SSL ve HTTPS Nedir?

Bir sitenin adresine baktığınızda başında "https://" ve yanında küçük bir kilit simgesi görmüşsünüzdür. Bazen de "Güvenli değil" uyarısı çıkar ve insan o sayfadan kaçar. Bu iki durum arasındaki fark SSL ve HTTPS denen şeylerdir. Bir işletme sahibi olarak bunların ayrıntılarını bilmek zorunda değilsiniz; ama ne işe yaradıklarını bilmek, ziyaretçilerinizi korumanız ve kaybetmemeniz için yeterince önemlidir.

HTTP'den HTTPS'e

Tarayıcınızla bir web sitesi arasındaki iletişim bir mektup trafiği gibidir. Eski yöntem olan HTTP'de bu mektup açık zarfla gider; yol üzerindeki biri okuyabilir ya da değiştirebilir. HTTPS'te ise mektup kilitli bir zarfla gönderilir; yalnızca doğru alıcı açabilir. Bu "kilit", şifreleme denen bir yöntemle sağlanır.

Bu yüzden bir sitede form doldururken, giriş yaparken ya da ödeme bilgisi girerken adresin HTTPS ile başlaması önemlidir. Yazdığınız bilgilerin yolda başkalarınca okunmasını zorlaştırır.

SSL mi, TLS mi?

Günlük dilde herkes "SSL sertifikası" der. Teknik olarak SSL eski bir protokolün adıdır ve yerini TLS almıştır. Ama sektörde "SSL" adı alışkanlıkla kalmıştır. Sertifika aldığınızda, aslında modern TLS protokolüyle çalışan bir bağlantı kurulur. Siz "SSL" ya da "HTTPS" demeye devam edebilirsiniz; hizmet sağlayıcıların çoğu da aynı terimleri kullanır.

Sertifika neyi kanıtlar?

Bir SSL sertifikası iki şey sağlar. Birincisi, tarayıcı ile site arasındaki bağlantıyı şifreler. İkincisi, o alan adının sertifikayı alan kişiye ya da kuruma ait olduğunu bir sertifika otoritesi aracılığıyla doğrular. Bazı sertifika türleri işletme bilgilerinin de doğrulanmasını içerir; ama çoğu yaygın sertifika yalnızca alan adının kontrolünü doğrular.

Burada önemli bir not: HTTPS, sitenin güvenilir olduğu anlamına gelmez. Dolandırıcılık amaçlı bir sitenin de geçerli bir sertifikası olabilir. Kilit simgesi yalnızca "bağlantı şifreli" der; "bu siteye güvenebilirsiniz" demez.

İşletme siteniz neden HTTPS kullanmalı?

HTTPS kullanmak için üç ana neden var:

• Ziyaretçi güveni: Tarayıcılar HTTPS olmayan siteleri "Güvenli değil" diye işaretler; bu uyarı ziyaretçiyi kaçırabilir.
• Veri koruması: İletişim formu, randevu talebi ya da sipariş bilgisi gibi girdiler şifreli iletilir.
• Temel beklenti: Arama motorları ve tarayıcılar HTTPS'i standart olarak kabul eder; HTTPS olmayan bir site eski ve bakımsız izlenimi verir.

Bir sitenizde hiç form olmasa bile HTTPS kullanmak iyi bir uygulamadır, çünkü sayfanın içeriğinin yolda değiştirilmesini engeller.

Sertifika nasıl alınır?

Çoğu modern site barındırma hizmeti, sertifikayı sizin için otomatik olarak kurar ve yeniler. Siteyi yayımladığınız ortam bunu sağlıyorsa ekstra bir işlem yapmanız gerekmeyebilir. Kendi alan adınızı kullanıyorsanız, alan adının doğru ayarlanmasından sonra sertifikanın hazırlanması için kısa bir süre geçmesi normaldir. Ücretli ve ücretsiz sertifika seçenekleri vardır; küçük bir işletme sitesi için çoğu zaman ücretsiz ve otomatik yenilenen bir sertifika yeterlidir. Hangi seçeneğin sizin için uygun olduğunu barındırma hizmetinizin kendi belgelerinden kontrol edin.

Adres çubuğunda ne görmeli?

Siteniz yayındayken şunları kontrol edin:

• Adres "https://" ile başlıyor mu?
• Adres çubuğunda kilit simgesi ya da "güvenli" göstergesi var mı?
• Sayfa farklı tarayıcıda ve telefonda da uyarısız açılıyor mu?
• "www" olan ve olmayan adres aynı yere, güvenli biçimde gidiyor mu?
• Sayfanın içindeki görseller ve dosyalar da HTTPS ile yükleniyor mu?

Son madde "karışık içerik" denen soruna işaret eder: Sayfa HTTPS ile açılır ama içindeki bir görsel HTTP ile yüklenirse tarayıcı sayfayı kısmen güvensiz gösterebilir. Bu durum görsel adreslerini düzeltmekle çözülür.

Tarayıcı uyarısı çıkarsa

Siteniz için "Bağlantınız gizli değil" ya da "Güvenli değil" uyarısı çıkıyorsa şu olasılıkları değerlendirin:

• Sertifika süresi dolmuş olabilir
• Sertifika farklı bir alan adı için düzenlenmiş olabilir
• Alan adı yeni bağlandıysa sertifika henüz hazır olmayabilir
• Cihazınızın saati ya da tarihi yanlış olabilir
• Sitedeki bir bileşen güvensiz yüklenmiş olabilir

İlk adımda başka bir cihazdan ve başka bir bağlantıdan deneyin. Sorun sürüyorsa barındırma hizmetinizin destek ekibiyle iletişime geçin. Ziyaretçilerden gelen şikâyetleri ciddiye alın; "bende açılmıyor" diyen biri çoğu zaman gerçek bir sorunun habercisidir.

Sertifika yenileme

Sertifikaların bir geçerlilik süresi vardır. Süresi dolan sertifika, sitenin bir anda uyarı vermesine neden olur. Otomatik yenileme sunan bir hizmet kullanıyorsanız bu çoğu zaman sessizce halledilir; ancak yine de ayda bir siteyi tarayıcıda açıp kontrol etmek yararlıdır. Elle yönettiğiniz bir sertifikanız varsa bitiş tarihini takvime yazın.

HTTPS tek başına yeterli değil

HTTPS, güvenliğin yalnızca bir parçasıdır. Sitenizin yazılımını güncel tutmak, güçlü parolalar kullanmak, yönetim paneline giriş için ek doğrulama yöntemlerini değerlendirmek, yetkisiz kişilere erişim vermemek ve yedek almak da gereklidir. HTTPS'in "siteniz tamamen güvenlidir" anlamına geldiğini düşünmek, yanıltıcıdır. Güvenlik iddialarını abartmayın; "verileriniz şifreli iletilir" demek doğru, "tamamen güvenli" demek ise vaat edilemeyecek bir ifadedir.

Küçük bir deneme: gizli pencerede açın

Sitenizin güvenli bağlantı durumunu kontrol etmek için tarayıcınızda gizli pencere açın ve adresi hem "www" ile hem de "www" olmadan yazın. Her iki adresin de güvenli biçimde açıldığını ve birinin diğerine yönlendirildiğini doğrulayın. Eski bir adres ya da bağlantı hâlâ güvenli olmayan sürüme gidiyorsa, düzeltilmesi gerekir.

Telefondaki mobil tarayıcıda da aynısını deneyin. Bazen bir cihazda uyarı çıkarken diğerinde çıkmaz; bu çoğunlukla cihazın saat ayarından ya da eski bir önbellekten kaynaklanır. Birden fazla cihazda sorun görüyorsanız, sorun sitenin kendisindedir.

Kısa kontrol listesi

• Sitem HTTPS ile açılıyor mu?
• Kilit simgesi ve uyarısız görünüm farklı cihazlarda aynı mı?
• "www" ve "www'suz" adres güvenli biçimde çalışıyor mu?
• Sayfa içindeki görseller güvenli yükleniyor mu?
• Sertifikanın yenilenme tarihi ya da otomatik yenileme durumunu biliyor muyum?
• Parolalarım güçlü ve yönetim erişimi sınırlı mı?

Özetle HTTPS, ziyaretçiye "bu bağlantı şifreli" diyen temel bir hijyen adımıdır. Kurması çoğu zaman kolaydır, kaybettirdiği ise bir uyarı kadar küçük ama etkili bir güven kaybıdır. Diğer rehberler için blogu ziyaret edin.