SSL sertifikası, web sitenizin kimliğini doğrulayan ve tarayıcı ile sunucu arasındaki trafiği şifreleyen dijital bir belgedir. Adres çubuğunda "https://" görüyorsanız, arka planda bir sertifika çalışıyor demektir: ziyaretçinin girdiği şifre, kart bilgisi ya da iletişim formundaki telefon numarası yolda okunamaz ve değiştirilemez. Bugün kullanılan protokolün asıl adı TLS'dir; "SSL" adı alışkanlıktan yaşamaya devam ediyor. Bu yazıda sertifika türlerini (DV, OV, EV, wildcard), ücretsiz Let's Encrypt'i, kurulum ve yenileme adımlarını ve HTTPS yönlendirmesini bir terimler sözlüğü eşliğinde anlatıyoruz.
SSL Sertifikası Nasıl Çalışır?
Bir ziyaretçi https://ornekfirma.com.tr adresine girdiğinde, tarayıcı ile sunucu milisaniyeler içinde bir "el sıkışma" yapar. Sunucu sertifikasını gösterir; tarayıcı bu sertifikanın güvendiği bir sertifika otoritesi (CA) tarafından imzalanıp imzalanmadığını, süresinin geçip geçmediğini ve gerçekten bu alan adına ait olup olmadığını kontrol eder. Her şey yolundaysa iki taraf, yalnızca o oturuma özel şifreleme anahtarları üzerinde anlaşır ve veri alışverişi başlar.
Sertifika üç şeyi garanti eder:
- Şifreleme: Aradaki trafik, aynı kablosuz ağdaki biri ya da yol üzerindeki bir cihaz tarafından okunamaz.
- Bütünlük: Veri yolda değiştirilirse bağlantı bozulur; araya reklam ya da zararlı kod sıkıştırılamaz.
- Kimlik: Ziyaretçi, gerçekten o alan adının sunucusuyla konuştuğundan emin olur.
Sertifika, sitenin içeriğinin güvenilir olduğunu garanti etmez. Bir oltalama sitesi de ücretsiz sertifika alıp kilit simgesi gösterebilir. Kilit "bağlantı güvenli" demektir, "site dürüst" demek değildir.
Sertifika Türleri: Doğrulama Seviyesine Göre
| Tür | Ne doğrulanır? | Süreç | Kimler için uygun? |
|---|---|---|---|
| DV (Domain Validation) | Yalnızca alan adı üzerindeki kontrol | Otomatik, dakikalar içinde | Kurumsal siteler, bloglar, çoğu e-ticaret sitesi |
| OV (Organization Validation) | Alan adı + kurumun varlığı | Kurum belgeleri ve iletişim doğrulaması, birkaç gün | Sertifika detayında şirket adının görünmesini isteyen kurumlar |
| EV (Extended Validation) | Alan adı + kurum + ayrıntılı yasal ve fiziksel doğrulama | En kapsamlı süreç | Kurumsal politika ya da sözleşme gereği isteyenler |
Üç türün şifreleme gücü aynıdır. Fark, sertifikanın içinde kurumunuz hakkında ne kadar doğrulanmış bilgi bulunduğudur. Eskiden EV sertifikaları adres çubuğunda yeşil şirket adı gösteriyordu; büyük tarayıcılar bu özel gösterimi kaldırdı. Bu yüzden EV'nin ziyaretçi gözünde görünür bir avantajı kalmadı; bazı bankacılık ya da kurumsal tedarik süreçlerinde politika gereği istenmesi dışında çoğu işletme için DV yeterlidir.
Kapsama Göre Türler: Tek Alan Adı, Wildcard, Çoklu Alan Adı
- Tek alan adı: Yalnızca belirli bir adı kapsar, örneğin
ornekfirma.com.trve çoğu zamanwww.ornekfirma.com.tr. - Wildcard (joker):
*.ornekfirma.com.trbiçiminde yazılır ve aynı seviyedeki tüm alt alan adlarını kapsar:panel.,destek.,magaza.gibi. İki seviye aşağıyı (test.panel.ornekfirma.com.tr) kapsamaz ve çıplak alan adını ayrıca eklemek gerekir. - Çoklu alan adı (SAN / UCC): Tek sertifikada birbirinden farklı alan adlarını listeler, örneğin
ornekfirma.com.tr,ornekfirma.comveornekmarka.com.
Wildcard pratik görünse de güvenlik açısından bir bedeli vardır: Aynı özel anahtar birçok sunucuda kullanılırsa, birinin ele geçirilmesi tüm alt alan adlarını etkiler. Alt alan adları farklı sunucularda çalışıyorsa her biri için ayrı sertifika almak çoğu zaman daha sağlıklıdır.
Terimler Sözlüğü
TLS (Transport Layer Security)
SSL'in yerini alan güncel protokol. Bugün sunucularda TLS 1.2 ve TLS 1.3 etkin olmalı; SSL 3.0, TLS 1.0 ve 1.1 gibi eski sürümler kapatılmalıdır. "SSL sertifikası" dediğimiz belge aslında TLS ile kullanılan bir X.509 sertifikasıdır.
Sertifika otoritesi (CA)
Sertifikaları imzalayan ve tarayıcıların güven listesinde yer alan kuruluş. CA'ların uyması gereken kurallar CA/Browser Forum'un temel gereksinimlerinde tanımlanır.
Özel anahtar ve CSR
Sertifika talebi oluşturulurken sunucuda bir anahtar çifti üretilir. Özel anahtar sunucuda kalır ve asla paylaşılmaz; CSR (Certificate Signing Request) ise açık anahtarı ve alan adı bilgisini içeren, CA'ya gönderilen taleptir. Özel anahtarı e-postayla gönderen ya da herkese açık bir klasörde tutan kurulumlar ciddi risk taşır.
Ara sertifika ve sertifika zinciri
CA'lar sertifikaları genellikle doğrudan kök sertifikayla değil, bir ara sertifikayla imzalar. Sunucunun kendi sertifikasıyla birlikte ara sertifikayı da sunması gerekir. Zincir eksikse bazı tarayıcılar ve özellikle mobil uygulamalar ile API istemcileri "güvenilmeyen sertifika" hatası verir, masaüstü tarayıcınızda ise her şey normal görünebilir.
Let's Encrypt
Ücretsiz, otomatik DV sertifika veren, kâr amacı gütmeyen bir sertifika otoritesi. Varsayılan sertifika ömrü 90 gündür ve yenilemenin otomatik yapılması beklenir. Let's Encrypt, varsayılan ömrü önümüzdeki yıllarda kademeli olarak 45 güne indireceğini duyurdu.
ACME
Sertifika talep etme, alan adı kontrolünü kanıtlama ve yenileme işlemlerini otomatikleştiren protokol. Certbot, acme.sh ve kontrol panellerinin "AutoSSL" özellikleri ACME istemcisidir.
HTTP-01 ve DNS-01 doğrulaması
Let's Encrypt dokümantasyonuna göre HTTP-01'de istemci, sunucunuzda /.well-known/acme-challenge/ altında bir dosya yayınlar ve CA bunu 80 numaralı port üzerinden okur; en yaygın yöntemdir ama wildcard sertifika veremez. DNS-01'de ise _acme-challenge adlı bir TXT kaydı oluşturulur; wildcard için gereken yöntem budur ve otomasyon için DNS sağlayıcınızın API desteği gerekir.
HTTPS yönlendirmesi (301)
Sitenin http:// sürümüne gelen her isteği kalıcı olarak https:// sürümüne gönderen kural. Tek bir standart adres (ör. https://www.ornekfirma.com.tr) seçilmeli; dört varyasyonun (http/https, www'li/www'siz) tamamı bu adrese tek adımda yönlenmelidir.
HSTS
Strict-Transport-Security başlığı, tarayıcıya "bu siteye belirli bir süre boyunca yalnızca HTTPS ile bağlan" talimatı verir. MDN'ye göre başlık yalnızca HTTPS üzerinden gönderildiğinde dikkate alınır; includeSubDomains tüm alt alan adlarını kapsar, preload ise en az bir yıllık max-age ve includeSubDomains gerektirir. Bütün alt alan adlarınız HTTPS'e hazır olmadan includeSubDomains ve preload eklemeyin; geri almak zaman alır.
Karışık içerik (mixed content)
HTTPS sayfasının içinde HTTP üzerinden yüklenen görsel, betik ya da stil dosyası. Tarayıcılar karışık betikleri engeller, görsellerde ise uyarı gösterir veya otomatik yükseltmeye çalışır. HTTPS'e geçişten sonra kırık görünen sayfaların çoğunda sebep budur.
CAA kaydı
Alan adınız için hangi sertifika otoritelerinin sertifika verebileceğini belirten DNS kaydı. Örneğin yalnızca Let's Encrypt kullanıyorsanız ornekfirma.com.tr. CAA 0 issue "letsencrypt.org" kaydı, başka bir CA'nın sizin adınıza sertifika vermesini engeller.
Sertifika şeffaflığı (CT)
Herkese açık sertifikalar, kamuya açık kayıt defterlerine (CT log) işlenir. Bu sayede alan adınız için sizden habersiz sertifika verilip verilmediğini izleyebilirsiniz. Bunun bir yan etkisi de alt alan adlarınızın bu kayıtlarda görünür olmasıdır; "gizli" test ortamlarına herkese açık sertifika almak, onları gizli olmaktan çıkarır.
SNI
Aynı IP adresinde birden fazla HTTPS sitesinin çalışmasını sağlayan TLS uzantısı. Paylaşımlı hosting'de her siteye ayrı sertifika takılabilmesinin nedeni budur.
Sertifika Süreleri Kısalıyor: Otomasyon Artık Şart
Ücretli sertifikaların uzun yıllar boyunca bir yıldan biraz fazla geçerliliği vardı ve yılda bir elle yenilemek yeterliydi. Bu dönem kapanıyor. CA/Browser Forum'da kabul edilen SC-081 oylamasıyla azami sertifika süresi kademeli olarak kısalıyor: 15 Mart 2026'dan itibaren verilen sertifikalar en fazla 200 gün geçerli olabiliyor; takvime göre sonraki adımlarda süre 100 güne ve nihayetinde Mart 2029'da 47 güne iniyor. Alan adı doğrulamasının yeniden kullanılabileceği süreler de aynı takvimle kısalıyor.
Bunun pratik sonucu şu: Sertifikayı takvime not edip elle yenilemek sürdürülebilir olmaktan çıkıyor. Let's Encrypt da süre dolmadan önce gönderdiği hatırlatma e-postalarını 2025'te sonlandırdı; yani "nasılsa mail gelir" güvencesi de yok. Yenilemenin tamamen otomatik olması ve otomasyonun ayrıca izlenmesi gerekiyor.
Kurulum: Ortamınıza Göre Üç Senaryo
Paylaşımlı hosting ve kontrol paneli
cPanel, Plesk ve benzeri panellerin çoğunda "AutoSSL" ya da "Let's Encrypt" bölümü bulunur. Alan adınızın DNS kayıtları bu sunucuyu gösteriyorsa sertifika birkaç dakika içinde otomatik alınır ve yenilenir. Kontrol etmeniz gerekenler: www dahil tüm adların kapsamda olması, panelde "HTTPS'e zorla" seçeneğinin açılması ve e-posta ile panel alt alan adlarının da sertifikaya dahil edilmesi.
VPS ya da kendi sunucunuz
Nginx ya da Apache çalışan bir sunucuda Certbot gibi bir ACME istemcisi kurulur, sertifika alınır ve istemci yenileme için bir zamanlayıcı ekler. Kurulumdan sonra yenilemenin gerçekten çalıştığını kuru çalıştırma (dry run) ile test edin ve yenileme sonrası web sunucusunun yeniden yüklendiğinden emin olun. 80 numaralı portu güvenlik duvarında kapatmak HTTP-01 doğrulamasını bozar; Let's Encrypt de bu portun açık tutulmasını öneriyor. Hangi hosting modelinin ne kadar yönetim yükü getirdiğini hosting türleri karşılaştırmamızda anlattık.
Cloudflare gibi bir ara katman kullanıyorsanız
Ziyaretçi ile Cloudflare arasındaki sertifikayı Cloudflare yönetir; ancak Cloudflare ile sunucunuz arasındaki bağlantı da şifrelenmelidir. "Flexible" mod bu ikinci bacağı şifresiz bırakır; doğru tercih, sunucuda da geçerli bir sertifika bulunan "Full (strict)" moddur. Ayrıntılar için Cloudflare rehberimize bakabilirsiniz.
Gerçek Kullanım Örnekleri
- Kurumsal tanıtım sitesi: Tek alan adı için DV sertifika, www ve çıplak alan adı dahil. Otomatik yenileme açık, HTTP'den HTTPS'e 301 yönlendirmesi kurulu.
- E-ticaret sitesi: DV sertifika yeterli; ödeme sayfası genellikle ödeme kuruluşunun kendi altyapısında çalışır. Asıl kritik nokta, sitenin tamamının HTTPS olması ve karışık içerik bulunmaması. Yasal sayfalar ve diğer yükümlülükler için e-ticaret yasal gereklilikler yazımıza göz atın.
- Çok sayıda alt alan adı olan SaaS ürünü: Müşteri başına alt alan adı açılıyorsa (
musteri1.ornekuygulama.com) DNS-01 doğrulamalı otomatik wildcard sertifika mantıklıdır. - Mobil uygulamanın API'si:
api.ornekfirma.com.triçin ayrı sertifika; zincirin eksiksiz sunulması ve sertifikanın uygulama içinde sabitlenip sabitlenmediğinin (pinning) yenileme planına dahil edilmesi. - İç ağdaki cihaz panelleri: Yazıcı, NAS ya da kamera kayıt cihazının yönetim arayüzü genellikle kendinden imzalı sertifikayla gelir. Bu cihazlar internete açılmamalı; erişim VPN üzerinden yapılmalı.
HTTPS'e Geçişte SEO ve Kontrol Listesi
HTTP'den HTTPS'e geçiş teknik olarak bir adres değişikliğidir. Doğru yapılmazsa arama sonuçlarında geçici dalgalanmalar ve kopya içerik sorunları yaşanabilir.
- Tüm sayfaları tek adımda, kalıcı (301) yönlendirme ile HTTPS sürümüne gönderin; yönlendirme zinciri oluşturmayın.
- Kanonik etiketlerini, site haritasını ve iç linkleri HTTPS adresleriyle güncelleyin.
- Sayfa kaynaklarında
http://ile başlayan görsel, betik ve stil adreslerini temizleyin. - Search Console'da HTTPS mülkünün doğrulandığından emin olun; kapsama ve sayfa deneyimi raporlarını izleyin. Rapor okumayı Search Console rehberimizde anlattık.
- Tüm adımlar oturduktan sonra HSTS başlığını kısa bir
max-ageile ekleyip kademeli olarak uzatın.
Taşıma sırasında kontrol edilecek diğer teknik maddeler teknik SEO kontrol listemizde yer alıyor. Formlarınızda kişisel veri topluyorsanız HTTPS, KVKK açısından da teknik tedbirlerin en temel parçasıdır; ilgili diğer maddeler için KVKK uyumlu web sitesi kontrol listesine bakabilirsiniz.
Sık Sorulan Sorular
Ücretsiz SSL sertifikası ücretliden daha mı az güvenli?
Hayır. Let's Encrypt'in DV sertifikası ile ücretli bir DV sertifikası aynı düzeyde şifreleme sağlar. Ücretli sertifikalarda fark; OV/EV doğrulaması, garanti paketleri, destek ve bazen daha uzun yönetim kolaylığıdır.
Sertifikanın süresi dolarsa ne olur?
Tarayıcılar ziyaretçiye tam sayfa bir güvenlik uyarısı gösterir; çoğu kişi bu noktada siteyi terk eder. API'ye bağlanan mobil uygulamalar ve entegrasyonlar ise tamamen çalışmayı bırakabilir. Otomatik yenileme ve bitiş tarihi izleme bu yüzden kritik.
Wildcard sertifika için Let's Encrypt kullanabilir miyim?
Evet, ancak yalnızca DNS-01 doğrulamasıyla. Otomatik yenileme için DNS sağlayıcınızın API desteği ve bu API anahtarının sunucuda güvenli biçimde saklanması gerekir.
Sitemde form yoksa da SSL gerekir mi?
Evet. Tarayıcılar HTTP sitelerini "güvenli değil" olarak işaretler; ayrıca şifresiz trafik, ara cihazların sayfaya içerik eklemesine açıktır. Modern tarayıcı özelliklerinin birçoğu da yalnızca güvenli bağlamda çalışır.
Sertifikamın düzgün kurulduğunu nasıl kontrol ederim?
Tarayıcıda kilit simgesine tıklayıp sertifika ayrıntılarını ve geçerlilik tarihini görün. Daha kapsamlı kontrol için çevrimiçi TLS test araçları; zincir eksikliğini, eski protokolleri ve zayıf şifre takımlarını raporlar.
E-posta sunucum için de sertifika gerekir mi?
Kendi posta sunucunuzu işletiyorsanız evet; SMTP, IMAP ve POP3 bağlantıları da TLS ile korunmalıdır. Google Workspace ya da Microsoft 365 kullanıyorsanız bu kısım sağlayıcı tarafından yönetilir.
Yeni bir sertifika aldım ama hâlâ "güvenli değil" uyarısı görüyorum. Neden?
En sık iki neden var: sayfada HTTP üzerinden yüklenen karışık içerik ya da sertifikanın kapsamadığı bir adres (ör. www'siz sürüm). Tarayıcının geliştirici araçlarındaki konsol, hangi kaynağın sorun çıkardığını gösterir.
Sonuç
SSL sertifikası artık bir "ek özellik" değil, her web sitesinin temel altyapısıdır. Çoğu işletme için doğru tercih otomatik yenilenen bir DV sertifikası; asıl iş, kurulumdan sonra yenilemenin, yönlendirmelerin ve HSTS ayarlarının doğru kurgulanması. Sertifika sürelerinin kısalmasıyla birlikte otomasyon ve izleme her zamankinden önemli. Sertifika, DNS ve sunucu yapılandırmasının sizin yerinize kurulup takip edilmesini istiyorsanız IT hizmetlerimize, HTTPS geçişini sitenin yeniden yapılandırılmasıyla birlikte planlıyorsanız web geliştirme sayfamıza göz atın. Sitenizin mevcut durumunu birlikte kontrol etmek için bize yazın.
