Web Sitesi İçin SSL Sertifikası ve HTTPS: Ne İşe Yarar, Nasıl Kontrol Edilir?

SSL sertifikası, sitenizle ziyaretçinin tarayıcısı arasındaki bağlantıyı koruyan ve sitenizin gerçekten sizin sitenizin olduğunu doğrulayan dijital bir belgedir. Bu belge sayesinde adres "http" yerine "https" ile başlar. Çoğu işletme sahibi bu konuyla ilk kez bir tarayıcı uyarısıyla karşılaşınca ilgilenir: "güvenli değil" ifadesi görmek, siteye ya da işletmeye güveni hemen zedeler. Bu yazı SSL'in ne olduğunu, sitenizde nasıl kontrol edeceğinizi ve en sık görülen uyarıların ne anlama geldiğini anlatıyor.

SSL adımının web sitesi kurma sürecindeki yeri için web sitesi nasıl oluşturulur rehberine bakabilirsiniz. Burada yalnızca SSL ve HTTPS konusunu ayrıntılı ele alıyoruz.

Kısa cevap: SSL ve HTTPS nedir, neden gerekli?

MDN'e göre TLS, bir istemcinin güvenli olmayan bir ağ üzerinden bir sunucuyla güvenle iletişim kurmasını sağlayan bir protokoldür ve web'de HTTP bağlantılarını korumak için kullanılır; ortaya çıkan protokole HTTPS denir. Protokol bağlantıyı üç yolla korur:

• Şifreleme: ziyaretçi ile site arasında gidip gelen veri yolda okunamaz.
• Bütünlük: veri yolda fark edilmeden değiştirilemez.
• Kimlik doğrulama: sunucu, söylediği sunucu olduğunu kanıtlayabilir.

Bu yüzden MDN, tüm sitelerin bütün sayfalarını ve alt kaynaklarını HTTPS üzerinden sunması gerektiğini belirtir. Yani yalnızca ödeme ya da giriş sayfası olan siteler değil, tanıtım sitesi de HTTPS kullanmalıdır. İletişim formunuz varsa ziyaretçinin yazdığı ad, telefon ve mesaj da bu bağlantıdan geçer.

Tarayıcıda nasıl anlaşılır?

SSL'in çalışıp çalışmadığını anlamak için teknik bilgi gerekmez. Tarayıcınızın adres çubuğuna bakın:

• Adres "https" ile başlıyorsa bağlantı HTTPS üzerinden kurulmuştur.
• Adres çubuğunda "güvenli değil" gibi bir uyarı varsa ya da tarayıcı sayfayı açmadan önce bir uyarı ekranı gösteriyorsa bağlantıda sorun vardır.
• Adres çubuğundaki simgeye tıklayarak sertifikanın hangi alan adı için verildiğini ve ne zamana kadar geçerli olduğunu görebilirsiniz; ayrıntı ekranı tarayıcıdan tarayıcıya biraz değişir.

Tarayıcıların uyarıyı gösterme biçimi zamanla ve tarayıcıya göre değişebilir. Bu yüzden belirli bir simgeyi aramak yerine şu soruyu sorun: tarayıcı sitemi güvenli olarak mı gösteriyor, yoksa bir şey uyarıyor mu?

SSL ile TLS farkı

İki terim aynı konuyu anlatır. MDN'in ifadesiyle SSL, TLS'in öncülüdür; yani eski protokoldür. Bugün kullanılan protokol TLS'tir, ama "SSL sertifikası" ifadesi hem satış sayfalarında hem günlük konuşmada yerleşmiş olduğu için hâlâ yaygın biçimde kullanılır. Bir sağlayıcı "SSL sertifikası" derken kastettiği şey, siteniz için TLS bağlantısını mümkün kılan sertifikadır. Bilmeniz gereken tek şey bu: ikisi arasında seçim yapmanız gerekmez.

Sertifika neye bağlıdır?

MDN'e göre sunucu kimliğini kanıtlamak için sitenizin dijital bir sertifikası olmalıdır; sertifika, sitenin anahtarlarını alan adına bağlar. Bundan iki pratik sonuç çıkar:

• Sertifika bir alan adı için verilir. Sitenizi başka bir alan adına bağladığınızda, o alan adı için de sertifika gerekir.
• Sertifikayı alan adının sahibi alabilir. Let's Encrypt'in anlattığı süreçte sertifika otoritesi, önce sunucunun alan adını denetlediğini kanıtlamasını ister; bu genellikle alan adına bir DNS kaydı eklemek ya da belirli bir adreste bir dosya yayınlamak biçiminde yapılır.

Ücretsiz ve ücretli sertifika

Sertifikayı sertifika otoriteleri verir. Let's Encrypt, kendi tanımıyla ücretsiz, otomatik ve açık bir sertifika otoritesidir ve kâr amacı gütmeyen bir kuruluş tarafından işletilir; alan adı sahiplerine güvenilir sertifikaları ücretsiz verir. MDN de Let's Encrypt'i yaygın kullanılan, ücretsiz TLS sertifikası veren bir otorite olarak anar.

MDN'in anlattığı üç koruma, sertifikanın ücretli ya da ücretsiz olmasına göre tanımlanmaz. Ücretli bir sertifika için ödeme yapmayı düşünüyorsanız, ücretsiz seçeneğe ek olarak tam olarak ne aldığınızı sağlayıcıya sorun ve yazılı olarak netleştirin. Hangi sertifikanın sizin durumunuza uyduğuna, siteyi yönettiğiniz sağlayıcıyla birlikte karar verin.

Yenileme ve süresi dolma

Sertifika sonsuza kadar geçerli kalmaz; süresi dolmadan yenilenmesi gerekir. Let's Encrypt'in anlattığına göre yenileme, ilk kurulumdaki sürecin tekrarıdır: alan adının denetimi yeniden doğrulanır ve yeni sertifika istenir. Aynı belge, sürecin amacını insan müdahalesi olmadan, otomatik olarak güvenilir sertifika alınabilmesi olarak tanımlar.

Sertifikanın süresi dolarsa sunucu, kimliğini geçerli bir sertifikayla kanıtlayamaz; tarayıcılar bu durumda genellikle ziyaretçiyi uyarır. Bu yüzden yenilemenin otomatik olup olmadığını öğrenmek önemlidir. Yenilemeyi kendiniz yapıyorsanız takvime yazın; sağlayıcı yapıyorsa bunun nasıl çalıştığını ve başarısız olursa size nasıl haber verileceğini sorun.

Sık görülen uyarılar ve çözümü

MDN, karma içeriğe karşı da tüm alt kaynakların HTTPS üzerinden yüklenmesini öğütler. Tek bir güvensiz kaynak, güvenli bağlantının sağladığı korumayı bozabilir.

Sitenizde HTTPS'i kontrol etmenin adımları

Aşağıdaki sırayı bir kez uygulamak çoğu sorunu yakalar:

1. Ana sayfayı açın ve adres çubuğuna bakın.
2. Adresi "http" ile başlatarak yazın; güvenli adrese yönlendirildiğini görün.
3. "www" olan ve olmayan biçimi ayrı ayrı açın.
4. İletişim, hizmet ve görseli bol bir sayfa dahil sitenin birkaç sayfasını gezin; hiçbirinde uyarı çıkmamalı.
5. Sertifika ayrıntısına bakıp geçerlilik tarihini not edin.
6. Telefonunuzda ve ikinci bir tarayıcıda aynı kontrolü yapın.

Hazır oluşturucuda SSL

Hazır bir oluşturucuda sertifika işini platformun üstlenmesi beklenir, ama bunun nasıl işlediği sağlayıcıdan sağlayıcıya değişir. Site Oluşturucu'nun alan adı ve SSL sayfasına göre SSL sertifikası ücretsizdir; hem site-adiniz.site-olusturucu.com adresinde hem de bağladığınız kendi alan adında geçerlidir. Her site ilk günden HTTPS ile açılır, ücretsiz planda da. Kendi alan adınızı bağlarken sahipliği alan adı sağlayıcınızda bir TXT kaydıyla doğrularsınız, ardından alan adını platform adresine yönlendirirsiniz; sahiplik doğrulandıktan sonra sertifika kendiliğinden kurulur ve siz sertifika kurmak ya da yenilemekle uğraşmazsınız. Adımların tamamı alan adı ve SSL sayfasında anlatılıyor.

Kendi alan adı bağlama Başlangıç planından itibaren mümkündür; ayrıntı için fiyatlar sayfasına bakın. Alan adınız, kayıtlı olduğu firmada kalır. Alan adı ve SSL dışındaki hazırlıklar için web sitesi için neler gerekir yazısı yardımcı olabilir.