SSL Sertifikası Nedir? HTTPS Neden Zorunlu?

SSL sertifikası, bir web sitesinin gerçekten o alan adına ait olduğunu doğrulayan ve tarayıcı ile sunucu arasındaki bağlantının şifrelenmesini sağlayan dijital bir belgedir. Sertifikası olan site https:// ile açılır; olmayan site ise tarayıcıda "Güvenli değil" uyarısıyla görünür. 2024 itibarıyla bir kurumsal site için SSL sertifikası bir tercih değil, temel bir gerekliliktir ve çoğu durumda ücretsiz olarak edinilebilir.

SSL sertifikası nedir?

Adı "SSL" olarak yerleşmiş olsa da bugün kullanılan şifreleme protokolü TLS'tir (Transport Layer Security). SSL, TLS'in eski ve artık güvenli kabul edilmeyen öncülüdür. Sektörde alışkanlıkla "SSL sertifikası" denmeye devam ediyor; bu yazıda da bu ifadeyi kullanıyoruz. Teknik adı TLS sunucu sertifikasıdır.

Sertifikayı aslında bir kimlik kartına benzetebilirsiniz. Kimlik kartında adınız, fotoğrafınız ve kartı veren kurumun mührü bulunur. Aynı şekilde sertifikada da şu bilgiler yer alır:

• Alan adı: Sertifikanın hangi adres(ler) için geçerli olduğu (ör. ornekfirma.com.tr ve www.ornekfirma.com.tr).
• Açık anahtar: Şifreli bağlantıyı kurmak için kullanılan anahtarın herkese açık parçası. Gizli parça (özel anahtar) yalnız sunucunuzda durur.
• Geçerlilik tarihleri: Sertifikanın ne zaman başladığı ve ne zaman sona erdiği.
• Düzenleyen kuruluş: Sertifikayı imzalayan sertifika otoritesi (CA, Certificate Authority).

Ayrıca tarayıcılar ve işletim sistemleri, güvendikleri sertifika otoritelerinin bir listesini taşır. Sitenizin sertifikası bu otoritelerden birine zincirle bağlıysa tarayıcı bağlantıyı güvenli kabul eder. Zincir bozuksa, süre dolmuşsa ya da sertifikadaki alan adı ziyaret edilen adresle uyuşmuyorsa ziyaretçi tam sayfa bir uyarı görür.

Sertifika türleri: DV, OV ve EV

Sertifikalar, otoritenin başvuru sahibini ne kadar ayrıntılı doğruladığına göre üçe ayrılır. Şifreleme gücü üç türde de aynıdır; fark, doğrulanan bilginin kapsamındadır.

Bir not: Eskiden EV sertifikalı sitelerde tarayıcının adres çubuğunda şirket adı görünürdü. Chrome, Eylül 2019'da yayımlanan 77. sürümle bu gösterimi adres çubuğundan kaldırdı ve şirket adını, kilit simgesine tıklayınca açılan bilgi penceresine taşıdı. Diğer büyük tarayıcılar da benzer adımlar attı. Bu yüzden EV sertifikanın ziyaretçiye görünen etkisi artık sınırlıdır.

Kapsama göre sertifikalar

Doğrulama düzeyinden bağımsız olarak sertifikalar kaç adresi kapsadığına göre de ayrılır:

• Tek alan adı: Genellikle ornekfirma.com.tr ve www.ornekfirma.com.tr için.
• Wildcard (joker): *.ornekfirma.com.tr biçiminde, bir alan adının tüm birinci düzey alt alanlarını kapsar (blog., magaza. gibi).
• Çoklu alan adı (SAN / multi-domain): Birbirinden farklı alan adlarını tek sertifikada toplar (ör. ornekfirma.com.tr ve ornekfirma.com).

Let's Encrypt: ücretsiz ve otomatik sertifika

Let's Encrypt, kâr amacı gütmeyen bir sertifika otoritesidir ve sertifikalarını ücretsiz verir. Bugün birçok hosting firması, panelinde tek tıkla ya da tamamen otomatik olarak Let's Encrypt sertifikası kurar.

Bilmeniz gerekenler (Eylül 2024 itibarıyla):

• Yalnız DV sertifika verir. OV ve EV sertifika vermez ve bunu planlamadığını açıkça belirtir.
• Sertifikalar 90 gün geçerlidir. Kısa süre bilinçli bir tercihtir: otomatik yenilemeyi zorunlu hâle getirir ve ele geçirilmiş bir anahtarın kullanılabileceği süreyi kısaltır.
• Yenileme otomatiktir. Sertifikalar ACME adlı standart protokolle alınır ve yenilenir. Hosting panelleri ya da sunucudaki bir istemci yazılımı bu işi arka planda yapar.
• Wildcard sertifika mümkündür, ancak bunun için alan adının DNS kayıtları üzerinden doğrulama (DNS-01) gerekir.
• Hosting firması bu hizmet için ayrıca bir yönetim ücreti alabilir; sertifikanın kendisi ücretsizdir.

Ücretli sertifika ne zaman mantıklı?

Kurumsal bir tanıtım sitesi, blog ya da çoğu e-ticaret sitesi için ücretsiz DV sertifikası teknik olarak yeterli koruma sağlar. Ücretli sertifika şu durumlarda gündeme gelebilir: kurum bilgisinin sertifikada yer alması gerektiğinde (OV/EV), otomatik yenilemenin kurulamadığı eski sistemlerde, bir sözleşme ya da kurumsal politika belirli bir sertifika türü istediğinde ya da sertifika sağlayıcısının destek ve garanti hizmetlerine ihtiyaç duyulduğunda.

Sertifikaların geçerlilik süresi

1 Eylül 2020'den itibaren düzenlenen sertifikalar için Apple ve Google (Chrome) en fazla 398 gün geçerlilik kabul ediyor; sertifika otoriteleri de bu sınıra uyuyor. Daha uzun süreli düzenlenen sertifikalar güvenilir sayılmıyor. Yani "iki yıllık SSL" satın alsanız bile sertifikanın en geç 13 ayda bir yeniden düzenlenmesi gerekir. Ücretsiz sertifikalarda bu süre zaten 90 gündür.

Sonuç olarak sürelerin kısalması, otomasyonun önemini artırıyor. Özellikle elle kurulup takvimde hatırlatma ile yenilenen sertifikalar, unutulmaya en açık olanlardır.

HTTPS neden zorunlu?

• Tarayıcı uyarıları: Chrome, Temmuz 2018'de yayımlanan 68. sürümden beri bütün HTTP sayfalarını "Güvenli değil" olarak işaretliyor. Form içeren bir sayfada bu uyarı, ziyaretçinin bilgi bırakmaktan vazgeçmesine yol açabilir.
• Veri güvenliği: İletişim formundan gönderilen ad, telefon ve e-posta gibi bilgiler HTTPS olmadan ağ üzerinde açık metin olarak taşınır.
• Arama motorları: Google, 2014'te HTTPS'i hafif bir sıralama sinyali olarak kullanmaya başladığını duyurdu. Tek başına sıralamanızı belirlemez, ama eksikliği olumsuz bir işarettir.
• Modern web özellikleri: Tarayıcıların birçok yeni özelliği yalnız güvenli bağlantı üzerinden çalışır.

HTTP ile HTTPS arasındaki protokol farkını ve sitenizi HTTPS'e taşırken dikkat edilecek teknik ayrıntıları serinin bir sonraki yazısında ele alıyoruz.

Sık yapılan hatalar

1. Sertifikanın süresinin dolması. Otomatik yenileme kurulmamışsa ya da bir DNS veya sunucu değişikliğinden sonra bozulmuşsa sertifika sessizce sona erer ve site uyarı ekranıyla açılır.
2. www ve www'suz adresin birlikte kapsanmaması. Sertifika yalnız birini kapsıyorsa diğerinden gelen ziyaretçi hata görür.
3. Ara sertifikanın eksik kurulması. Bazı tarayıcılarda sorunsuz açılan site, diğerlerinde ya da mobil cihazlarda hata verebilir.
4. Sitenin HTTP sürümünün açık kalması. Sertifika kurulduktan sonra bütün HTTP istekleri kalıcı olarak (301) HTTPS'e yönlendirilmelidir.
5. Kilit simgesini "güvenilir site" sanmak. Sertifika bağlantının şifreli olduğunu ve alan adının doğrulandığını gösterir; sitenin sahibinin dürüst olduğunu göstermez. Dolandırıcılık siteleri de ücretsiz sertifika alabilir.

Bizim deneyimimiz

Yaptığımız sitelerde yayına geçmeden önce sertifikanın hem ana alan adını hem de www sürümünü kapsadığını, otomatik yenilemenin çalıştığını ve bütün HTTP isteklerinin HTTPS'e yönlendirildiğini kontrol ediyoruz. Sunucu ya da DNS değişikliği gibi işlemlerden sonra, sertifika yenilemesini etkileyip etkilemediğine ayrıca bakıyoruz. Sitenizin barındırıldığı ortamı Hosting nedir? ve Sunucu nedir? yazılarımızda anlattık.

Sık sorulan sorular

Sonuç

SSL sertifikası, sitenizin hem ziyaretçiler hem de tarayıcılar gözünde güvenilir görünmesinin ön koşuludur. Çoğu işletme için ücretsiz ve otomatik yenilenen bir DV sertifikası yeterlidir; önemli olan kapsamın doğru olması ve yenilemenin hiç kesilmemesidir. Web tasarım ve WordPress geliştirme projelerimizde sertifika kurulumunu ve yenileme kontrolünü yayın sürecinin parçası olarak yapıyoruz. Alan adınızla ilgili temel bilgiler için Domain nedir? yazımıza bakabilirsiniz.

Yayından sonra neler değişti?