SSL, bir web tarayıcısı ile sitenin barındırıldığı sunucu arasındaki veri trafiğini şifreleyen güvenlik protokolüdür. Günlük konuşmada protokol ile sertifika aynı şey sanılır; oysa SSL bir protokol, sertifika ise o protokolün çalışabilmesi için sunucuya kurulan dosyadır. Protokolün iki işlevi vardır: veriyi şifreler ve bağlandığınız sunucunun gerçekten iddia ettiği site olduğunu doğrular.
Bu noktada, sertifika satın alırken en çok karşılaşılan yanılgıyı baştan düzeltmek gerekir: ücretsiz bir sertifika ile pahalı bir sertifika aynı şifreleme gücünü sağlar. İkisi arasındaki fark şifrelemede değil, sertifikanın neyi doğruladığında ve arkasındaki garantidedir.
Aşağıda SSL bağlantısının nasıl kurulduğunu, TLS ile arasındaki farkı, sertifikanın neyi doğruladığını, nasıl alınıp sunucuya kurulduğunu ve süresinin neden dolduğunu sırayla açıklıyoruz.
SSL nedir ve ne işe yarar?
SSL, bir web tarayıcısı ile sitenin barındırıldığı sunucu arasındaki veri trafiğini şifreleyen güvenlik protokolüdür. Açılımı Secure Sockets Layer’dır ve adresin başındaki https:// ifadesi, o bağlantının bu protokolle korunduğunu gösterir.
Protokol iki ayrı iş yapar. Birincisi şifrelemedir: gönderdiğiniz form verisi, şifreniz ya da kart bilgisi yolda okunamayacak hâle getirilir. Aynı ağa bağlı biri trafiği yakalasa bile eline anlamsız bir veri yığını geçer. İkincisi kimlik doğrulamadır: tarayıcı, bağlandığı sunucunun sunduğu sertifikayı güvenilir bir otoriteye karşı doğrular ve adres çubuğundaki siteyle konuştuğundan emin olur.
İkinci işlev genellikle atlanır ama asıl kritik olan odur. Şifreleme, yanlış kişiyle konuşuyorsanız sizi korumaz; araya giren biri kendi sunucusunu sizin sunucunuz gibi gösterebilseydi, şifreli bağlantı da onunla kurulurdu. Sertifikanın işi tam olarak bunu engellemektir. Adres çubuğundaki kilit simgesi de bu doğrulamanın başarıyla tamamlandığını gösterir; simgenin anlamı “bu site güvenilirdir” değil, “bu bağlantı şifrelidir ve karşı taraf iddia ettiği adrestir” demektir. İki ifade birbirine sık karıştırılır: kilitli bir bağlantı üzerinden dolandırıcı bir site de yayın yapabilir. Bunun nasıl başarıldığı, bağlantının kurulma anında gizlidir.
Sertifikanın güvenilir olmasını sağlayan şey ise bir güven zinciridir. Tarayıcınızda ve işletim sisteminizde, önceden tanınmış kök sertifika otoritelerinin listesi bulunur. Bir sertifika bu otoritelerden biri tarafından ya da onun yetkilendirdiği bir ara otorite tarafından imzalanmışsa geçerli sayılır. Kendi kendinize ürettiğiniz bir sertifikanın tarayıcıda uyarı vermesinin sebebi de budur: şifreleme çalışır, ama imzayı tanıyan kimse yoktur. Bu yüzden yerel geliştirme ortamlarında sık karşılaşılan “bu sertifikaya güvenilmiyor” uyarısı bir arıza değil, zincirin eksik olmasının doğal sonucudur.
SSL bağlantısı nasıl kurulur?
Şifreli bağlantı, el sıkışma (handshake) adı verilen dört adımlı bir alışverişle kurulur:
- Tarayıcı sunucuya bağlanır ve sertifikayı ister. Bağlantı, şifresiz trafiğin kullandığı 80 numaralı port yerine 443 numaralı porttan kurulur.
- Sunucu sertifikasını ve genel anahtarını gönderir. Sertifika, hangi alan adı için düzenlendiğini, geçerlilik tarihini ve kimin imzaladığını içerir.
- Tarayıcı sertifikayı doğrular. İmzayı atan otoritenin, işletim sistemi ve tarayıcıda kayıtlı güvenilir kök otoritelerden biri olup olmadığına bakar; alan adının eşleşip eşleşmediğini ve tarihin geçip geçmediğini kontrol eder.
- İki taraf bir oturum anahtarında anlaşır ve bundan sonraki bütün trafik o anahtarla şifrelenir.
Bu dört adım milisaniyeler içinde tamamlanır ve her yeni bağlantıda tekrarlanır. Doğrulamanın herhangi bir adımında sorun çıkarsa tarayıcı sayfayı göstermez, uyarı ekranı basar.
El sıkışmanın maliyeti de buradan anlaşılır. Her yeni bağlantıda bu alışveriş tekrarlandığı için, çok sayıda küçük istek yapan sayfalarda ek bir gecikme oluşur. Protokolün yeni sürümleri bu maliyeti azaltmak üzere tasarlanmıştır: daha az tur, daha kısa el sıkışma ve daha önce bağlanmış istemciler için oturumu yeniden kullanma imkânı sunar.
SSL ile TLS arasındaki fark nedir?
Bugün kullanılan protokolün adı aslında TLS’tir; SSL adı alışkanlıktan sürmektedir. SSL’in son sürümü olan 3.0’da ciddi güvenlik açıkları bulundu ve protokol terk edildi; yerine geliştirilen sürümler TLS adını aldı. Bugün güncel olan sürümler TLS 1.2 ve TLS 1.3’tür.
Sertifikanın kendisi protokolden bağımsızdır. Yani “SSL sertifikası” diye satın aldığınız dosya, sunucunuzda TLS 1.3 ile çalışır. Sektörde terim değişmediği için ürün adları da SSL olarak kalmıştır; teknik olarak yanlış, pratikte ise anlaşılır bir alışkanlıktır.
Bu ayrımın pratik bir sonucu vardır: sunucunuzda hâlâ eski protokol sürümleri açıksa, güncel tarayıcılar bağlantıyı reddedebilir ya da güvenlik taramalarında uyarı çıkar. Sunucu yapılandırmasında yalnızca TLS 1.2 ve 1.3 sürümlerinin açık bırakılması bugünün standardıdır; daha eski sürümler hem güvenli değildir hem de ödeme altyapılarının uyum şartlarını karşılamaz.
SSL sertifikası neyi doğrular?
Bütün sertifikalar aynı şifrelemeyi sağlar, ama hepsi aynı şeyi doğrulamaz. Doğrulama seviyesi üçe ayrılır:
- DV (Domain Validation). Yalnızca alan adının sizin kontrolünüzde olduğunu doğrular. Doğrulama otomatik yapılır ve dakikalar sürer. Blog, tanıtım sitesi ve çoğu e-ticaret sitesi için yeterlidir.
- OV (Organization Validation). Alan adına ek olarak kurumun ticari kaydı da doğrulanır. Belge istenir, süreç birkaç iş günü sürer. Sertifika ayrıntılarında kurum adı görünür.
- EV (Extended Validation). En kapsamlı doğrulamadır; kurumun hukuki, fiziksel ve operasyonel varlığı incelenir. Banka ve büyük ölçekli finans siteleri tercih eder.
Alt alan adlarının tamamını tek sertifikayla kapsamak isteyenler için wildcard sertifikalar bulunur; bu türün ne zaman anlamlı olduğunu Wildcard SSL Nedir? Ne Zaman Kullanılmalı? yazısında anlattık. Türler arasındaki ayrıntılı karşılaştırma için SSL Çeşitleri Nelerdir? Aralarındaki Farklar Nelerdir? yazısına bakabilirsiniz. Türler arasındaki farkın şifrelemede olmadığını gösteren asıl konu ise şifreleme gücüdür.
256 bit şifreleme ne anlama gelir?
Sertifika satış sayfalarında sıkça görülen “256 bit şifreleme” ifadesi, sertifikanın kalitesini değil, oturum sırasında kullanılan simetrik şifrenin anahtar uzunluğunu anlatır. Bu anahtar, el sıkışma sırasında iki tarafın anlaşarak ürettiği geçici anahtardır ve sertifikanın markasıyla ilgisi yoktur.
Sonuç şudur: ücretsiz bir sertifikayla korunan bir site ile yıllık ücret ödenen bir sertifikayla korunan site, aynı gücü kullanır. Fark yalnızca doğrulama seviyesinde, sigorta ve garanti kapsamında ve destek hizmetindedir. Bu ayrımı bilmek, gereksiz sertifika masrafından korur.
Aynı mantık “askeri düzeyde şifreleme” gibi pazarlama ifadeleri için de geçerlidir. Şifrelemenin gücü sertifikayı satan firmadan değil, sunucu ile tarayıcının anlaştığı algoritmadan gelir; bu anlaşma da sunucunun yapılandırmasına bağlıdır. Yani şifreleme kalitesini yükseltmek istiyorsanız bakmanız gereken yer sertifikanın fiyatı değil, sunucunuzun hangi TLS sürümlerini ve şifre takımlarını desteklediğidir.
SSL sertifikası nasıl alınır?
Sertifikaya üç yoldan sahip olunur:
- Barındırma paketine dahil ücretsiz sertifika. Çoğu sağlayıcı paketlerinde otomatik kurulan bir sertifika sunar; kullanıcı hiçbir işlem yapmadan site
https://ile açılır. - Sağlayıcıdan ticari sertifika satın alma. Kurum doğrulaması ya da garanti gerektiğinde tercih edilir.
- Kendi sunucusuna doğrudan kurma. Kendi sanal ya da fiziksel sunucusunu yöneten kullanıcılar sertifikayı doğrudan otoriteden alıp kurar.
Ticari sertifikanın alınma süreci dört adımdan oluşur: sunucuda bir CSR (sertifika imza isteği) oluşturulur, bu istek otoriteye gönderilir, otorite alan adı sahipliğini doğrular, doğrulama tamamlanınca sertifikayı imzalayıp geri gönderir. Son adımda dosya sunucuya kurulur. Fiyatlar doğrulama seviyesine ve garanti tutarına göre değişir; güncel seçenekler için SSL Sertifikaları sayfasına bakabilirsiniz.
Doğrulama adımının nasıl yapıldığı da bilinmeye değer. Otorite, alan adının gerçekten sizde olduğunu üç yoldan biriyle kontrol eder: alan adının kayıtlı e-posta adresine bir bağlantı gönderir, DNS kayıtlarına belirli bir metin eklemenizi ister ya da sunucunuzda belirli bir dosyayı görmeyi bekler. Üçü de aynı soruyu sorar: bu alan adının kayıtlarına ve sunucusuna gerçekten erişebiliyor musunuz? Ücretsiz sertifikalarda bu doğrulama panel tarafından otomatik yapılır ve kullanıcı fark etmez.
Ücretsiz SSL sertifikası yeterli midir?
Evet, çoğu site için yeterlidir. Ücretsiz sertifika aynı şifrelemeyi sağlar ve tarayıcıda aynı kilit simgesini gösterir; blog, kurumsal tanıtım sitesi ve küçük ile orta ölçekli e-ticaret siteleri için gereken korumayı verir.
Yetersiz kaldığı iki durum vardır. Birincisi, kurum kimliğinin sertifika ayrıntılarında görünmesi gerektiğinde; ücretsiz sertifikalar yalnızca alan adı doğrulaması yapar. İkincisi, bir güvenlik olayı hâlinde maddi garanti aranıyorsa; ücretsiz sertifikalar garanti kapsamı sunmaz. Bu iki durumun dışında ek ödeme yapmanın teknik bir karşılığı yoktur.
Ücretsiz sertifikanın gerçek dezavantajı fiyatta değil işletimdedir: geçerlilik süresi kısa olduğu için yenilemenin aksamaması gerekir. Otomatik yenileme çalışmıyorsa site üç ayda bir aniden güvensiz görünür ve bunun fark edilmesi genellikle ziyaretçi şikâyetiyle olur. Bu yüzden ücretsiz sertifika kullanan sitelerde yenilemenin çalıştığını yılda bir kez doğrulamak iyi bir alışkanlıktır. Ayrıntılar için Ücretsiz SSL Nedir? Nasıl Alınır ve Ne Zaman Yeterli Olur? yazısına bakabilirsiniz.
SSL sertifikası sunucuya nasıl kurulur?
Sertifika, sunucuya üç yoldan kurulur ve hangisini kullanacağınız paketinize bağlıdır:
- Panelden otomatik kurulum. Panel, Let’s Encrypt üzerinden sertifikayı kendisi alır, kurar ve 90 günde bir otomatik yeniler. Kullanıcının yapması gereken tek şey özelliğin açık olduğunu doğrulamaktır.
- Panelden manuel kurulum. Satın alınan sertifikanın metni, panelin SSL/TLS bölümündeki alanlara yapıştırılır. Sertifika, özel anahtar ve ara sertifika (CA bundle) olmak üzere üç parça istenir; ara sertifikanın atlanması, sitenin bazı cihazlarda güvensiz görünmesinin en sık sebebidir.
- Sağlayıcıya kurdurma. Kendi sunucusu olmayan ve panelde işlem yapmak istemeyen kullanıcılar için sağlayıcı kurulumu üstlenir.
Panelin SSL bölümünün nerede olduğunu cPanel Nedir? Ne İşe Yarar ve Hosting Hesabı Nasıl Yönetilir? yazısında, otomatik kurulum ve yenilemenin adımlarını Let’s Encrypt Nedir? cPanel ve Plesk’te SSL Kurulumu ve Yenileme yazısında bulabilirsiniz. Sertifika kurulduktan sonra iş bitmez; sitenin şifreli adrese taşınması gerekir.
WordPress sitesinde SSL nasıl etkinleştirilir?
WordPress’te sertifikanın kurulması tek başına yetmez; sitenin de kendini https:// üzerinden tanıması gerekir. Üç adım vardır:
- Sertifikayı kurun ve
https://alanadi.comadresinin açıldığını doğrulayın. - WordPress adreslerini güncelleyin. Ayarlar bölümündeki site adresi ve WordPress adresi alanları
https://ile başlamalıdır. - HTTP’den HTTPS’e yönlendirmeyi açın ki eski bağlantılar da şifreli adrese gitsin.
Bu noktada karşınıza çıkacak kavram karışık içeriktir (mixed content): sayfa https:// üzerinden açılırken içindeki bir görsel ya da betik http:// adresinden çağrılırsa tarayıcı kilidi kırar ve uyarı verir. Çözüm bir eklenti kurmak değil, veri tabanında kayıtlı eski adreslerin düzeltilmesidir; eklentiler bu adresleri yalnızca görüntüleme anında düzeltir, kaynağı düzeltmez. Sitede yıllardır biriken yazılarda görsel bağlantıları http:// olarak kayıtlıysa, kalıcı çözüm veri tabanında toplu adres değişimidir ve bu işlem öncesinde yedek almak şarttır. WordPress’in barındırma tarafındaki gereksinimleri için WordPress Hosting Nedir? Web Hosting ile Farkı Nedir? yazısına bakabilirsiniz.
Sertifika kuruldu ama site hâlâ “güvenli değil” gösteriyorsa ne yapılmalı?
Bu durumda sertifika çalışıyor, ancak sayfada onu geçersiz kılan bir şey var demektir. Dört yaygın sebep şunlardır:
- Karışık içerik. Sayfa içinde
http://ile çağrılan bir kaynak vardır. - Yönlendirme kapalıdır. Site hem
http://hemhttps://üzerinden açılıyordur ve ziyaretçi şifresiz sürüme düşüyordur. - Sertifika
wwwsürümünü kapsamıyordur.alanadi.comiçin alınan sertifika,www.alanadi.comadresini kapsamaz. - Tarayıcı önbelleği eskidir. Sertifika yenilendiği hâlde tarayıcı eski kaydı gösteriyordur.
Hatanın sunucu tarafındaki karşılıklarını ve çözüm adımlarını SSL Hatası Nedir? Nedenleri ve Sunucu Tarafında Çözümü yazısında ayrıntılı olarak anlattık.
SSL sertifikasının süresi neden dolar?
SSL sertifikaları süresizdir diye bir şey yoktur; her sertifikanın bir geçerlilik tarihi vardır ve tarih dolduğunda tarayıcı sertifikayı reddeder.
Bunun sebebi güvenliktir. Bir sertifikanın özel anahtarı ele geçirilirse, saldırgan o anahtarla sizin siteniz gibi görünebilir. Sertifika ömrünün kısa tutulması, böyle bir durumda zararın süresini sınırlar: çalınan anahtar en fazla kalan geçerlilik süresi kadar işe yarar. Ticari sertifikalar bugün en fazla 398 gün için düzenlenir, Let’s Encrypt sertifikaları ise 90 gün geçerlidir.
Kısa ömrün pratikte sorun çıkarmamasının sebebi otomatik yenilemedir. Panel, sertifikanın bitiş tarihi yaklaştığında yenileme isteğini kendisi gönderir. Bu işi yapan şey sunucuda tanımlı bir zamanlanmış görevdir; yani sertifikanın süresi dolmadan yenilenmesi, sunucunun düzenli aralıklarla çalıştırdığı bir komutun sonucudur. Zamanlanmış görevlerin nasıl çalıştığını Cron Job Nedir? Nasıl Oluşturulur ve Yönetilir? yazısında bulabilirsiniz.
SSL hakkında sık sorulan sorular
SSL sitemin SEO performansını etkiler mi?
Evet, ancak küçük ölçüde. HTTPS bir sıralama sinyalidir ve bu açıkça duyurulmuştur; fakat etkisi küçüktür ve içerik kalitesinin yerini tutmaz. “SSL kurunca sıralamam yükselir” beklentisi gerçekçi değildir.
Asıl kazanç başka yerdedir: modern tarayıcılar HTTPS kullanmayan sitelerde adres çubuğunda “Güvenli değil” uyarısı gösterir. Bu uyarı, ziyaretçiyi sıralamadan çok daha doğrudan kaybettirir. Yani SSL’in değeri arama motorunda değil, ziyaretçinin ekranındadır.
Dolaylı bir etkisi daha vardır. HTTPS’e geçerken yönlendirmeler yanlış kurulursa aynı içerik hem şifreli hem şifresiz adresten erişilebilir hâle gelir ve arama motoru iki ayrı sayfa görür. Bu durumda kayıp SSL’den değil, eksik yönlendirmeden kaynaklanır; geçişten sonra bütün trafiğin tek bir adrese toplandığını doğrulamak gerekir.
SSL sitemi yavaşlatır mı?
Hayır. El sıkışma bağlantı başına ek bir adım getirir, ama TLS 1.3 bu adımı belirgin biçimde kısaltmıştır. Üstelik HTTPS, HTTP/2 protokolünün kullanılabilmesinin ön koşuludur ve HTTP/2 aynı bağlantı üzerinden paralel aktarım yaparak sayfa yüklemesini hızlandırır. Çoğu sitede net etki hız lehinedir. Sayfa hızını asıl belirleyen katmanları Cache Nedir? Hostingte Cache Katmanları Nasıl Çalışır? yazısında anlattık.
Her sitede SSL zorunlu mudur?
Evet. Form, giriş ya da ödeme almayan bir tanıtım sitesinde bile zorunludur, çünkü tarayıcı uyarısı ziyaretçiyi kaybettirir ve site profesyonellikten uzak görünür. Kişisel veri toplayan sitelerde ise bu yalnızca bir tercih değil, veri güvenliği yükümlülüğünün doğrudan gereğidir.
Hangi SSL sertifikası bana uygun?
Karar üç soruyla verilir. Siteniz ödeme ya da kişisel veri alıyor mu? Kurum kimliğinizin sertifikada görünmesi gerekiyor mu? Alt alan adlarınızın da kapsanması gerekiyor mu?
Üçüne de “hayır” diyorsanız barındırma paketinize dahil ücretsiz sertifika yeterlidir. Kurum kimliği gerekiyorsa OV, alt alan adları gerekiyorsa wildcard sertifika devreye girer. Sertifikanın hangi pakette hazır geldiğini ve ticari seçenekleri SSL Sertifikaları sayfasından, paket kaynaklarını Limitsiz Web Hosting Çözümleri sayfasından inceleyebilirsiniz.
