SSL Sertifikası Nedir? Nasıl Çalışır ve Hangi Tür Yeterli?

SSL sertifikası, web sitenizle ziyaretçinin tarayıcısı arasındaki bağlantıyı şifreleyen ve sitenin gerçekten o alan adına ait olduğunu doğrulayan dijital bir belgedir. Sertifikası olan site https:// ile açılır ve adres çubuğunda güvenli bağlantı simgesi görünür. Sertifika yoksa, süresi dolmuşsa veya yanlış kurulmuşsa tarayıcı "Bağlantınız gizli değil" uyarısı gösterir ve ziyaretçilerin büyük kısmı siteye hiç girmez. Bu yazıda SSL'in nasıl çalıştığını, TLS ile farkını, hangi sertifika türünün size yeterli olduğunu, sertifikanızı nasıl test edeceğinizi ve 2026'da neyin değiştiğini anlatıyoruz.

SSL sertifikası ne işe yarar?

Sertifika üç iş yapar:

• Şifreleme: Formdan gönderilen ad, telefon, e-posta ve ödeme bilgisi yolda okunamaz. Otel lobisindeki ortak Wi-Fi'da bile üçüncü kişiler bu veriyi göremez.
• Kimlik doğrulama: Ziyaretçi, gerçekten sizin sitenize bağlandığından emin olur.
• Bütünlük: Sayfa içeriği yolda değiştirilemez; araya reklam veya zararlı kod eklenemez.

Bunun bir de yasal boyutu var. İletişim formu olan her site kişisel veri topluyor ve KVKK, bu veriler için uygun güvenlik önlemi alınmasını istiyor. Formu şifresiz bağlantı üzerinden çalıştırmak bu yükümlülükle bağdaşmıyor. Konunun diğer adımlarını KVKK web sitesi uyumu yazımızda topladık.

SSL ve TLS arasındaki fark nedir?

SSL, 1990'larda geliştirilen ilk şifreleme protokolünün adı. Zamanla güvenlik açıkları bulundu ve yerini TLS aldı. SSL'in son sürümü olan SSL 3.0, IETF tarafından 2015'te resmen kullanımdan kaldırıldı. Bugün tarayıcılar ve sunucular TLS 1.2 ve TLS 1.3 kullanıyor.

Peki neden hâlâ "SSL sertifikası" diyoruz? İsim pazarda yerleşti ve değişmedi. Sertifika, protokolden bağımsız bir kimlik belgesidir; "SSL sertifikası" diye satılan her sertifika aslında TLS bağlantısında kullanılır. Yani SSL ile TLS arasında seçim yapmanız gerekmez. Sizin kontrol etmeniz gereken, sunucunuzda eski SSL ve TLS 1.0/1.1 sürümlerinin kapalı, TLS 1.2 ve 1.3'ün açık olmasıdır.

SSL nasıl çalışır?

Ziyaretçi sitenizi açtığında, sayfa yüklenmeden önce tarayıcı ile sunucu arasında kısa bir tanışma (handshake) yapılır:

1. Tarayıcı sunucuya bağlanır, sunucu sertifikasını gönderir.
2. Tarayıcı sertifikayı kontrol eder: güvendiği bir sertifika otoritesi tarafından mı verilmiş, süresi geçerli mi, açılan adresi kapsıyor mu?
3. Kontrol geçerse iki taraf, yalnızca o oturuma özel bir şifreleme anahtarı üzerinde anlaşır.
4. Bundan sonra gidip gelen tüm veri bu anahtarla şifrelenir.

Bu işlem milisaniyeler sürer ve ziyaretçi fark etmez. İkinci adımdaki kontrollerden biri başarısız olursa tarayıcı bağlantıyı durdurur ve güvenlik uyarısını gösterir.

Sertifika türleri

Şifreleme gücü türe göre değişmez; değişen, sertifikayı veren otoritenin sizi ne kadar ayrıntılı doğruladığıdır. Chrome ve diğer tarayıcılar birkaç yıl önce EV sertifikada adres çubuğunda şirket adını gösterme uygulamasını kaldırdı. Bu yüzden ücretsiz bir DV sertifika ile pahalı bir EV sertifika arasında ziyaretçinin gördüğü bir fark yok.

Hangi sertifika size yeterli?

Antalya'daki kurumsal sitelerin, otel ve tur sitelerinin büyük çoğunluğu için ücretsiz DV sertifika yeterli. Ücret ödemeden önce, ücretli sertifikanın size somut olarak ne kazandıracağını sorun.

2026'da ne değişti: sertifika süreleri kısalıyor

Tarayıcı üreticileri ve sertifika otoritelerinin oluşturduğu CA/Browser Forum, Nisan 2025'te sertifika sürelerini kademeli olarak kısaltan SC-081 kararını kabul etti:

• 15 Mart 2026'dan itibaren verilen sertifikalarda en uzun süre 200 gün.
• 15 Mart 2027'den itibaren 100 gün.
• 15 Mart 2029'dan itibaren 47 gün.

Pratikte bunun anlamı şu: sertifikayı yılda bir kez elle yenilemek artık mümkün değil. Hosting panelinizdeki otomatik yenileme (ACME) açık olmalı ve biri bunun çalıştığını düzenli kontrol etmeli. Google ayrıca Chrome'da HTTPS'i varsayılan bağlantı yapma planını duyurdu; şifresiz sitelere girerken kullanıcılar daha sık uyarı görecek.

"Bağlantınız gizli değil" hatası: sebepler ve çözümler

Hata sadece bazı ziyaretçilerde görünüyorsa sorun çoğunlukla onların tarafındadır. Cihazın tarih ve saati yanlışsa, otel veya kafe Wi-Fi'ında giriş sayfası henüz geçilmemişse ya da antivirüs programı HTTPS trafiğini denetliyorsa bu uyarı çıkabilir. Ziyaretçiye önce cihaz saatini kontrol etmesini, sonra farklı bir ağdan denemesini önerebilirsiniz.

SSL sertifikanızı nasıl test edersiniz?

Sertifikanın kurulu olması, doğru kurulduğu anlamına gelmez. Birkaç dakikalık kontrolle sorunları ziyaretçiden önce görebilirsiniz:

• Tarayıcıda: Adres çubuğundaki simgeye tıklayın, bağlantının güvenli olduğunu ve sertifika ayrıntılarını açın. Sertifikayı kimin verdiği, bitiş tarihi ve kapsadığı adresler burada görünür.
• SSL Labs ile: Qualys'in ücretsiz SSL Server Test aracı sertifika zincirini, desteklenen TLS sürümlerini ve şifreleme ayarlarını tarar, sonuca A'dan F'ye bir not verir. Hedefiniz A olmalı.
• Tüm adresler için: Hem alanadiniz.com hem www.alanadiniz.com adresini, varsa rezervasyon veya ödeme alt alan adını ayrı ayrı test edin.
• Karışık içerik için: Sayfayı açıp tarayıcının geliştirici konsoluna bakın; http ile yüklenen dosyalar orada uyarı olarak listelenir.

Bitiş tarihini bir kez görmek yetmez. Otomatik yenileme bozulduğunda bunu ancak süre dolunca fark edersiniz; bu yüzden süre takibini bir izleme aracına veya takvime bağlayın.

Adım adım: sitenizi doğru şekilde HTTPS'e taşımak

1. Hosting panelinizden sertifikayı hem alan adı hem www için kurun.
2. Tüm HTTP adreslerini 301 yönlendirmesiyle HTTPS karşılığına gönderin.
3. Sayfa içindeki görsel, script ve iç linklerin https ile yüklendiğini kontrol edin.
4. Canonical etiketlerini ve site haritasını https adreslerle güncelleyin.
5. Google Search Console'da https mülkünü doğrulayın ve site haritasını gönderin.
6. Her şey sorunsuz çalıştıktan sonra HSTS başlığını ekleyin; tarayıcı artık sitenize sadece HTTPS ile bağlanır.
7. Yukarıdaki testleri yapın ve otomatik yenilemenin çalıştığını takvime not alın.

Google, HTTPS'i 2014'ten beri hafif bir sıralama sinyali olarak kullandığını açıklamıştı. Doğru yönlendirmeyle yapılan geçiş sıralama kaybına yol açmaz. Hosting değiştirirken veya siteyi yeni sunucuya taşırken sertifikanın yeniden kurulması gerekir; bu adımı site taşıma rehberi yazımızda ayrıntılı anlattık.

Sertifika kimin sorumluluğunda?

Sorunların önemli bir kısmı teknik değil, sorumluluk belirsizliğinden çıkıyor. Alan adı bir firmada, hosting başka bir firmada, site ise bir ajansın elinde olduğunda sertifikanın süresi dolunca herkes diğerini sorumlu tutuyor. Hangi firmanın sertifikayı kurduğunu, yenilemenin hangi panelden yapıldığını ve süre dolmadan kime uyarı e-postası gittiğini yazılı olarak bilin. Uyarı e-postalarının artık çalışmayan eski bir çalışanın adresine gitmesi de sık gördüğümüz bir durum. Sertifika bilgisini alan adı ve hosting bilgilerinizle aynı belgede tutmak bu karmaşayı önler.

Sık yapılan hatalar

• Sertifikayı sadece alan adına kurup www adresini unutmak.
• Yönlendirme yapmadan sitenin hem http hem https olarak açılmasına izin vermek.
• Otomatik yenilemenin bozulduğunu, sertifikanın süresi dolunca fark etmek.
• Rezervasyon veya ödeme alt alan adının sertifikasını ayrıca takip etmemek. Ana site sorunsuz görünürken ödeme adımında hata çıkması sık karşılaşılan bir durum.
• Sayfa şablonunda sabit yazılmış http görsel linklerini düzeltmemek.
• Gereksiz yere pahalı sertifika satın almak.

Antalya'da rezervasyonların önemli kısmı haziran ile eylül arasında geliyor. Elle yenilenen bir sertifikanın ağustosta dolması, en yoğun haftalarda tam ekran güvenlik uyarısı demek. Otomatik yenileme ve süre takibi, sezon öncesi kontrol listesinin ilk maddelerinden biri olmalı.

Hosting seçerken ücretsiz ve otomatik SSL desteği olup olmadığını sorun; bunu hosting seçimi yazımızda ele aldık. Bakım ve barındırma hizmetimizde ücretsiz SSL sertifikası dahil, HTTPS yönlendirmeleri de bakımın parçası. Kapsamı paketlerimizde görebilir, size uygun seçeneği teklif sihirbazıyla birkaç adımda çıkarabilirsiniz.