'i doğrulayın: Alan adınızın ve www alt alan adının, sertifikayı kuracağınız sunucunun IP adresini gösterdiğinden emin olun.
2. Sertifikayı edinin: cPanel'de AutoSSL ya da SSL/TLS Status bölümünü kullanın; Plesk'te ilgili eklentiyi açın; kendi sunucunuzda Certbot gibi bir ACME istemcisi çalıştırın. Ücretli sertifikada önce CSR oluşturup sertifika otoritesine gönderirsiniz.
3. Sertifikayı yükleyin: Panel bunu çoğunlukla otomatik yapar. Elle kurulumda sertifika, özel anahtar ve ara sertifika (CA bundle) dosyalarının üçünün de doğru eklendiğini kontrol edin.
4. HTTPS'i test edin: Siteyi https ile açın, adres çubuğundaki kilit simgesine tıklayıp sertifika bilgilerini kontrol edin.
5. Site adresini güncelleyin: WordPress kullanıyorsanız Ayarlar > Genel bölümündeki WordPress ve site adreslerini https ile başlayacak şekilde değiştirin.
6. Yönlendirmeyi ve içeriği düzeltin: HTTP'den HTTPS'e kalıcı yönlendirmeyi kurun ve karışık içerik hatalarını giderin.

Sunucu tarafında takıldığınız bir nokta olursa Sunucu/Hosting Bilgi Alışverişi bölümünde hata mesajıyla birlikte konu açabilirsiniz. Kendi sunucunuzu yönetiyorsanız SSL kurulumunu, VPS güvenliği rehberindeki diğer temel adımlarla birlikte ele almanız önerilir.

Karışık içerik (mixed content) hatası ve çözümü

Karışık içerik hatası, HTTPS ile açılan bir sayfanın içindeki bazı kaynakların (görsel, betik, stil dosyası, iframe) hâlâ http adresinden yüklenmesiyle oluşur. Tarayıcılar güvensiz betik ve stil dosyalarını genellikle tamamen engeller; bu da menülerin bozulmasına ya da bazı özelliklerin çalışmamasına yol açar. Görsellerde ise kilit simgesi kaybolabilir veya uyarı görünebilir.

Sorunu bulmak için tarayıcının geliştirici araçlarını açıp Console sekmesindeki "Mixed Content" uyarılarına bakın; hangi dosyanın http ile çağrıldığı burada listelenir. Çözüm için şu yolları izleyebilirsiniz:

• Veritabanındaki eski http bağlantılarını https ile değiştirin. WordPress'te serileştirilmiş verileri bozmamak için bu işi bir arama–değiştirme eklentisi ya da WP-CLI ile yapın.
• Tema ve eklenti dosyalarında sabit yazılmış http adreslerini güncelleyin.
• Harici kaynaklar (yazı tipi, video, reklam kodu) için HTTPS sürümünü kullanın; HTTPS desteği olmayan kaynakları kaldırın.
• Content-Security-Policy başlığındaki upgrade-insecure-requests yönergesini geçici bir destek olarak kullanabilirsiniz, ancak asıl çözüm bağlantıları düzeltmektir.

WordPress'e özgü sorunlar için WordPress forumu sayfasında daha fazla kaynak bulabilirsiniz; Wordpress bölümündeki konular da benzer hataların çözümlerini içerir.

HTTP'den HTTPS'e 301 yönlendirme

Sertifika kurulduktan sonra sitenizin hem http hem https sürümünün ayrı ayrı açılması, arama motorları açısından aynı içeriğin iki kopyası anlamına gelir. Bunu önlemek için tüm http isteklerini https karşılığına 301 (kalıcı) yönlendirme ile göndermeniz gerekir. 301 yönlendirme, eski adreslerin biriktirdiği bağlantı değerini yeni adreslere aktarır.

Apache ve LiteSpeed sunucularda bu işlem .htaccess dosyasına eklenen bir yeniden yazma kuralıyla, Nginx'te ise 80 numaralı port için tanımlanan bir yönlendirme bloğuyla yapılır. cPanel kullanıyorsanız Domains bölümündeki Force HTTPS Redirect seçeneği aynı işi kod yazmadan görür. www ve www'siz sürümlerden yalnızca birini tercih edin ve yönlendirmeyi tek adımda o sürüme yapın; zincirleme yönlendirmeler sayfa açılışını yavaşlatır.

Yönlendirme sorunsuz çalıştıktan sonra HSTS başlığını eklemeyi düşünebilirsiniz. HSTS, tarayıcıya sitenizi yalnızca HTTPS ile açmasını söyler; ancak tüm alt alan adlarınızın HTTPS'e hazır olduğundan emin olmadan uzun süreli HSTS etkinleştirmeyin.

SSL sonrası kontrol listesi

• Tüm sayfalar kilit simgesiyle açılıyor, tarayıcı konsolunda karışık içerik uyarısı yok.
• http ve www varyasyonları tek adımda tercih ettiğiniz https adresine 301 ile yönleniyor.
• Canonical etiketleri, site haritası ve iç bağlantılar https adresleri kullanıyor.
• Search Console'da https mülkü doğrulandı ve site haritası yeniden gönderildi.
• Sertifika yenilemesi otomatik ve süre dolmadan önce uyarı alacağınız bir izleme var.
• CDN veya Cloudflare kullanıyorsanız SSL modu, sunucuda geçerli sertifika olacak şekilde ayarlandı.

Search Console tarafındaki adımları Google Search Console nedir ve nasıl kullanılır rehberinde bulabilirsiniz. Hosting değiştirirken sertifikanın yeni sunucuda da hazır olması gerektiğini unutmayın; ayrıntılar hosting taşıma rehberinde. Hosting türleri ve paket seçimi için hosting nedir yazısına, konuyla ilgili tüm rehberler için hosting forumu sayfasına göz atabilirsiniz.

Forumdaki ilgili bölümler

• Sunucu/Hosting Bilgi AlışverişiSSL kurulumu ve sunucu ayarları.
• Site Güvenliği ve SaldırılarSite güvenliği ve korunma yöntemleri.
• WordpressWordPress kurulum ve hata çözümleri.
• Arama Motoru Optimizasyonu (SEO)HTTPS geçişi ve SEO etkileri.

Sık sorulan sorular