SSL sertifikası nedir, nasıl alınır? Kilit simgesi ne anlatır?

SSL sertifikası, bir sitenin en sessiz çalışan parçalarından biridir ve kurulduğu gün kimse onu fark etmez. Süresi dolduğu sabah ise ziyaretçi sitenin yerine tarayıcının uyarı ekranını görür.

Dış kaynak CTO işlerinde güvenlik, yedek ve erişim çoğu zaman kimsenin üstünde olmayan konulardır; sertifika da bu listeye girer. Bu yazıda SSL sertifikası nedir, ne işe yarar ve nasıl alınır sorularını cevapladım; Entrobase'in alan adı belgesinden iki gerçek ekranla.

SSL sertifikası nedir, ne işe yarar?

Bir siteye girdiğinizde tarayıcı ile sunucu arasında sürekli bilgi gidip gelir. Formlara yazılan ad ve telefon, giriş şifreleri ve sepet bilgileri bu yoldan geçer. SSL sertifikası bu bilginin yolda okunmasını ve değiştirilmesini engeller.

Sertifika iki iş yapar: bağlantıyı şifreler ve sitenin gerçekten o alan adına ait olduğunu doğrular. Doğrulamayı sertifika otoritesi denen kuruluşlar yapar; tarayıcılar yalnız güvendikleri otoritelerin verdiği sertifikayı kabul eder.

Sertifikası olan site https ile açılır. Sertifikası olmayan site http ile açılır ve Chrome bu siteleri 2018'den beri adres çubuğunda Güvenli değil diye işaretler.

SSL ile TLS arasındaki fark

SSL, bu şifrelemeyi yapan ilk protokolün adıdır ve yerini yıllar önce TLS aldı. SSL'in son sürümü 2015'te IETF'nin RFC 7568 belgesiyle kullanımdan kaldırıldı.

Bugün yaygın olan sürüm, 2018'de yayımlanan TLS 1.3'tür. Yine de piyasada herkes SSL sertifikası der ve firmaların sattığı ürün aynı şeydir. Bu yazıda da alışılmış adı kullanıyorum.

Kilit simgesi neyi gösterir, neyi göstermez?

Kilit simgesi yıllarca güvenli site işareti diye anlatıldı, oysa yalnız bağlantının şifreli olduğunu söyler. Sahte bir site de ücretsiz bir sertifika alıp kilitle açılabilir.

Google, Mayıs 2023'te Chromium blogunda bu yanlış anlamayı açıkça yazdı. Eylül 2023'te çıkan Chrome 117'den beri adres çubuğunda kilidin yerinde ayar simgesi görünüyor. Sertifikasız http siteler ise hâlâ güvenli değil diye işaretleniyor.

Kilit simgesinin bir sitenin güvenilir olduğunu göstermediğini biliyoruz.

İşletme için bunun anlamı şu: sertifika her sitede bulunması gereken bir tabandır. Ziyaretçinin size güvenmesi ise sitenin geri kalanına bağlıdır: açık adres, gerçek iletişim bilgisi, çalışan formlar.

SSL sertifikası türleri: DV, OV, EV ve wildcard

Sertifika türleri, sertifikayı veren kuruluşun neyi doğruladığına göre ayrılır. Şifrelemenin kendisi hepsinde aynı düzeydedir.

Tarayıcılar artık EV sertifikası için adres çubuğunda şirket adını öne çıkarmıyor. Ziyaretçi açısından DV ile EV arasında görünür bir fark kalmadı. Küçük bir işletme sitesi için DV sertifika çoğu zaman yeterlidir.

SSL sertifikası nasıl alınır?

Sertifikaya üç yoldan ulaşılır. İlkinde hosting firması sertifikayı pakete dahil eder; bunların çoğu ücretsiz Let's Encrypt sertifikası kullanır. İkincisinde ücretli bir sertifika satın alıp sunucuya kendiniz yüklersiniz. Üçüncü yolda ise siteyi kurduğunuz platform, alan adını bağladığınızda sertifikayı kendisi hazırlar.

Sertifikanın kurulduğu sunucuyu ve hosting türlerini ayrı bir yazıda anlattım.

Üçüncü yolu kendi ürünümüzden göstereyim. Entrobase'in kurucusuyum; aşağıdaki ekranlar ürünün herkese açık alan adı belgesinden.

Alan adının kayıtları doğrulanınca ekran Sertifika hazırlanıyor durumuna geçer. Sertifika birkaç dakika içinde hazırlanır ve durum Aktif olunca site kendi adresinden açılır. Bu düzende kullanıcı sertifika dosyasıyla hiç uğraşmaz.

Aynı belgedeki sorun tablosu, sertifikanın neye bağlı olduğunu da gösteriyor. Sertifika, alan adının kayıtları doğru yere işaret etmeden hazırlanamaz. Bu yüzden kilitle ilgili bir sorunda önce DNS kayıtlarına bakmak gerekir.

Sertifika süreleri kısalıyor: yenileme kimde?

Tarayıcı üreticileri ile sertifika otoritelerinin ortak kurulu CA/Browser Forum, Nisan 2025'te süreleri kademeli kısaltma kararı aldı. 15 Mart 2026'dan beri bir sertifika en çok 200 gün geçerli. Bu süre Mart 2027'de 100 güne, Mart 2029'da 47 güne iniyor.

Let's Encrypt de kendi takvimini açıkladı: bugün 90 gün olan sertifika süresi Şubat 2028'de 45 güne inecek.

Bu takvimin işletme için anlamı şu: sertifikayı yılda bir kez elle yenilemek artık tutmaz, yenilemenin kendiliğinden yapılması gerekir. Benim bu konudaki sorum sorumlulukla ilgilidir: yenileme kimin üstünde ve bir gün olmazsa kime haber gidiyor?

SSL sertifikası nasıl kontrol edilir?

Sitenizin sertifikasını teknik bilgi gerektirmeden birkaç dakikada kontrol edebilirsiniz. Benim baktığım sıra şöyle:

1. Adres çubuğundaki simgeye tıklayıp bağlantının güvenli, sertifikanın geçerli olduğunu görün; ayrıntıda bitiş tarihi yazar.
2. Adresinizi başında http ile yazın ve https adresine yönlendiğini görün.
3. Hem www ile hem www olmadan açın; iki adres de sertifikayla açılmalı.
4. Karışık içerik var mı bakın: https bir sayfada http ile yüklenen görsel ya da betik tarayıcının uyarı vermesine yol açar.
5. Alt alan adlarınızı listeleyin ve her birinin sertifikasını ayrı ayrı kontrol edin.
6. Yenilemenin otomatik olduğunu ve hata olursa kimin haber alacağını yazılı hâle getirin.

Teklifteki SSL maddesini inceleyen prompt

Bir hosting ya da site teklifinde SSL çoğu zaman tek satırla geçer. Aşağıdaki promptu bir yapay zeka asistanına teklif metniyle birlikte verin. Asistan maddeyi açar ve firmaya sormanız gerekenleri çıkarır.

Sitem için aldığım teklifte SSL sertifikasıyla ilgili kısmı anlamak istiyorum.

Teklif metni:
[teklifi buraya yapıştırın]

Sitemin adresleri: [firmaniz.com, www.firmaniz.com ve varsa alt alan adları]

Senden istediklerim:
1. Sertifikanın türünü (DV, OV, EV ya da wildcard), ücretli mi ücretsiz mi olduğunu ve hangi adresleri kapsadığını yaz.
2. Yenilemenin kendiliğinden mi yoksa elle mi yapıldığını ve bu işin kimde olduğunu belirt. Metinde bu bilgi geçmiyorsa açıkça söyle.
3. Yazdığım adreslerden kapsam dışında kalan varsa işaretle.
4. Firmaya sormam gereken en çok beş soruyu sırala.
5. Metinde bulunmayan bir bilgiyi tahmin ederek ekleme.

SSL sertifikası kurulması kolay, unutulması da kolay bir parçadır. Asıl iş, onu kimin yenilediğini ve süresi dolarsa kimin haber alacağını baştan yazmaktır.