HTTP ve HTTPS Farkı Nedir?

HTTP ve HTTPS farkı tek bir harfte saklıdır: "S", güvenli (secure) demektir. HTTP, tarayıcı ile sunucunun sayfa, görsel ve form verisi alıp verirken kullandığı iletişim kuralıdır; HTTPS ise aynı iletişimin TLS ile şifrelenmiş ve sunucunun kimliği doğrulanmış hâlidir. HTTP'de araya giren biri trafiği okuyabilir ve değiştirebilir; HTTPS'te bunu yapamaz.

HTTP nedir?

HTTP, tarayıcınızın bir sunucudan bir şey istemesinin ve cevabı almasının kurallarını belirleyen protokoldür. Bir sayfayı açtığınızda tarayıcı sunucuya "şu sayfayı ver" der (istek, request), sunucu da sayfayla birlikte bir durum kodu döner (cevap, response). Sık gördüğünüz durum kodlarından bazıları:

• 200 OK: İstek başarılı.
• 301 Moved Permanently: Sayfa kalıcı olarak başka adrese taşındı.
• 404 Not Found: Sayfa bulunamadı.
• 500 Internal Server Error: Sunucuda bir hata oluştu.

HTTP durumsuz (stateless) bir protokoldür: Her istek bir öncekinden bağımsızdır. Sitelerin sizi "hatırlaması" (oturum açık kalması, sepetin korunması) çerezler gibi ek mekanizmalarla sağlanır.

Ancak HTTP tek başına şifreleme içermez. Bu yüzden gönderdiğiniz her şey, ağ üzerinde açık metin olarak taşınır.

HTTPS nedir?

HTTPS, HTTP konuşmasının TLS (Transport Layer Security) adlı bir güvenlik katmanının içinden yapılmasıdır. Protokolün kendisi, yani istekler, cevaplar ve durum kodları aynı kalır; değişen, konuşmanın bir tünelin içinde yapılmasıdır.

Bir benzetme: HTTP ile veri göndermek kartpostal yollamaya benzer. Postacı da, aradaki herkes de yazdığınızı okuyabilir. HTTPS ise mühürlü bir zarf gibidir ve zarfın yalnız doğru alıcı tarafından açılabileceği garanti altındadır.

HTTPS bağlantısı kurulurken kısaca şunlar olur:

1. Tarayıcı sunucuya bağlanır ve güvenli bağlantı kurmak istediğini söyler.
2. Sunucu, alan adına ait SSL/TLS sertifikasını gönderir.
3. Tarayıcı sertifikanın güvenilir bir otorite tarafından imzalandığını, süresinin dolmadığını ve ziyaret edilen alan adıyla eşleştiğini kontrol eder.
4. İki taraf, yalnız kendilerinin bildiği oturum anahtarları üzerinde anlaşır.
5. Bundan sonra iki taraf bütün HTTP trafiğini bu anahtarlarla şifreler.

Sertifikanın ne olduğu, türleri ve nereden alınacağı konusunu SSL sertifikası nedir? yazımızda ayrıntılı anlattık. Bu yazıda protokol farkına ve sitenize etkisine odaklanıyoruz.

HTTP ve HTTPS farkı: karşılaştırma tablosu

HTTPS'in sitenize ve işinize etkisi

Ziyaretçi güveni

Chrome, 24 Temmuz 2018'de yayımlanan 68. sürümden beri bütün HTTP sayfalarını adres çubuğunda "Güvenli değil" olarak gösteriyor. Teklif ya da iletişim formu olan bir sayfada bu uyarı, ziyaretçinin bilgi bırakmasını doğrudan etkileyebilir.

Bir ayrıntı: Chrome, Eylül 2023'te yayımlanan 117. sürümle adres çubuğundaki kilit simgesini de kaldırıp yerine nötr bir "ayarlar" simgesi koydu. Google'ın gerekçesi, HTTPS'in artık varsayılan durum olması ve kilidin pek çok kullanıcı tarafından "bu site güvenilir" diye yanlış anlaşılmasıydı. Yani HTTPS artık bir ayrıcalık işareti değil, beklenen asgari düzeydir.

Veri güvenliği

Örneğin halka açık bir Wi-Fi ağında, aynı ağdaki biri HTTP üzerinden gönderdiğiniz form bilgilerini okuyabilir. HTTP sayfaya araya girilerek reklam ya da zararlı kod eklenmesi de mümkündür. HTTPS her iki riski de ortadan kaldırır.

Arama motorları

Google, Ağustos 2014'te HTTPS'i bir sıralama sinyali olarak kullanmaya başladığını duyurdu ve bunu "çok hafif" bir sinyal olarak tanımladı. HTTPS tek başına sizi üst sıralara taşımaz; ama Google onu içerik ve kullanıcı deneyimi gibi diğer etkenlerle birlikte değerlendirir.

Hız

HTTPS'in siteyi yavaşlattığı düşüncesi büyük ölçüde geçmişte kaldı. Tersine, modern ve daha hızlı protokoller olan HTTP/2 ve HTTP/3'ü tarayıcılar pratikte yalnız şifreli bağlantı üzerinden kullanıyor. Yani HTTPS'e geçmek, hız iyileştirmelerinin de kapısını açar.

Tarayıcı özellikleri

Konum bilgisi, anlık bildirimler (Web Push), kamera ve mikrofon erişimi, service worker gibi pek çok tarayıcı özelliği yalnız güvenli bağlantılarda çalışır. Sitenize ileride bu tür bir özellik eklemek istiyorsanız HTTPS ön koşuldur.

HTTPS'e geçerken sık yapılan hatalar

1. HTTP sürümünü açık bırakmak. Sertifika kurulduktan sonra http:// ile gelen her istek kalıcı (301) yönlendirmeyle https:// adresine gönderilmelidir. Aksi hâlde sitenin iki kopyası açık kalır.
2. Karışık içerik (mixed content). HTTPS sayfanın içinde http:// ile yüklenen görsel, betik ya da stil dosyaları bulunmasıdır. Modern tarayıcılar görselleri otomatik olarak HTTPS'e yükseltmeye çalışır, betik ve stil dosyalarını ise engeller. Sonuç: bozuk görünen sayfalar, çalışmayan menüler ya da formlar.
3. Veritabanındaki eski adresler. WordPress gibi sistemlerde site adresi, içeriklerdeki görsel bağlantıları ve tema ayarları veritabanında http:// olarak kalabilir. Geçişte bunların da güncellenmesi gerekir.
4. Dış hizmetleri unutmak. Search Console, analiz araçları, reklam hesapları ve sosyal medya profillerindeki site adresi güncellenmelidir.
5. www ve www'suz adreslerin tutarsızlığı. Hangi adresi ana adres olarak seçtiyseniz diğer üç kombinasyon (http/https × www/www'suz) ona yönlendirilmelidir.

HSTS: Bir adım ileri

HSTS (HTTP Strict Transport Security), sunucunun tarayıcıya "bu siteye bundan sonra yalnız HTTPS ile bağlan" demesini sağlayan bir başlıktır. Tarayıcı bu bilgiyi aldıktan sonra kullanıcı http:// yazsa bile isteği doğrudan HTTPS'e çevirir. HSTS'i, sitenin tüm alt alan adlarının HTTPS'e hazır olduğundan emin olduktan sonra açmak gerekir; aksi hâlde ziyaretçiler HTTPS'i olmayan bir alt alan adına erişemeyebilir.

Bizim deneyimimiz

Yaptığımız sitelerin büyük bölümü WordPress üzerinde çalışıyor ve yayına alırken HTTPS geçişini bir kontrol listesiyle yapıyoruz: sertifikanın hem ana alan adını hem www sürümünü kapsaması, bütün adres kombinasyonlarının tek bir HTTPS ana adrese 301 ile yönlenmesi, veritabanındaki eski http:// bağlantılarının güncellenmesi ve tarayıcı konsolunda karışık içerik uyarısı kalmaması. Sertifikanın kendisini ve yenileme konusunu SSL sertifikası yazımızda, alan adının sunucuya nasıl bağlandığını DNS nedir? yazımızda anlattık.

Sık sorulan sorular

Sonuç

HTTP ile HTTPS arasındaki fark, verinizin açık bir kartpostalla mı yoksa mühürlü bir zarfla mı taşındığıdır. Bugün HTTPS, her kurumsal site için asgari standarttır. Geçişi yaparken yönlendirmeleri, karışık içeriği ve eski bağlantıları kontrol etmek, kullanıcıların da arama motorlarının da sitenizi sorunsuz görmesini sağlar. Web tasarım ve WordPress geliştirme projelerimizde HTTPS kurulumunu yayın sürecinin standart bir adımı olarak yapıyoruz. Mevcut sitenizde "Güvenli değil" uyarısı görüyorsanız bize yazabilirsiniz.

Yayından sonra değişenler