HTTPS, web siteleriyle tarayıcılar arasındaki bağlantıyı şifreleyen HTTP sürümüdür. Adres çubuğunda https:// görmeniz, cihazınız ile sunucu arasında aktarılan verilerin TLS kullanılarak korunduğu anlamına gelir. Bu koruma özellikle parola, ödeme bilgisi, adres ve kişisel bilgiler gibi hassas veriler gönderilirken önem taşır. Ancak HTTPS, ziyaret ettiğiniz sitenin güvenilir veya dürüst olduğunu tek başına kanıtlamaz; yalnızca bağlantının güvenli biçimde kurulduğunu gösterir.

HTTPS bağlantısının kurulmasında önemli rol oynayan dijital belgeye günlük kullanımda SSL sertifikası denir. Teknik olarak günümüzde kullanılan protokol TLS olduğundan, bu belgeler için TLS sertifikası ifadesi daha doğrudur. Aşağıda HTTP ile HTTPS arasındaki farkı, sertifikaların çalışma biçimini, sertifika türlerini ve bir web sitesini değerlendirirken nelere dikkat etmeniz gerektiğini açıklıyoruz.

HTTPS nedir ve bağlantıyı nasıl korur?

HTTPS, “HyperText Transfer Protocol Secure” ifadesinin kısaltmasıdır. HTTP, tarayıcı ile web sunucusu arasında sayfa ve veri aktarımını sağlayan protokoldür; HTTPS ise bu iletişimi TLS ile şifreleyerek korur. Böylece ağ üzerindeki başka kişilerin aktarılan bilgileri kolayca okuyabilmesi veya iletişimi fark ettirmeden değiştirebilmesi engellenir.

Bir HTTPS adresini açtığınızda tarayıcı, sunucunun sunduğu dijital sertifikayı inceler. Sertifika, sunucunun belirli bir alan adı için yetkilendirildiğini gösterir ve bağlantının kurulmasında kullanılacak açık anahtar bilgilerini içerir. Tarayıcı sertifikanın güvenilir bir sertifika otoritesi tarafından imzalanıp imzalanmadığını, geçerlilik süresinin devam edip etmediğini ve ziyaret ettiğiniz alan adıyla eşleşip eşleşmediğini kontrol eder.

Kontroller başarılı olduğunda tarayıcı ve sunucu, o bağlantı oturumunda kullanacakları şifreleme anahtarlarını oluşturur. Sonraki veri alışverişi bu anahtarlarla korunur. Bu işlem, internet bağlantısının tamamen risksiz olduğu anlamına gelmez; ancak verinin aktarım sırasında okunmasını veya değiştirilmesini önemli ölçüde zorlaştırır.

HTTP ve HTTPS arasındaki farklar

HTTP ile HTTPS arasındaki temel fark, bağlantının şifrelenip şifrelenmemesidir. HTTP üzerinden gönderilen veriler, şifreleme uygulanmadıysa ağ üzerinde düz metin halinde taşınabilir. HTTPS ise tarayıcı ile sunucu arasındaki iletişimi TLS ile şifreler ve sunucunun alan adıyla ilişkisini sertifika üzerinden doğrular.

• Şifreleme: HTTP tek başına veri şifrelemesi sağlamaz; HTTPS bağlantısı TLS ile korunur.
• Sertifika: HTTP bağlantısı için TLS sertifikası gerekmez. HTTPS bağlantısında sunucunun geçerli bir sertifika sunması gerekir.
• Varsayılan bağlantı noktaları: HTTP genellikle 80, HTTPS ise genellikle 443 numaralı portu kullanır. Sunucu yapılandırmasına göre farklı portlar da kullanılabilir.
• Kimlik doğrulama: HTTPS, tarayıcının sertifikayı ve alan adı eşleşmesini kontrol etmesine olanak tanır. Bu kontrol, sitenin içeriğinin güvenilir olduğu anlamına gelmez.
• Tarayıcı uyarıları: HTTP kullanan siteler modern tarayıcılarda güvenli olmayan bağlantı uyarılarıyla karşılaşabilir.

Herkese açık Wi-Fi ağlarında HTTPS özellikle önemlidir. Kafe, otel, havalimanı veya ortak çalışma alanı gibi ağlarda bağlantıyı izlemeye çalışan kişiler bulunabilir. HTTPS, bu kişilerin siteyle aranızdaki trafiği okunabilir biçimde görmesini zorlaştırır. Buna rağmen bilinmeyen ağlarda şüpheli bağlantılara tıklamamak ve hassas işlemler sırasında adresi dikkatle kontrol etmek gerekir. VPN kullanmak, cihazınız ile VPN sunucusu arasındaki trafiğe ayrıca şifreleme katmanı ekleyebilir; ancak VPN de ziyaret ettiğiniz sitenin meşru olduğunu garanti etmez.

Chrome’da HTTP siteler için güvenlik uyarıları

Tarayıcılar, kullanıcıların şifrelenmemiş bağlantılarla karşılaşma riskini azaltmak için HTTP siteleri hakkında uyarılar gösterebilir. Chrome’un güvenli bağlantı tercihleri kapsamında, HTTPS desteklemeyen herkese açık bir siteye geçmeden önce kullanıcıdan izin istenebilir. Ekrandaki uyarının görünümü ve kapsamı Chrome sürümüne, işletim sistemine ve güvenlik ayarlarına bağlı olarak değişebilir.

Bir HTTP sitesine devam etmeniz gerekiyorsa, önce siteye neden ihtiyaç duyduğunuzu değerlendirin. Siteye yalnızca herkese açık bilgi okumak için giriyorsanız risk, parola veya ödeme bilgisi göndermeye kıyasla daha düşük olabilir; ancak bağlantı yine de şifrelenmez. HTTP sayfalarına parola, kart bilgisi veya başka hassas veri girmeyin. Uyarıları kapatma seçeneği bulunsa bile güvenli bağlantı tercihlerini açık bırakmak daha iyi bir varsayılandır. Tarayıcınızın sürümüne göre ayarlar genellikle gizlilik ve güvenlik ya da güvenlik bölümünde yer alır.

SSL ve TLS sertifikası nedir?

“SSL sertifikası” adı yaygın biçimde kullanılsa da SSL protokolünün eski sürümleri günümüzde güvenli kabul edilmez ve TLS tarafından geride bırakılmıştır. Buna rağmen web hosting firmaları, tarayıcılar ve sertifika sağlayıcıları günlük kullanımda “SSL sertifikası” ifadesini sürdürür. Bir hizmet paketinde bu ifadeyi gördüğünüzde, çoğunlukla HTTPS bağlantısında kullanılacak bir TLS sertifikasından söz edildiğini anlayabilirsiniz.

Sertifikanın temel işlevleri şunlardır:

• Şifreleme: Tarayıcı ile sunucu arasındaki bağlantıda gönderilen verilerin ağ üzerinde okunmasını zorlaştırır.
• Alan adı doğrulaması: Sertifikanın belirli bir alan adı için düzenlendiğini doğrulamaya yardımcı olur.
• Veri bütünlüğü: İletişim sırasında verinin fark edilmeden değiştirilmesini tespit etmeye yardımcı olur.

Sertifika, sitenin iş modelini, içeriklerinin doğruluğunu veya site sahibinin niyetini onaylayan bir belge değildir. Örneğin dolandırıcılık amacıyla kurulmuş bir site de alan adını doğrulayarak geçerli bir HTTPS sertifikası alabilir. Bu nedenle sertifika kontrolü, güvenlik değerlendirmesinin yalnızca bir parçasıdır.

Sertifika doğrulama düzeyleri: DV, OV ve EV

Sertifika türleri çoğunlukla, başvuru sırasında alan adı veya kuruluş hakkında ne ölçüde doğrulama yapıldığına göre ayrılır. Bu doğrulama seviyeleri, bağlantının şifreleme gücünün farklı olduğu anlamına gelmez. Temel güvenli bağlantı, sertifikanın türünden bağımsız olarak TLS yapılandırmasına bağlıdır.

• DV (Domain Validation): Başvuru sahibinin alan adını kontrol ettiğini doğrular. Kişisel siteler, bloglar ve pek çok genel web sitesi için yeterli olabilir.
• OV (Organization Validation): Alan adı kontrolüne ek olarak kuruluş hakkında belirli kontroller yapılır. Şirket kimliğinin doğrulanmasının önemli olduğu kurumsal sitelerde tercih edilebilir.
• EV (Extended Validation): Başvuru sahibinin kuruluş bilgileri daha kapsamlı biçimde incelenir. Gereklilikler sağlayıcıya ve yürürlükteki sertifika kurallarına göre değişebilir.

Modern tarayıcılar, sertifika türünü genellikle eskiden olduğu gibi adres çubuğunda belirgin bir şirket adı rozetiyle göstermez. Dolayısıyla EV sertifikası kullanılması, ziyaretçinin siteyi görsel olarak hemen ayırt edebileceği anlamına gelmez. Hangi türün uygun olduğu; mevzuat, kuruluşun ihtiyaçları, kullanıcı beklentileri ve sertifika sağlayıcısının sunduğu doğrulama kapsamı dikkate alınarak belirlenmelidir.

Tek alan adı, wildcard ve çoklu alan adı sertifikaları

Doğrulama seviyesinden ayrı olarak sertifikalar, korudukları alan adlarının kapsamına göre de seçilir. Tek alan adı sertifikası, belirli bir alan adı veya sertifikada belirtilmiş ad için kullanılabilir. Sertifika kapsamının www gibi farklı adresleri içerip içermediğini satın almadan veya kurulum yapmadan önce kontrol etmek gerekir.

• Tek alan adı sertifikası: Genellikle tek bir alan adı için düzenlenir. Kapsam, sertifikada yer alan adlara bağlıdır.
• Wildcard sertifika: Örneğin *.ornek.com biçiminde, belirli bir alan adının bir düzeydeki alt alan adlarını kapsayabilir. Kapsam ve alt düzey davranışı sertifikanın şartlarına göre kontrol edilmelidir.
• Çoklu alan adı sertifikası: SAN veya UCC olarak da anılır ve bir sertifikada birden fazla alan adı ya da alt alan adı tanımlanmasına imkân tanır.

Birden fazla site veya alt alan adı yöneten kuruluşlar için kapsamı doğru seçmek önemlidir. Sertifikada bulunmayan bir alan adına HTTPS üzerinden bağlanıldığında tarayıcı, alan adı eşleşmediği için güvenlik uyarısı verebilir. Bu nedenle sertifika yenileme veya alan adı değişikliği sırasında bütün kullanılan adreslerin kapsamda olduğundan emin olun.

Ücretsiz sertifika alma ve kurulum

Birçok hosting firması, kontrol paneli üzerinden ücretsiz DV sertifikası sağlar ve kurulumla yenilemeyi otomatikleştirir. Önce hosting hesabınızdaki SSL/TLS bölümünü kontrol edin. Sertifika zaten etkinse, alan adınızın HTTPS üzerinden açıldığını ve tarayıcıda sertifika hatası görünmediğini doğrulayın. Hosting sağlayıcınız otomatik kurulum sunuyorsa, sunucu yapılandırmasını elle değiştirmeden önce onun yönergelerini izleyin.

Let’s Encrypt, otomatikleştirilmiş ve ücretsiz DV sertifikaları sunan bir sertifika otoritesidir. DV sertifikası, alan adını kontrol ettiğinizi doğrular; şirketin hukuki kimliğini OV veya EV düzeyinde incelemez. Let’s Encrypt sertifikaları kısa süreli düzenlenir ve bu nedenle yenilemenin otomatikleştirilmesi gerekir. Geçerlilik süreleri ve ilgili takvimler zaman içinde değişebileceğinden, güncel bilgiyi Let’s Encrypt’in resmî belgelerinden kontrol edin.

Kendi sunucusunu yönetenler için genel kurulum adımları şöyledir:

• Sunucu işletim sisteminiz ve web sunucunuzla uyumlu bir ACME istemcisi seçin. Certbot yaygın seçeneklerden biridir.
• İstemci üzerinden alan adının kontrolünü kanıtlayın. Bu işlem, sunucuya dosya yerleştirme veya DNS kaydı oluşturma gibi yöntemlerle yapılabilir.
• Sertifikayı web sunucunuza yükleyip HTTPS bağlantısını yapılandırın. Apache, Nginx ve diğer sunucuların ayarları birbirinden farklıdır.
• Otomatik yenilemeyi etkinleştirin ve yenileme işleminin gerçekten çalıştığını düzenli olarak test edin.
• HTTP adreslerinden HTTPS adreslerine kalıcı yönlendirme yapılandırın ve sayfalardaki eski HTTP kaynaklarını güncelleyin.

Kurulumdan sonra yalnızca ana sayfayı değil, formları, alt alan adlarını, görselleri ve diğer sayfa kaynaklarını da kontrol edin. HTTPS sayfasının içinde HTTP üzerinden yüklenen içerik varsa tarayıcı karma içerik uyarısı gösterebilir veya bazı kaynakları engelleyebilir. Ayrıca yönlendirmelerin yanlış adrese gitmediğini ve sitenin hem www hem de www içermeyen adreslerinde doğru çalıştığını doğrulayın.

Ücretli sertifikalar ve geçerlilik süreleri

Ücretli sertifikalar, ticari sertifika otoriteleri veya onların bayileri aracılığıyla alınabilir. OV ya da EV doğrulama, kuruluş süreçleri veya özel yönetim gereksinimleri varsa ücretli seçenekler uygun olabilir. Fiyatlar sertifika kapsamına, doğrulama düzeyine, sağlayıcıya ve destek koşullarına göre değişir. Satın almadan önce sertifikanın hangi alan adlarını kapsadığını, yenileme sürecini ve teknik destek şartlarını inceleyin.

Herkese açık TLS sertifikalarının azami geçerlilik süreleri sektördeki kurallara bağlı olarak kısalabilir. Bu nedenle sertifikayı uzun süre elle yönetmek yerine otomatik yenileme ve süre takibi kurmak önemlidir. Güncel azami süreler veya gelecekteki değişiklikler hakkında tarihli bilgiler zamanla geçerliliğini yitirebilir; sertifika sağlayıcınızın ve ilgili sektör kuruluşlarının resmî duyurularını kontrol edin.

Bir sitenin bağlantısı ve güvenilirliği nasıl kontrol edilir?

Önce adresin doğru yazıldığını ve gerçekten beklediğiniz alan adına gittiğinizi kontrol edin. Sahte siteler, gerçek adreslere benzeyen harf değişiklikleri, farklı uzantılar veya fazladan kelimeler kullanabilir. Bir mesajla gelen bağlantıya tıklamak yerine, gerekiyorsa sitenin adresini tarayıcıya kendiniz yazın veya güvenilir bir yer imini kullanın.

• Adresin HTTPS ile başlayıp başlamadığını kontrol edin.
• Tarayıcının adres çubuğundaki bağlantı veya site bilgisi simgesini açarak güvenlik durumunu inceleyin.
• Uyarı varsa devam etmeden önce uyarının nedenini değerlendirin; sertifika hatalarını gelişigüzel geçiştirmeyin.
• Alan adını harf harf okuyun ve beklenen kuruluşun resmî adresiyle karşılaştırın.
• Ödeme veya hesap işlemlerinde, sitenin iletişim bilgilerini ve hizmetin bilinen resmî kanallarını da kontrol edin.

Tarayıcılardaki kilit simgesi zaman içinde değişmiştir; bazı tarayıcılar kilit yerine site ayarlarını açan farklı bir simge kullanır. Bu simge, tek başına sitenin güvenilir olduğunun işareti değildir. Sertifika bilgilerini incelemek bağlantı hakkında bilgi verebilir, fakat sitenin sunduğu ürünün gerçek olduğunu veya işletmenin dürüst davrandığını doğrulamaz.

En önemli ayrım şudur: HTTPS, bağlantının şifreli olduğunu ve sertifikanın ilgili alan adıyla bağlantısını gösterir; sitenin güvenilirliğini garanti etmez. HTTPS kullanan bir dolandırıcılık sitesi de olabilir. Şüpheli kampanya mesajları, aşırı cazip teklifler, yazım hataları ve kişisel bilgileri aceleyle isteyen sayfalar konusunda dikkatli olun.

HTTPS’in SEO ve site yönetimine etkisi

Google, HTTPS’i arama sıralamasında kullanılan sinyallerden biri olarak duyurmuştur. Ancak HTTPS tek başına yüksek sıralama sağlamaz; içerik kalitesi, kullanıcı deneyimi, teknik erişilebilirlik ve diğer arama sinyalleri de önem taşır. Buna rağmen HTTPS, ziyaretçi güvenliği ve modern tarayıcılarla uyumluluk açısından web sitelerinin temel gereksinimlerinden biridir.

HTTP’den HTTPS’e geçerken eski sayfaları yeni adreslerine kalıcı yönlendirmeyle taşımak, site içi bağlantıları ve kaynakları güncellemek gerekir. Ayrıca site haritası, kanonik adresler ve analiz araçları gibi teknik ayarların yeni protokole göre düzenlendiğini kontrol edin. Geçiş sonrasında sertifika hatalarını, yönlendirme zincirlerini ve karma içerik sorunlarını izlemek, kullanıcıların eski veya hatalı bağlantılarla karşılaşmasını önlemeye yardımcı olur.

Sık sorulan sorular

SSL ile TLS aynı şey mi? Teknik olarak aynı protokol değillerdir. TLS, eski SSL protokolünün yerini alan daha yeni protokol ailesidir. Buna rağmen “SSL sertifikası” ifadesi, günümüzde TLS bağlantısında kullanılan sertifikalar için yaygın biçimde kullanılır.

HTTPS kullanan her site güvenli midir? HTTPS, tarayıcı ile sunucu arasındaki bağlantıyı şifreler ve sertifikanın belirli bir alan adıyla ilişkisini doğrular. Site sahibinin dürüstlüğünü, içeriğin doğruluğunu veya satılan ürünün gerçekliğini kanıtlamaz.

“Bağlantınız gizli değil” uyarısı ne anlama gelir? Tarayıcı, sitenin sertifikasını doğrulayamadığında bu tür bir uyarı gösterebilir. Sertifikanın süresi dolmuş, farklı bir alan adına düzenlenmiş veya yanlış yapılandırılmış olması mümkündür. Cihazın tarih ve saat ayarları da sertifika kontrollerini etkileyebilir. Uyarıyı atlamak yerine adresi ve cihaz ayarlarını kontrol edin; sorunu çözemezseniz site sahibine veya ağ yöneticisine başvurun.

256 bit SSL ne demektir? Bu ifade, genellikle bağlantı kurulduktan sonra veriyi korumak için kullanılan şifreleme anahtarının uzunluğuna veya kullanılan şifreleme algoritmasına atıfta bulunur. Tek başına “256 bit” ifadesi bağlantının bütün güvenlik özelliklerini açıklamaz; TLS sürümü, algoritmaların doğru yapılandırılması, sertifika doğrulaması ve sunucu ayarları da önemlidir.

SSL sertifikası ücretsiz alınabilir mi? Evet. Let’s Encrypt gibi hizmetler ücretsiz DV sertifikası sunar ve birçok hosting firması bunları otomatik olarak sağlar. Ücretsiz sertifika da doğru yapılandırıldığında HTTPS bağlantısı için kullanılabilir. OV veya EV gibi kuruluş doğrulama ihtiyaçlarında ticari sertifika seçenekleri değerlendirilebilir.

HTTPS’e geçince sitem otomatik olarak güvenli olur mu? Hayır. HTTPS, aktarım sırasındaki bağlantıyı korur; web uygulamasındaki güvenlik açıklarını, zayıf parolaları, kötü amaçlı dosyaları veya sunucu hatalarını tek başına çözmez. Güncel yazılım, güçlü erişim denetimleri, yedekleme ve güvenlik izleme de gerekir.