SSL Sertifikası Nedir? “Güvenli Değil” Uyarısı Nasıl Kaldırılır?

Sitenizi açtığınızda adres çubuğunda “Güvenli değil” yazısı görüyorsanız, bir müşterinizin de aynı uyarıyı görüp sekmeyi kapatmış olma ihtimali var. Bu yazıda SSL sertifikası nedir, HTTPS nasıl çalışır, ücretsiz ve ücretli sertifikalar arasında ne fark vardır sorularını sade bir dille yanıtlıyoruz. Ayrıca uyarıyı kalıcı olarak kaldırmak için kurulumdan sonra atlanmaması gereken kontrolleri adım adım listeliyoruz.

SSL sertifikası nedir? Mühürlü zarf benzetmesi

İnternette bir formu doldurduğunuzu düşünün. Yazdığınız ad, telefon ve mesaj, sitenin sunucusuna ulaşana kadar pek çok ağdan geçer. HTTPS kullanılmayan bir sitede bu bilgiler kartpostal gibi yolculuk eder: Arada duran biri okuyabilir.

SSL sertifikası ise bu bilgiyi mühürlü bir zarfa koyar. Veriler şifrelenir ve yalnızca doğru alıcı, yani sitenin sunucusu tarafından açılabilir. Sertifika aynı zamanda bir kimlik kartı görevi görür: Ziyaretçinin tarayıcısı, karşısındaki sitenin gerçekten o alan adına ait olduğunu bu sertifika sayesinde doğrular.

Teknik bir not: Bugün kullanılan protokolün asıl adı TLS’tir. Ancak “SSL” ismi alışkanlık olarak yaygınlığını koruduğu için sektörde hâlâ “SSL sertifikası” deniyor. İkisi pratikte aynı ihtiyaca karşılık gelir.

HTTPS nedir?

HTTP, tarayıcı ile site arasındaki iletişim dilidir. Sonundaki “S” harfi “secure”, yani güvenli anlamına gelir. Bir sitede geçerli SSL sertifikası kurulu olduğunda adres https:// ile başlar ve tarayıcı bağlantının şifreli olduğunu gösterir. Sertifika yoksa ya da hatalıysa tarayıcı ziyaretçiyi uyarır.

“Web sitesi güvenli değil” uyarısı neden çıkar?

Uyarının birkaç farklı nedeni olabilir ve her birinin çözümü farklıdır:

Bu tabloyu bir teşhis listesi gibi kullanabilirsiniz. Çoğu küçük işletme sitesinde sorun ilk iki satırdan kaynaklanır.

DV, OV ve EV sertifika farkı

SSL sertifikaları şifreleme gücü bakımından değil, sertifikayı veren kuruluşun neyi doğruladığı bakımından ayrılır:

Eskiden EV sertifikalı sitelerde tarayıcı adres çubuğunda şirket adı belirgin şekilde gösterilirdi. Tarayıcılar bu görünümü yıllar önce sadeleştirdiği için ziyaretçinin gözünde DV ile EV arasındaki fark artık neredeyse görünmez. Bu yüzden bir kuaför, restoran, danışmanlık ofisi ya da tanıtım sitesi için DV sertifika genellikle yeterlidir.

Birden fazla alt alan adınız varsa (örneğin randevu.firmaniz.com.tr ve blog.firmaniz.com.tr) “wildcard” adı verilen, tüm alt alan adlarını kapsayan sertifikalar da tercih edilebilir.

Ücretsiz SSL sertifikası: Let’s Encrypt

SSL sertifikası ücretsiz alınabilir mi? Evet. Let’s Encrypt, kâr amacı gütmeyen bir sertifika otoritesidir ve DV türünde ücretsiz sertifika sağlar. Bugün pek çok hosting firması bu sertifikayı panel üzerinden tek tıkla kurmanıza izin verir; modern bulut barındırma platformlarının çoğu da sertifikayı otomatik olarak üretir.

Ücretsiz sertifikaların dikkat edilmesi gereken yanı, geçerlilik sürelerinin kısa olmasıdır. Bu bir dezavantaj değil, güvenlik tercihi; ancak yenilemenin otomatik yapılması şarttır. Sektör genelinde sertifika geçerlilik süreleri kısalma eğiliminde olduğundan, ücretli sertifika kullansanız bile otomatik yenileme altyapısı giderek daha önemli hale geliyor.

Ücretli sertifika ne zaman mantıklı olabilir?

• Kurum doğrulaması (OV/EV) gerektiren bir sektör veya müşteri şartı varsa
• Sertifika sağlayıcısından teknik destek veya belirli garantiler istiyorsanız
• Kullandığınız sunucu ya da sistem otomatik ücretsiz sertifikayı desteklemiyorsa

SSL sertifikası nasıl alınır ve kurulur?

Sitenizin nerede barındırıldığına göre adımlar biraz değişse de genel süreç şöyledir:

1. Hosting panelinizi kontrol edin. “SSL/TLS”, “Let’s Encrypt” veya “Güvenlik” başlıklı bir bölüm olup olmadığına bakın. Çoğu zaman sertifika tek tıkla etkinleştirilebilir.
2. Alan adının doğru sunucuyu gösterdiğinden emin olun. Sertifika üretimi sırasında alan adının DNS kayıtları hosting sunucusuna yönlenmiş olmalıdır. Bu kavramları alan adı ve hosting nedir yazımızda anlattık.
3. Hem www’li hem www’siz adresi kapsayın. firmaniz.com.tr ve www.firmaniz.com.tr için sertifikanın geçerli olduğunu kontrol edin.
4. Ücretli sertifika alacaksanız sağlayıcıdan sertifikayı satın alın, sunucuda istenen doğrulama adımını tamamlayın ve sertifika dosyalarını hosting paneline yükleyin.
5. Siteyi https:// ile açarak test edin. Farklı tarayıcılarda ve mobilde deneyin.
6. Otomatik yenilemenin açık olduğunu doğrulayın. Sertifikanın bitiş tarihini bir yere not edin.

Sertifika bilgilerini nasıl kontrol edersiniz?

Teknik bilgi gerektirmeyen basit bir kontrol yöntemi var. Sitenizi tarayıcıda açın ve adres çubuğunun solundaki simgeye tıklayın. Açılan pencerede bağlantının güvenli olup olmadığını ve sertifika ayrıntılarını görebilirsiniz. Burada özellikle üç bilgiye bakın:

• Kime verildiği: Sertifika sizin alan adınız için mi düzenlenmiş?
• Kim tarafından verildiği: Sertifikayı veren kuruluşun adı (örneğin Let’s Encrypt).
• Geçerlilik tarihleri: Sertifikanın hangi tarihe kadar geçerli olduğu.

Bu kontrolü telefonunuzdan da yapabilirsiniz. Bitiş tarihi yaklaşmışsa ve otomatik yenileme konusunda emin değilseniz, sitenizi yöneten kişiye ya da hosting firmanıza sormanız birkaç dakikanızı alır ama olası bir kesintiyi önler.

Kurulum bu kadar. Ama “Güvenli değil” uyarısının gerçekten ortadan kalkması için işin ikinci yarısını atlamamanız gerekiyor.

Kurulumdan sonra: HTTPS yönlendirme ve karma içerik kontrolü

Sertifika kuruldu diye sitenin her zaman HTTPS ile açılacağı anlamına gelmez. Ziyaretçi eski bir bağlantıdan ya da elle yazarak http:// adresine gelebilir.

HTTP’den HTTPS’e kalıcı yönlendirme

Sitenin tüm HTTP adreslerinin, karşılık gelen HTTPS adreslerine 301 (kalıcı) yönlendirme ile gitmesi gerekir. Aynı şekilde www’li ve www’siz sürümlerden birini ana adres seçip diğerini ona yönlendirin. Böylece hem ziyaretçi her zaman güvenli sürüme ulaşır hem de Google sitenizin tek bir sürümünü değerlendirir.

Karma içerik (mixed content) temizliği

Sayfa HTTPS ile açılsa bile, içindeki bir görsel, video, font ya da script hâlâ http:// adresinden çağrılıyorsa buna karma içerik denir. Tarayıcılar bu içerikleri engelleyebilir, sayfanın bir bölümü bozuk görünebilir veya güvenli bağlantı göstergesi kaybolabilir. Kontrol için:

• Tarayıcıda sayfaya sağ tıklayıp “İncele” diyerek açılan geliştirici konsolunda “Mixed Content” uyarılarına bakın.
• Sayfa içeriğinde, menülerde ve tema ayarlarında elle yazılmış http:// bağlantıları https:// ile değiştirin.
• Harici olarak eklenmiş harita, video veya form kodlarının güncel ve HTTPS destekli sürümlerini kullanın.

SEO tarafında yapılacaklar

• Site haritasındaki (sitemap) adreslerin HTTPS olduğundan emin olun.
• Sayfaların canonical etiketlerinin HTTPS sürümünü gösterdiğini kontrol edin.
• Google Search Console’da sitenizin HTTPS sürümünün doğrulanmış olduğundan emin olun; alan adı mülkü olarak eklediyseniz tüm sürümler tek yerden izlenir.
• Google İşletme Profili, sosyal medya biyografileri ve reklam hesaplarındaki bağlantıları HTTPS sürümüyle güncelleyin.

SSL’in SEO ve müşteri güvenine etkisi

Google, HTTPS kullanımını sıralama sinyallerinden biri olarak değerlendirdiğini yıllar önce açıkladı ve sayfa deneyimiyle ilgili dokümanlarında da güvenli bağlantıyı iyi bir kullanıcı deneyiminin parçası olarak anar. Ancak dürüst olmak gerekirse, SSL kurmak tek başına sizi üst sıralara taşımaz. Asıl etki müşteri davranışında görülür.

Kadıköy’de bir güzellik salonunun sitesine giren birini düşünün. Randevu formunu doldurmak üzereyken adres çubuğunda “Güvenli değil” uyarısını görüyor. Telefon numarasını yazmaktan vazgeçmesi, hatta salonun işini ciddiye almadığını düşünmesi çok olası. Reklam verdiğiniz bir sitede bu durum, bütçenizin bir kısmının boşa gitmesi demek.

Özetle: SSL bir sıralama avantajından çok, olmazsa olmaz bir temel. Eksikliği, diğer tüm çabalarınızın etkisini azaltır.

SSL her şeyi çözmez: Güvenliğin diğer parçaları

SSL, veri trafiğini korur; ama siteniz başka açılardan savunmasız olabilir. Tam bir güvenlik için şu konulara da dikkat edin:

• Düzenli güncellemeler ve yedekleme: Eski eklenti ve temalar en sık görülen güvenlik açıklarındandır. Bunları nasıl takip edeceğinizi web sitesi bakımı nedir yazımızda anlattık.
• Güçlü şifre ve iki adımlı doğrulama: Yönetim paneli ve hosting hesabı için.
• Form verilerinin hukuka uygun işlenmesi: SSL, formdan gelen kişisel verileri taşırken şifreler; ancak bu verileri toplarken aydınlatma metni ve çerez politikası gibi yükümlülükler de vardır. Ayrıntılar için web sitesinde KVKK ve çerez politikası rehberimize bakabilirsiniz.

Kontrol listesi ve sonraki adımlar

“Güvenli değil” uyarısından kalıcı olarak kurtulmak için şu listeyi sırayla uygulayın:

• Sitenizde geçerli bir SSL sertifikası kurulu mu? Bitiş tarihi ne zaman?
• Otomatik yenileme açık mı?
• www’li ve www’siz adreslerin ikisi de sorunsuz açılıyor ve tek bir HTTPS adrese yönleniyor mu?
• http:// ile yazılan adresler 301 ile HTTPS’e gidiyor mu?
• Konsolda karma içerik uyarısı kaldı mı?
• Site haritası, canonical etiketleri ve dış bağlantılar HTTPS sürümünü gösteriyor mu?

SSL sertifikası nedir, nasıl kurulur sorularının cevabı teknik görünse de uygulaması çoğu zaman bir iki saatlik iştir; önemli olan kontrollerin eksiksiz yapılmasıdır. Webmilazım’ın hazırladığı tüm sitelerde SSL, HTTPS yönlendirmesi ve temel teknik kontroller teslimattan önce yapılıyor. Mevcut sitenizde uyarı görüyorsanız ya da bakım desteği arıyorsanız iletişim sayfamızdan bize ulaşabilirsiniz.