SSL Sertifikası Nedir? TLS, Sertifika Türleri ve HTTPS'in Web Sitesi Güvenliğindeki Yeri

SSL sertifikası, bir alan adının kime ait olduğunu doğrulayan ve tarayıcı ile sunucu arasındaki bağlantının şifrelenmesini sağlayan dijital bir belgedir. Sertifika kurulu bir sitede adres https:// ile açılır; formlara yazılan bilgiler, giriş şifreleri ve sayfa içeriği yolda okunamaz ve değiştirilemez hâle gelir. SSL sertifikası nedir sorusunun kısa karşılığı budur, ancak sertifikanın ne yaptığı kadar neyi yapmadığı da önemlidir: şifreli bağlantı, sunucudaki güvenlik açıklarını kapatmaz.

Bu rehberde SSL ile TLS arasındaki fark, DV, OV ve EV sertifika türleri, ücretsiz sertifikaların yeterliliği, 2026’dan itibaren kısalan geçerlilik süreleri, karışık içerik, HSTS ve HTTPS’in Google açısından karşılığı ele alınır. Tarih ve süre bilgileri CA/Browser Forum, Let’s Encrypt, Google ve Chrome’un resmi duyurularına dayanır.

SSL Sertifikası Ne İşe Yarar?

SSL sertifikası bağlantıya üç koruma kazandırır: şifreleme, bütünlük ve kimlik doğrulama. Şifreleme, aynı ağdaki birinin trafiği okumasını engeller; bütünlük, sayfaya yolda reklam, zararlı kod ya da sahte bağlantı eklenmesini önler; kimlik doğrulama ise tarayıcının gerçekten o alan adına ait sunucuyla konuştuğunu teyit eder.

Sertifikayı, tarayıcıların güvendiği bir sertifika otoritesi (CA) düzenler. Otorite, sertifikayı vermeden önce başvuranın alan adını kontrol ettiğini doğrular; bazı sertifika türlerinde buna şirket bilgilerinin kontrolü de eklenir. Tarayıcı her ziyarette sertifikanın süresini, alan adıyla eşleşmesini ve güvenilir bir otoriteye bağlanıp bağlanmadığını denetler.

İletişim formu, üyelik girişi, teklif talebi ya da yönetim paneli bulunan her sitede bu koruma gereklidir. Yalnızca tanıtım amaçlı tek sayfalık bir sitede bile tarayıcı uyarısı ziyaretçinin ilk izlenimini bozar ve yönetim paneline giriş yapılan bağlantıyı açıkta bırakır.

SSL ile TLS Arasındaki Fark Nedir?

Bugün şifreli bağlantıları kuran protokol TLS’tir; “SSL” adı alışkanlıktan dolayı kullanılmaya devam eder. İnternet standartlarını belirleyen IETF, SSL 3.0’ı Haziran 2015’te RFC 7568 ile, TLS 1.0 ve 1.1’i de Mart 2021’de RFC 8996 ile kullanımdan kaldırdı. Güncel sunucular TLS 1.2 ve TLS 1.3 ile çalışır.

Piyasada “SSL sertifikası”, “TLS sertifikası” ya da “HTTPS sertifikası” diye satılan ürün aynı şeydir. Sertifikanın kendisi protokol sürümünü belirlemez; hangi TLS sürümlerinin kabul edileceği sunucu ayarıdır. Eski sürümleri hâlâ kabul eden bir sunucu, geçerli bir sertifikaya rağmen güvenlik taramalarında zayıf not alabilir.

SSL Sertifikası Nasıl Alınır ve HTTPS Adım Adım Nasıl Kurulur?

HTTPS bağlantısı, sayfa içeriği gelmeden önce tarayıcı ile sunucu arasında birkaç milisaniyede tamamlanan bir el sıkışmayla başlar. Süreç kabaca şu sırayla ilerler:

  1. Tarayıcı, alan adına bağlanır ve desteklediği TLS sürümlerini ve şifreleme yöntemlerini bildirir.
  2. Sunucu, kullanılacak yöntemi seçer ve sertifikasını ara sertifikalarla birlikte gönderir.
  3. Tarayıcı, sertifikanın süresinin dolmadığını, adres çubuğundaki alan adını kapsadığını ve zincirin güvendiği bir kök otoriteye ulaştığını kontrol eder.
  4. İki taraf, yalnızca bu oturumda geçerli olacak bir anahtar üzerinde anlaşır.
  5. Sayfa, görseller ve form verileri bu anahtarla şifrelenerek taşınır.

Üçüncü adımdaki kontrollerden biri başarısız olursa tarayıcı tam sayfa bir uyarı gösterir. Süresi geçmiş sertifika, www ile açılan adresi kapsamayan sertifika ya da eksik yüklenmiş ara sertifika bu uyarının en yaygın nedenleridir.

DV, OV ve EV Sertifika Türleri Arasındaki Fark

SSL sertifika türleri şifreleme gücüyle değil, sertifikayı düzenleyen otoritenin başvuranı ne kadar ayrıntılı doğruladığıyla ayrılır. Üç türde de bağlantı aynı güçte şifrelenir; fark, sertifikanın içinde hangi bilginin doğrulanmış olarak yer aldığıdır.

TürNe doğrulanır?Düzenlenme hızıUygun kullanım
DV (Alan Adı Doğrulamalı)Yalnızca alan adının kontrolü (DNS kaydı ya da sunucuya bırakılan dosya ile)Otomatik, dakikalar içindeKurumsal tanıtım siteleri, bloglar, çoğu küçük işletme sitesi
OV (Kuruluş Doğrulamalı)Alan adına ek olarak şirketin adı ve varlığıBelge kontrolü nedeniyle günler sürebilirSertifikada şirket bilgisinin görünmesini şart koşan kurumsal politikalar
EV (Genişletilmiş Doğrulama)En kapsamlı kuruluş kontrolüEn uzun süreçSözleşme ya da denetim gereği EV isteyen kurumlar

Eskiden EV sertifikalı sitelerde adres çubuğunda yeşil şirket adı görünürdü. Chrome, bu göstergeyi 2019’da Chrome 77 ile adres çubuğundan kaldırıp sayfa bilgisi paneline taşıdı; Chrome ekibi araştırmalarında göstergenin kullanıcıları beklendiği gibi korumadığını belirtti. Bu yüzden EV, ziyaretçinin gözünde DV’den farklı bir güven işareti üretmez.

Sayfa İçeriği

Güvenilir web ajansı: el sıkışan müşteri ve ekip, güven kalkanı illüstrasyonu

Ücretsiz SSL Sertifikası Yeterli mi?

Kurumsal tanıtım sitelerinin ve blogların büyük bölümü için ücretsiz bir DV sertifikası teknik olarak yeterlidir. Bu alanın en bilinen sağlayıcısı, kâr amacı gütmeyen bir sertifika otoritesi olan Let’s Encrypt’tir. Let’s Encrypt SSS sayfasına göre kuruluş sertifika için ücret almaz, yalnızca DV sertifikası düzenler ve OV ya da EV düzenleme planı yoktur; bazı hosting firmaları ise kurulum ve yönetim karşılığında küçük bir ücret yansıtabilir.

Ücretli sertifika, şifrelemeyi güçlendirmez. Ücretli bir ürünü anlamlı kılan durumlar; şirket bilgisinin sertifikada doğrulanmış olarak yer alması gerektiğinde, çok sayıda alt alan adı tek sertifikada toplanacağında ya da sağlayıcıdan sözleşmeli destek istendiğinde ortaya çıkar. Karar, fiyattan önce ihtiyaç tanımıyla verilir.

HTTPS Kurulumunu Birlikte Gözden Geçirelim

Site adresi WhatsApp üzerinden paylaşıldığında ücretsiz ön değerlendirmede sertifika türü, bitiş tarihi, otomatik yenileme durumu, yönlendirmeler ve karışık içerik uyarıları birlikte kontrol edilir. Eksikler ve öncelik sırası açıkça not edilir; sıralama ya da sonuç vaadi verilmez.

SSL Sertifikası Geçerlilik Süresi Neden Kısalıyor?

Tarayıcı ve sertifika otoritelerinin ortak kural kurulu CA/Browser Forum, Nisan 2025’te kabul ettiği SC-081 kararıyla herkese açık TLS sertifikalarının azami geçerlilik süresini kademeli olarak kısalttı. Gerekçe, hatalı düzenlenmiş ya da anahtarı ele geçirilmiş bir sertifikanın zarar verebileceği süreyi daraltmak ve şifreleme altyapısındaki değişikliklerin daha hızlı yayılmasını sağlamaktır. Takvim şöyledir:

Sertifikanın düzenlendiği tarihAzami geçerlilik
15 Mart 2026’dan önce398 gün
15 Mart 2026 – 15 Mart 2027200 gün
15 Mart 2027 – 15 Mart 2029100 gün
15 Mart 2029 ve sonrası47 gün

Let’s Encrypt sertifikaları zaten 90 günlük düzenleniyor. Kuruluşun Aralık 2025 duyurusuna göre 45 günlük sertifikalar 13 Mayıs 2026’dan itibaren isteğe bağlı bir profilde sunuluyor; varsayılan süre 10 Şubat 2027’de 64 güne, 16 Şubat 2028’de 45 güne iniyor. Let’s Encrypt, elle yenilemeyi önermiyor ve yenilemenin gerçekleşmediği durumlar için izleme kurulmasını tavsiye ediyor.

Pratik sonuç açıktır: sertifikayı yılda bir takvime not düşerek yenileme dönemi kapanmıştır. Hosting panelindeki otomatik yenilemenin açık olması, alan adının DNS kayıtlarının doğrulamaya izin vermesi ve bitiş tarihinin bir izleme aracıyla takip edilmesi gerekir. DNS başka bir sağlayıcıya taşındığında ya da araya bir CDN eklendiğinde otomatik yenileme sessizce durabilir; yenileme hataları çoğunlukla bu tür değişikliklerden sonra görülür.

HTTPS Google Sıralamasını Etkiler mi?

HTTPS, Google’ın sıralama sinyalleri arasındadır ancak hafif bir sinyaldir. Google, 2014’teki HTTPS duyurusunda bu sinyali “çok hafif” olarak tanımladı ve yüksek kaliteli içerik gibi sinyallerden daha az ağırlık taşıdığını belirtti. Güncel sayfa deneyimi belgesi de sayfanın HTTPS ile sunulup sunulmadığını site sahiplerinin kontrol etmesi gereken noktalar arasında listeler ve Search Console’daki HTTPS raporuna yönlendirir.

Sertifika tek başına bir sayfayı üst sıralara taşımaz; zayıf içerikli bir sayfa HTTPS olduğu için öne geçmez. Asıl etki kullanıcı tarafında görülür. Chrome, Temmuz 2018’de Chrome 68 ile tüm HTTP sayfalarını adres çubuğunda “Güvenli değil” olarak işaretlemeye başladı. Google’ın Ekim 2025 duyurusuna göre Chrome 154 sürümüyle, Ekim 2026 itibarıyla “Her zaman güvenli bağlantıları kullan” ayarı varsayılan olarak açılacak; tarayıcı, HTTPS sunmayan herkese açık bir siteye ilk girişten önce kullanıcıdan onay isteyecek.

SEO tarafında HTTPS’e geçişin düzgün yapılması, sertifikanın kendisinden daha önemlidir. HTTP adreslerin kalıcı (301) yönlendirmeyle HTTPS karşılıklarına gönderilmesi, site haritası ve kanonik etiketlerde HTTPS adreslerin kullanılması gerekir. Bu adımlar teknik SEO kontrollerinin temel parçalarındandır.

Şeffaf fiyatlandırma: hesap makinesi ve bütçe planlaması illüstrasyonu

Karışık İçerik (Mixed Content) Nedir, Nasıl Giderilir?

Karışık içerik, HTTPS ile açılan bir sayfanın bazı dosyaları hâlâ http:// adresinden çağırmasıdır. MDN belgesine göre tarayıcılar görsel, video ve ses gibi yükseltilebilir içerikleri kendiliğinden HTTPS’e çevirmeye çalışır; betik, stil dosyası ve iframe gibi engellenebilir içerikleri ise yüklemez. Sonuç çoğu zaman bozulan bir menü, çalışmayan bir form ya da kaybolan bir harita olur.

WordPress sitelerde karışık içerik genellikle HTTP döneminden kalan kayıtlardan doğar. Temizlik için şu noktalar kontrol edilir:

  • Ayarlar sayfasındaki WordPress Adresi ve Site Adresi alanlarının https:// ile başlaması
  • Veritabanındaki yazı, sayfa ve sayfa oluşturucu kayıtlarında eski http:// bağlantıların güncellenmesi
  • Tema dosyalarına, özel CSS’e ya da menülere elle yazılmış mutlak adresler
  • Harici hizmetlerden çağrılan yazı tipi, harita, video ve sayaç kodları
  • Sunucu düzeyinde HTTP’den HTTPS’e tek adımlık kalıcı yönlendirme

Tarayıcının geliştirici araçlarındaki Konsol sekmesi, karışık içerik uyarılarını dosya adıyla listeler. Düzeltme sonrası sayfa önbelleği temizlenmezse eski adresler ziyaretçiye sunulmaya devam edebilir.

HSTS Nedir ve Ne Zaman Açılmalıdır?

HSTS (HTTP Strict Transport Security), sunucunun tarayıcıya “bu alan adına belirli bir süre boyunca yalnızca HTTPS ile bağlan” talimatı verdiği bir yanıt başlığıdır. Başlığı bir kez alan tarayıcı, ziyaretçi adres çubuğuna http:// yazsa bile isteği doğrudan HTTPS’e çevirir. Böylece ilk HTTP isteğinin araya giren biri tarafından yönlendirilmesi riski azalır.

Başlıktaki max-age değeri kuralın kaç saniye geçerli olacağını, includeSubDomains ifadesi alt alan adlarının da kapsama girip girmediğini belirler. Tarayıcılara gömülü ön yükleme (preload) listesine girmek için max-age en az bir yıl olmalı ve includeSubDomains bulunmalıdır. hstspreload.org, süreyi birkaç dakikadan başlayıp aşama aşama artırmayı öneriyor ve listeden çıkışın yavaş ve zahmetli olduğu konusunda uyarıyor.

HSTS bu yüzden bütün alt alan adlarının (e-posta arayüzü, eski kampanya sayfaları, iç paneller) HTTPS ile sorunsuz çalıştığı doğrulandıktan sonra açılır. Aceleyle eklenen uzun süreli bir kural, sertifikası olmayan bir alt alan adını aylarca erişilemez bırakabilir.

SSL Sertifikası Siteyi Hacklenmekten Korur mu?

Korumaz. SSL sertifikası verinin taşınırken okunmasını ve değiştirilmesini engeller; sunucuya ya da yazılıma yapılan saldırılara karşı bir kalkan değildir. Güncellenmemiş bir eklentideki açık, tahmin edilebilir bir yönetici şifresi ya da yanlış dosya izinleri, sertifikası kusursuz bir sitede de istismar edilebilir.

Adres çubuğundaki kilit simgesi de uzun süre yanlış anlaşıldı. Chrome ekibinin 2023 açıklamasına göre simge yalnızca bağlantının güvenli olduğunu gösterir, sitenin güvenilir olduğunu göstermez; kimlik avı sitelerinin neredeyse tamamı da HTTPS kullanır. Chrome bu yüzden kilidi, Eylül 2023’te yayımlanan Chrome 117 ile nötr bir ayar simgesiyle değiştirdi. HTTPS’in karşılamadığı riskler şunlardır:

  • WordPress çekirdeği, tema ve eklentilerdeki bilinen güvenlik açıkları
  • Zayıf ya da tekrar kullanılan şifrelerle yapılan kaba kuvvet girişleri
  • Sunucuya yüklenmiş zararlı dosyalar ve arka kapılar
  • Yönetici bilgisayarındaki zararlı yazılımlar
  • Yedeksiz sitelerde veri kaybı

Bu katmanlar düzenli güncelleme, yetki yönetimi ve yedeklemeyle korunur; WordPress bakım ve güncelleme çalışmalarının kapsamı da budur. Saldırı gerçekleşmişse sertifikayı yenilemek sorunu çözmez; hacklenmiş WordPress sitesinin kurtarılması ayrı bir temizlik süreci gerektirir.

SSL Kurulumunda Sık Yapılan Hatalar ve Doğru Yöntem

SSL sorunlarının çoğu sertifikanın alınmasından değil, kurulumdan sonraki eksik adımlardan kaynaklanır. Sahada en sık görülen durumlar ve doğru yaklaşımlar şöyle özetlenebilir.

Sertifikanın yalnızca bir adres biçimini kapsaması: alan adı hem www ile hem www olmadan açılıyorsa sertifikanın ikisini de kapsaması, adreslerden birinin diğerine yönlendirilmesi gerekir.

Yenilemenin kendi hâline bırakılması: otomatik yenilemenin çalıştığı, sertifika bitiş tarihinin izlenmesiyle doğrulanır. Kısalan geçerlilik süreleriyle birlikte fark edilmeyen bir yenileme hatasının siteyi kapatma ihtimali artar.

Yönlendirme zinciri: http://alanadi.com önce www’li adrese, oradan HTTPS’e giderse iki ayrı yönlendirme oluşur. Tek adımda son adrese gitmek hem hız hem tarama açısından daha temizdir.

Hosting değişikliğinde sertifikayı unutmak: site yeni sunucuya taşınırken sertifika da yeniden kurulmalıdır. Hosting seçimi yapılırken ücretsiz sertifika desteği ve otomatik yenileme olup olmadığı baştan sorulmalıdır.

Sertifika ve HTTPS Durumuna Birlikte Bakalım

SSL sertifikası nedir sorusunun ötesinde, sitede neyin eksik olduğunu görmek için kısa bir kontrol yeterlidir. Sertifika bitiş tarihi, yönlendirmeler, karışık içerik ve güvenlik katmanları ücretsiz ön değerlendirmede birlikte incelenir; yapılması gerekenler öncelik sırasıyla paylaşılır.

İlgili rehberler

Sıkça Sorulan Sorular

SSL sertifikası, alan adının sahipliğini doğrulayan ve tarayıcı ile sunucu arasındaki bağlantının şifrelenmesini sağlayan dijital belgedir. Sertifika kurulu siteler https:// ile açılır ve aktarılan veriler yolda okunamaz.

Günlük kullanımda aynı ürünü anlatırlar; bugün bağlantıyı kuran protokol TLS’tir ve SSL sürümleri kullanımdan kaldırılmıştır. “SSL sertifikası” adı alışkanlık olarak sürmektedir.

Evet, Let’s Encrypt gibi ücretsiz DV sertifikaları ücretli sertifikalarla aynı güçte şifreleme sağlar. Fark şifrelemede değil, şirket bilgisinin doğrulanıp doğrulanmadığında ve destek kapsamındadır.

CA/Browser Forum kurallarına göre 15 Mart 2026’dan itibaren düzenlenen sertifikalar en fazla 200 gün geçerlidir; bu süre 15 Mart 2027’de 100 güne, 15 Mart 2029’da 47 güne iner. Let’s Encrypt sertifikaları varsayılan olarak 90 günlüktür.

HTTPS, Google’ın hafif bir sıralama sinyalidir ve içerik kalitesinin yerini tutmaz. Asıl etki, tarayıcı uyarılarının önlenmesi ve HTTPS geçişinin doğru yönlendirmelerle yapılmasıyla ortaya çıkar.

Tarayıcılar siteyi açmadan önce tam sayfa bir güvenlik uyarısı gösterir ve ziyaretçilerin çoğu sayfaya ulaşamaz. Otomatik yenilemenin açık tutulması ve bitiş tarihinin izlenmesi bu durumu önler.

Evet, sertifika yalnızca taşınan veriyi korur; güncellenmemiş eklentiler, zayıf şifreler veya sunucu açıkları üzerinden yapılan saldırıları engellemez. Güvenlik için güncelleme, yetki yönetimi ve yedekleme ayrıca gerekir.

Onur Ertem - Onur Freelance Kurumsal Web Tasarım

Onur Ertem

İşletmenizi Dijitalde Güçlendirin! 🚀 Kurumsal web tasarım ve dijital pazarlama çözümleriyle markanızı büyütmeye hazır mısınız? Hemen bize ulaşın, profesyonel desteğimizle dijital dünyada öne çıkın!

Phone-alt Whatsapp

Bizi Arayın

Detaylı bilgi için bizi arayın.

Sizi, Biz Arayalım!

Numaranızı paylaşın sizi, biz arayalım!

Diğer Hizmetlerimiz

Hizmet Bölgeleri

İletişim Bilgileri