SSL yani Secure Sockets Layer ürünleri, web sitelerinde gerçekleşen işlemleri sunucu ve istemci arasında, sahip oldukları özelliklere göre karmaşık bir yapıda şifreleyerek güven altına alır. Günümüzde kullanılan şifreleme protokolü aslında SSL'in yerini alan TLS'tir (Transport Layer Security). Ancak "SSL sertifikası" ifadesi alışkanlıkla kullanılmaya devam ediyor.
HTTPS’e Geçmenin Faydaları
Sisteminizi HTTPS'e geçirmenizin öncelikli olarak 2 ana faydası var. İlki, popülerliğini yitirmemiş olan man-in-the-middle saldırı yöntemine karşı güvenlik önlemidir.
Wikipedia'ya göre bu saldırının tanımı şu şekildedir:
Bir network üzerinde kurban bilgisayar ile diğer ağ araçları (yönlendirici, switch, modem ya da sunucu gibi) arasına girerek verileri yakalama ve şifrelenmemiş verileri görebilme ilkesine dayanan bir saldırı çeşidi.
Bu saldırı yöntemi için en temel güvenlik önlemi, parola, kredi kartı numarası gibi değerli bilgilerin HTTPS gibi şifrelenmiş protokoller üzerinden gönderilmesidir. Paketler saldırganın eline geçse dahi içerikleri görüntülenemez ve değiştirilemez. Tek başına SSL site güvenliğini elbette sağlamayacaktır, ama veri akışını şifrelemesinden dolayı ciddi bir güvenlik önlemi olarak kabul edilebilir. Özellikle blackhat SEO dünyasında sitelere saldırı gerçekleştirme ve hack işlemi sonrasında gizli backlink yaratma günümüzde halen popülerliğini koruyor. Bu tür saldırılar sitenizin organik trafik performansını da olumsuz yönde etkiler.
Diğeri ise SEO performansına olan katkısı. Google'ın arama algoritmasında 200'den fazla metrik olduğu her fırsatta ifade ediliyor. Sitenizi SSL'e geçirmek tek başına sıralamada sitenizi zıplatmayacaktır, fakat Google 2014 yılında HTTPS'i bir sıralama sinyali olarak kullandığını resmi olarak açıkladı. Bizim de nihai hedefimiz, tüm "+"ları toplayıp elimizden geldiğince arama sonuçlarındaki sıralamayı ve beraberinde trafiği artırmak.
Google ve HTTPS İlişkisi
Güvenlik, Google için de yüksek bir önceliktir. Google, kendi sitelerinin ve servislerinin HTTPS bağlantılarını sağladığından emin olmak adına yatırım yapmaya ve çalışmaya devam ediyor. Google'ın Şeffaflık Raporu'na göre bugün Chrome'da yüklenen sayfaların büyük çoğunluğu HTTPS üzerinden sunuluyor.
HTTPS, Google'ın sayfa deneyimi kavramının da bir parçasıdır. Sayfa deneyimi, kullanıcıların bir web sayfasıyla etkileşim deneyimini hem mobil hem de masaüstü cihazlarda, salt bilgi değerinin ötesinde nasıl algıladıklarını ölçen bir dizi sinyalden oluşur. Bu sinyaller; mobil uyumluluk, rahatsız edici geçiş reklamlarının olmaması ve HTTPS ile birlikte, sayfa yüklenme performansı, sayfadaki etkileşim ve sayfanın görsel kararlılığı için gerçek dünya kullanıcı deneyimini ölçen Önemli Web Verilerini (Core Web Vitals) içerir. HTTPS bileşeni ise internetteki kullanıcıların güvenliğini sağlar.
SSL Sertifika Tipleri Nelerdir?
SSL sertifikaları, CA (Certificate Authority) adlı güvenilir üçüncü parti kuruluşlar tarafından üretilir. CA'ler finans sektöründeki bankalara benzetilebilir. CA'ler bir yandan internette hizmet veren siteler için dijital sertifikalar oluşturup imzalar, bir yandan da tarayıcı üreticileri ile anlaşarak kök sertifikalarını tarayıcılara ekler. Bu sayede kullanıcı, ziyaret ettiği site ile arasında üçüncü kişilerce dinlenmeyen güvenli bir bağlantı olduğundan emin olur.
DV (Domain Validation) Sertifikası
DV sertifika tipinde CA, sadece adres çubuğuna girdiğiniz alan adına sahip olup olmadığınızı doğrulamaktadır. İlgili alan adı size aitse gerekli prosedürleri izleyerek bu sertifikayı alabilirsiniz.
OV (Organization Validation) Sertifikası
OV sertifika tipinde CA, alan adına ek olarak kayıtlardan şirketin adresini, telefonunu ve sertifikayı talep eden kişinin şirketin yetkili bir çalışanı olup olmadığını doğrular. Doğrulama genellikle telefonla arama yoluyla yapılır.
Kullanıcı açısından pek fark etmese de, bir sitenin sertifikasının DV ve OV tiplerinden hangisi olduğunu anlamak için Chrome'da Developer Tools > Security sekmesinden sertifika içeriğine bakılabilir.
DV ve OV tipi sertifikalar kullanıcıyı DNS spoofing saldırılarından korumaktadır. HTTP kullanılan bir durumda bu saldırıya örnek olarak bir otelin Wi-Fi ağına bağlanma senaryosu verilebilir. Otelin Wi-Fi ağındaki DNS sunucusu, tarayıcınız www.garanti.com.tr'nin adresini sorduğunda tarayıcınızı, şifrenizi çalmak üzere kurulmuş ve Garanti Bankası web sitesine benzeyen bir siteye yönlendirebilir ve şifrenizi çalabilir.
Yukarıdaki örnekte DV veya OV tipi sertifika ile HTTPS kullanıldığında ise aşağıdaki iki ihtimalden biri gerçekleşir:
- Sahte (phishing) site, Garanti Bankası'nın sertifikası yerine size kendi sertifikasını gönderir. Tarayıcınız alan adını sertifikayla eşleştiremediği için sizi bir güvenlik uyarısıyla karşılar.
- Site size Garanti'nin sitesinden ulaşabildiği sertifikayı gönderir. Tarayıcı, sertifikadaki Public Key ile TLS akışını başlatır, fakat karşı sunucuda Garanti'nin Private Key'i olmadığı için mesaj okunamaz ve iletişim kesilir.
EV (Extended Validation) Sertifikası
EV sertifika tipinde CA, OV tipindeki doğrulamalara ek olarak ilgili şirketin kurulu olduğu ülkedeki ticari sicil kayıtları, kuruluş belgesi, faaliyet raporu gibi bir yığın prosedüre tabi tutulur. Uzun süren ve maliyet olarak külfetli bu süreç sonunda CA, şirket için imzaladığı sertifikaya şirketin ticari kimliğini de ekler. Geçmişte tarayıcılar EV sertifikalı sitelerde şirket adını adres çubuğunda gösteriyordu. Ancak Chrome 2019'dan itibaren bu uygulamaya son verdi. Bugün şirket bilgisi yalnızca sertifika detaylarında görülebiliyor.
Let’s Encrypt ve Ücretsiz Sertifikalar
Kar amacı gütmeyen ve ücretsiz SSL sertifikası sağlamak üzere kurulan Let's Encrypt ile DV tipi sertifikalar otomatik olarak imzalanabilmekte ve yine otomatik olarak yenilenebilmektedir. Let's Encrypt sertifikası üretmek isteyen siteler, ACME protokolünün bir uygulaması olan Certbot adlı istemciyi kullanabilir.
Sertifikaların geçerlilik süreleri de kısalıyor. Sektör kararıyla SSL sertifikalarının azami geçerlilik süresi Mart 2026'dan itibaren 200 güne indi ve 2029'a kadar kademeli olarak 47 güne inecek. Bu nedenle sertifikaların otomatik olarak yenilenmesi giderek daha önemli hale geliyor.
HTTPS’e Geçiş Öncesi Yapılması Gerekenler
SSL sertifika tiplerinden bahsettikten sonra, SSL geçişi süreçlerinde dikkat etmemiz gereken noktalara gelelim. Özellikle SEO kanalının SSL geçişi esnasında sorun yaşamaması adına iki parçada hazırladığımız liste şu şekilde:
- SSL sertifikası seçimi: Satın almadan önce ne tip bir sertifikaya ihtiyacınız olduğunu belirleyin: Tek alan adı (single), çoklu alan adı (multi-domain) ya da wildcard.
- Geçerlilik süresi: Sertifikanın geçerlilik süresini not alın ve mümkünse otomatik yenileme kullanın. Otomatik yenileme yoksa takip için hatırlatma servisleri kullanın.
- Search Console: Sitenizi Search Console'a alan adı (domain) mülkü olarak ekleyin. Bu mülk HTTP, HTTPS ve tüm alt alan adlarını kapsar. URL ön eki mülkü kullanıyorsanız HTTPS sürümünü ayrıca ekleyin.
- Anahtar kelime takibi: Semrush gibi anahtar kelime takibi (keyword tracking) uygulamaları kullanıyorsanız, ikinci bir profil daha yaratıp sitenizin HTTPS'li versiyonunu ekleyin. Bu, geçiş sonrasında durumunuzu takip edebilmeniz için faydalı olacaktır.
- En önemli sayfalar: Organik aramalardan en çok trafik gelen ve dönüşüm (conversion) sağlayan sayfalarınızı ve pozisyonlarını not alın.
- Üçüncü parti kaynaklar: Gerek reklam ağları gerekse sosyal medya eklentileri olsun, üçüncü parti tüm kaynakların HTTPS'i desteklediğinden ve doğru bir şekilde çalıştığından emin olun.
- Test ortamı: Eğer bir test ortamınız varsa, aşağıdaki geçiş sonrası yapılması gerekenler kısmındaki maddeleri önce test ortamında gerçekleştirin.
- Yedek: Hayat bu, ne olur ne olmaz; sitenizin güncel bir yedeğini (backup) alın.
HTTPS’e Geçiş Sonrası Yapılması Gerekenler
- Tüm sitenizi Screaming Frog, Lumar (eski adıyla Deepcrawl) ya da Botify gibi tarama araçlarıyla taratıp varsa kırık linklerinizi düzeltin.
- Canonical ve hreflang (alternate) gibi etiketlerinizin HTTPS URL'leri gösterdiğinden emin olun.
- Sisteme HTTP üzerinden gelen tüm isteklerin 301 durum kodu ile HTTPS sürümüne yönlendiğinden emin olun.
- Domaininizin www ya da www'suz sürümünden hangisini kullanıyorsanız, kullanmadığınız sürümün, kullandığınız sürümün HTTPS'li haline 301 durum kodu ile yönlendiğinden emin olun.
- Tüm sayfalarınızın HTTPS sürümünde çalıştığından emin olun.
- PDF, JS, CSS, görsel gibi tüm kaynakların HTTPS üzerinden yüklendiğinden emin olun. HTTPS bir sayfada HTTP üzerinden yüklenen kaynaklar karma içerik (mixed content) sorununa yol açar ve tarayıcılar bu kaynakları engelleyebilir.
- Site içinde oluşturduğunuz statik linkleri kontrol edin ve HTTPS olarak yeniden düzenleyin.
- Yeni bir sitemap dosyası oluşturun ve Search Console'a ekleyin. Eğer dinamik olarak sitemap oluşturan bir uygulamanız varsa, HTTPS'li URL ürettiğinden emin olun.
- robots.txt dosyanızın HTTPS'li sürümde de erişilebilir olduğundan ve kurallarının doğru çalıştığından emin olun.
- Disavow aracını kullandıysanız ve URL ön eki mülkü kullanıyorsanız, yüklediğiniz dosyayı HTTPS'li mülkünüze de yükleyin.
- Mobil uygulamanız içerisinde web URL'lerini API üzerinden Google vb. yerlere gönderiyorsanız, bir sorun olmadığını test edin.
- Çeşitli sebeplerle üçüncü partilere URL servisi gerçekleştiren uygulamalarınız varsa, HTTPS olarak servis verdiğinden emin olun.
- E-posta, kampanya ve varsa affiliate servislerinizin HTTPS üzerinden çalıştığını kontrol edin.
- CDN servisi kullanıyorsanız, CDN tarafında da SSL geçişinin yapıldığından emin olun.
- Ölçümleme araçlarınızın HTTPS'li sürümü takip ettiğinden emin olun.
- SSL sertifikanızın testini mutlaka yapın: SSL Server Test.
- HTTPS'in sorunsuz çalıştığından emin olduktan sonra HTTP Strict Transport Security'yi (HSTS) etkinleştirin.
- Yandex ve Bing Webmaster Tools araçlarını kullanıyorsanız, hesaplarınızı kontrol edip benzer aksiyonları bu paneller üzerinde de uygulamayı ihmal etmeyin.
- HTTP ve HTTPS sürümlerinin trafiğini ve Google arama sonuçlarındaki performansını takip edin.
- Search Console'daki Sayfa Dizine Ekleme ve HTTPS raporlarını inceleyin, gereken noktalarda aksiyon alın.
- Son olarak Search Console'daki URL Denetleme aracıyla ana sayfanızı test edin ve dizine eklenmesini isteyin.
HTTP'den HTTPS'e geçişte Search Console'daki Adres Değişikliği aracını kullanmanıza gerek yoktur. Bu araç alan adı değişiklikleri içindir, protokol değişikliklerini desteklemez.
Search Console HTTPS Raporu
Google, internet sitesi sahiplerinin sayfa deneyimini nasıl değerlendirdiğini anlamalarına ve sorunları düzeltmelerine yardımcı olmak için Search Console'da sayfa deneyimiyle ilgili raporlar sunuyor. Bu raporlardan biri olan HTTPS raporu, sitenin HTTPS durumu hakkında bilgi verir ve hangi sayfaların HTTPS üzerinden sunulmadığını ve neden sunulmadığını anlamayı kolaylaştırır. Google arama sonuçlarında sunulan HTTPS sayfalarınız hakkında bilgi almak için bu raporu kullanabilirsiniz. Raporda, sayfaların HTTPS olarak sunulmasını engelleyen sorunları örnek URL'lerle birlikte görebilirsiniz.
Rapor üzerinden gösterilen sorunlar şunlardır:
- HTTP marked with canonical tag: HTTPS sayfa, canonical etiketinde HTTP sürümünü gösteriyor.
- HTTPS has invalid certificate: HTTPS sürümün sertifikası geçersiz.
- Sitemap points to HTTP: Site haritası, sayfanın HTTP sürümünü listeliyor.
- HTTPS has redirect: HTTPS sürüm, HTTP sürüme yönlendiriyor.
- HTTPS URL is roboted: HTTPS sürüm robots.txt ile engellenmiş.
- HTTPS not evaluated: Google sayfayı henüz değerlendirmemiş.
- Other issues: Diğer sorunlar.
