SSL sertifikası, bir web sitesinin HTTP protokolünden HTTPS protokolüne yükseltilmesini sağlayan kritik bir teknik bileşendir. Bu, tarayıcı ile sunucu arasında şifreli bir bağlantı kurarak iletilen verilerin güvenliğini ve gizliliğini garanti eden dijital bir sertifikadır. Günümüzde ağ güvenliğine giderek daha fazla önem verildiğinden, SSL sertifikaları özellikle kullanıcı girişleri veya çevrimiçi işlemler içeren web siteleri için vazgeçilmez bir unsur haline gelmiştir. Sadece hassas bilgileri korumakla kalmaz, aynı zamanda kullanıcı güvenini de artırır ve arama motoru optimizasyonu (SEO) üzerinde olumlu bir etkiye sahiptir. Bu nedenle, SSL sertifikalarının çalışma prensiplerini, türlerini ve nasıl seçilip dağıtılacağını bilmek, web sitesi sahipleri ve geliştiricileri için son derece önemlidir.
SSL sertifikasının nasıl çalıştığı.
SSL/TLS protokolünün temeli, güvenli bir iletişim kanalı oluşturmak için asimetrik şifreleme ve simetrik şifreleme yöntemlerinin birleştirilmesidir. Bu süreç esas olarak “SSL el sıkışması” (SSL handshake) adı verilen işlem aracılığıyla gerçekleştirilir.
Asimetrik şifreleme ile simetrik şifrelemenin birleştirilmesi
SSL/TLS protokolü, iki farklı şifreleme yönteminin avantajlarını ustaca birleştirir. Asimetrik şifreleme, genellikle RSA veya ECC algoritmaları kullanılarak, oturum başlangıcında kimlik doğrulaması ve oturum şifrelerinin aktarılması için kullanılır. Asimetrik şifrelemenin özelliği, şifreleme ve şifre çözme işlemlerinin farklı anahtarlar kullanılarak yapılmasıdır; yani bir anahtar kamuya açık (anahtar) diğer anahtar ise gizlidir (özel anahtar). Kamuya açık anahtar şifreleme için kullanılırken, özel anahtar sunucu tarafından sıkı bir şekilde korunur ve şifre çözme işlemi için kullanılır.
Tavsiye edilen okuma SSL Sertifikaları Kılavuzu: Türler, Çalışma Prensibi ve En İyi Dağıtım Uygulamaları。
Simetrik şifreleme, örneğin AES algoritması, el sıkışma işlemi tamamlandıktan sonra gerçekleştirilen uygulama katmanı verilerinin şifrelenmesi için kullanılır. Özelliği, şifreleme ve şifre çözme işlemlerinde aynı anahtarın kullanılmasıdır; işlem hızı yüksektir ve büyük miktarda verinin şifrelenmesi için uygundur. SSL el sıkışmasının temel amaçlarından biri, istemci ile sunucunun yalnızca kendilerinin bildiği bir simetrik oturum anahtarı belirlemesidir.
Tam SSL/TLS El Sıkışma Süreci
Kullanıcı bir HTTPS adresini tarayıcı adres çubuğuna girdiğinde, SSL/TLS el sıkma (handshake) süreci başlar. Öncelikle, istemci sunucuya “Client Hello” mesajını gönderir; bu mesajda desteklediği SSL/TLS sürümleri, şifreleme paketleri listesi ve rastgele bir sayı bulunur.
Sunucu, “Server Hello” mesajını gönderir; her iki tarafın da desteklediği protokol sürümünü ve şifreleme paketini seçer, ardından kendi rastgele sayısını ve bir dijital sertifikayı gönderir. Bu sertifika, sunucunun kamusal anahtarını ve güvenilir bir sertifika veren kuruluş (CA) tarafından verilen dijital imzayı içerir.
İstemci sertifikayı aldıktan sonra, geçerliliğini doğrular. Sunucu sertifikasının imzasını doğrulamak için yerel bilgisayarda bulunan veya işletim sisteminde yerleşik olan CA (Certificate Authority – Sertifika Yetkilisi) kök sertifikasını kullanır. Doğrulama başarılı olduktan sonra, istemci sunucunun kimliğine güvenir.
Daha sonra, istemci bir “ön anahtar” oluşturur ve bu anahtarı sunucunun sertifikasındaki kamuya açık anahtar kullanarak şifreler; ardından şifreli anahtarı sunucuya gönderir. Sunucu, kendi özel anahtarı kullanarak bu şifreli anahtarı çözer ve böylece ön anahtarı elde eder. Bu aşamadan itibaren, hem istemci hem de sunucu iki rastgele sayıya (istemcinin rastgele sayısı ve sunucunun rastgele sayısı) ve ön anahtara sahip olur. Her ikisi de aynı algoritmayı kullanarak nihai simetrik oturum anahtarını hesaplar.
Tavsiye edilen okuma SSL Sertifikası Nedir: Başlangıçtan Uzmanlığa, Web Sitelerinin Veri İletim Güvenliğini Sağlamak。
El sıkışmanın sonunda, taraflar yeni oluşturulan oturum anahtarı ile şifrelenmiş “Finished” mesajlarını birbirlerine göndererek anahtarın doğruluğunu doğrularlar. Bundan sonra, tüm uygulama katmanı verileri bu simetrik oturum anahtarı kullanılarak şifreli bir şekilde iletilir.
SSL sertifikalarının ana tipleri ve seçimi.
Farklı doğrulama seviyelerine ve uygulama senaryolarına göre, SSL sertifikaları esas olarak üç kategoriye ayrılır. Uygun sertifika türünü seçmek, güvenliği ve maliyet dengesini sağlamanın önemli bir adımıdır.
DV, OV ve EV sertifikalarının temel farklılıkları
Alan adı doğrulama (Domain Validation – DV) sertifikaları en temel sertifika türüdür. Sertifika veren kuruluşlar (Certificate Authorities – CAs), başvuru sahibinin alan adı üzerindeki kontrol haklarını yalnızca, genellikle alan adı yöneticisinin e-postasını doğrulayarak veya belirli DNS kayıtları ayarlayarak teyit ederler. Bu tür sertifikaların doğrulama süreci hızlı ve maliyeti düşüktür; esas olarak kişisel web siteleri, bloglar veya test ortamları için kullanılır ve temel şifreleme özelliklerini sağlar. Tarayıcı adres çubuğunda kilit simgesi ve HTTPS ön eki görüntülenir.
OV (Organizational Validation) sertifikaları, daha sıkı bir doğrulama sürecinden geçer. Alan adı sahipliğinin yanı sıra, CA (Certificate Authority – Sertifika Yetkilisi) aynı zamanda başvuru yapan kuruluşun gerçekliğini ve yasallığını da incelemektedir; örneğin şirketin ticari kayıt sistemlerindeki bilgilerini kontrol eder. OV sertifikaları, başvuru yapan kuruluşun adını içerir ve kullanıcılar tarayıcılarda kilit simgesine tıklayarak bu bilgilere erişebilirler. Bu sertifikalar, kurumsal web siteleri ve genel ticari web siteleri için uygundur ve daha yüksek bir güvenilirlik sağlar.
Genişletilmiş Doğrulama (Extended Validation – EV) sertifikalarının incelemesi en katıdır. Sertifika yetkilendirme kuruluşları (CA – Certificate Authorities), kuruluşların arka planını kapsamlı bir şekilde incelemek zorundadır ve bu incelemeler küresel olarak belirlenmiş standartlara uygun olarak yapılmalıdır. EV sertifikası bulunan web sitelerinde, bazı tarayıcılarda adres çubuğu yeşile dönüşür ve şirketin adı doğrudan görüntülenir. Bu özellik, finans, e-ticaret gibi yüksek güvenlik gerektiren web siteleri için en yüksek seviyede güven işareti sağlar.
Tek alan adı, çoklu alan adı ve joker karakter içeren sertifikalar
SSL sertifikaları, doğrulama seviyelerinin yanı sıra kapsadıkları alan adı sayısına göre de sınıflandırılır. Tek alan adına sahip sertifikalar yalnızca bir tam olarak tanımlanmış alan adını (FQDN – Fully Qualified Domain Name) korur. Örneğin: www.example.com 或 example.com。
Tavsiye edilen okuma SSL sertifikası nedir? Prensip, türler ve başvuru ve kurulum için kapsamlı bir rehber.。
Çoklu alan adı sertifikaları, aynı zamanda SAN (Subject Alternative Name) sertifikaları olarak da bilinir ve tek bir sertifika içinde hem ana alan adlarının hem de alt alan adlarının eklenmesine olanak tanır. Bu sayede birbirleriyle ilişkili birden fazla sitenin yönetimi daha kolay hale gelir.
Jenerik (wildcard) sertifikalar, çok sayıda alt alan adına sahip senaryolar için özellikle uygundur. Bir jenerik sertifika, bir alan adını ve tüm aynı seviyedeki alt alan adlarını koruyabilir. Örneğin… *.example.com Korunabilir. a.example.com、b.example.com、shop.example.com Bu, büyük çaplı çevrimiçi platformlarda veya SaaS (Software as a Service) hizmetlerinde oldukça değerlidir.
SSL sertifikasını nasıl edinebilir ve nasıl yükleyebilirsiniz?
Bir web sitesi için HTTPS’yi etkinleştirmenin ilk adımı, SSL sertifikasını edinmek ve doğru bir şekilde yüklemektir. Bu süreç, bir anahtar çiftinin oluşturulmasıyla başlar ve sunucuya dağıtılmasıyla sona erer.
CSR (Certificate Signing Request) sertifikası imza isteğinin oluşturulması ve doğrulanması
Sertifika başvuru süreci genellikle sunucuda başlatılır. Öncelikle, sunucuda bir özel anahtar dosyası ve bir sertifika imza isteği (CSR – Certificate Signing Request) dosyası oluşturulmalıdır. Özel anahtarın son derece güvenli bir şekilde saklanması gerekir; çünkü sunucunun kimliğinin nihai kanıtıdır ve bir kez ifşa edilirse, sertifikanın güvenliği tamamen ortadan kalkar.
CSR (Certificate Signing Request) dosyası, sunucunun kamuya açık anahtarını ve başvuru sahibinin bilgilerini (örneğin alan adı, kuruluş adı, konum vb.) içerir. Başvuru sahibi, CSR dosyasını seçtiği sertifika veren kuruluşa (Certificate Authority – CA) gönderir. CA, başvurulan sertifika türüne (DV/OV/EV) göre gönderilen bilgileri doğrular. Örneğin, bir DV sertifikası için CA, alan adının kayıtlı e-posta adresine doğrulama e-postası gönderir veya belirli bir DNS TXT kaydı oluşturulmasını talep eder. Doğrulama işlemi tamamlandıktan sonra, CA imzalanmış SSL sertifika dosyasını verir.
Sunucu tarafı dağıtımı ve yapılandırması
CA tarafından verilen sertifika dosyasını aldıktan sonra, bunu daha önce oluşturduğunuz özel anahtar dosyasıyla birlikte Apache, Nginx veya IIS gibi web sunucu yazılımlarına dağıtmanız gerekir. Dağıtım işlemi tamamlandıktan sonra, HTTPS hizmetinin düzgün bir şekilde çalışıp çalışmadığını mutlaka kontrol edin. Çevrimiçi SSL denetim araçları, sertifikanın doğru şekilde yüklendiğini, güvenli şifreleme paketlerinin kullanılıp kullanılmadığını ve herhangi bir bilinen güvenlik açığının olup olmadığını doğrulamada yardımcı olabilir.
Dağıtım, sadece sertifikanın yüklenmesi anlamına gelmez; aynı zamanda sunucunun kritik ayarlarının da yapılandırılmasını içerir. Örneğin, tüm HTTP isteklerinin HTTPS’ye 301 yönlendirmesi yapılmalı, güvenli bağlantı kullanılması zorunlu kılınmalıdır; HSTS (HTTP Strict Transport Security) başlığı etkinleştirilmeli ve tarayıcılara belirli bir süre boyunca web sitesine yalnızca HTTPS üzerinden erişilmesi talimatı verilmelidir. Ayrıca, SSLv2 ve SSLv3 gibi bilinen güvensiz eski SSL protokolleri devre dışı bırakılmalı ve TLS 1.2 veya daha yeni sürümlerinin kullanılması zorunlu kılınmalıdır.
SSL Sertifikalarının Bakımı ve Yönetimi
SSL sertifikalarının dağıtılması bir kez yapıldıktan sonra her şeyin çözüldüğü anlamına gelmez. Etkili bir yaşam döngüsü yönetimi, sürekli güvenliği sağlamanın kritik bir parçasıdır; bu da süresi dolan sertifikaların güncellenmesini, iptal edilmesini ve performans açısından gerekli adımların atılmasını içerir.
Sertifika Yaşam Döngüsü ve Yenileme
SSL sertifikaları sürekli olarak geçerli değildir. Mevcut endüstri standardına göre, sertifikanın geçerlilik süresi en fazla 398 gündür (yaklaşık 13 ay). Bu süre, CA/B forumları tarafından belirlenmiştir ve sertifikaların düzenli olarak değiştirilmesini, güvenlik denetimlerinin yapılmasını teşvik etmek ve özel anahtarların sızdırılmasından kaynaklanan uzun vadeli riskleri azaltmak amacıyla belirlenmiştir. Sertifika süresi dolduğunda geçersiz hale gelir ve bu durum web sitelerinde güvenlik uyarılarına neden olur; bu da kullanıcı deneyimini ve web sitesinin kullanılabilirliğini ciddi şekilde etkiler.
因此，监控证书的到期日期至关重要。建议设置日历提醒，并在到期前30天开始准备续订。续订流程与初次申请类似，都需要生成新的CSR并提交给CA进行验证。理想的做法是，建立自动化的证书续订机制，尤其是在使用Let's Encrypt等提供的免费、自动化的证书服务时，可以有效避免因证书过期而导致的服务中断。
Sertifika İptali ve Özel Anahtar Güvenliği
Sertifikanın geçerlilik süresi boyunca, eğer sunucunun özel anahtarı kazara kaybolursa veya ifşa olursa, veya sertifikayı elinde tutan kuruluşun bilgilerinde değişiklik olursa (örneğin alan adı artık kullanılmıyorsa), ilgili sertifikanın iptal edilmesi için derhal CA’ya (Sertifika Yetkilisi) başvurulmalıdır. İptal edilen sertifika, Sertifika İptal Listesi’ne (Certificate Revocation List – CRL) eklenir veya Çevrimiçi Sertifika Durum Protokolü (Online Certificate Status Protocol – OCSP) aracılığıyla geçersiz olarak işaretlenir.
Özel anahtarların güvenliğini sağlamak, tüm SSL/TLS güvenliğinin temelidir. Özel anahtarlar şifreli bir şekilde sunucuda saklanmalı ve erişim hakları sıkı bir şekilde kontrol edilmelidir; yalnızca gerekli hizmet süreçlerinin okumasına izin verilmelidir. Özel anahtarlar asla güvenli olmayan kanallar aracılığıyla aktarılmamalı veya kod depolarında, yedek dosyalar içinde şifrelenmeden bulundurulmamalıdır.
HTTPS Performans Optimizasyonu Kriterleri
HTTPS’in etkinleştirilmesiyle birlikte gelen şifreleme ve şifre çözme işlemleri, sunucunun işlem yükünü artırmaktadır. Ancak modern donanımın gelişimiyle birlikte bu performans kaybı oldukça azalmıştır. TLS oturumlarının yeniden kullanılmasını etkinleştirerek ve şifreleme paketlerinin seçimini optimize ederek (örneğin, AES-GCM veya ChaCha20-Poly1305 algoritmalarını ve ECDHE anahtar değişim mekanizmalarını destekleyen şifreleme paketlerini tercih ederek), el sıkma (handshake) süreçlerindeki gecikmeleri ve sunucu yükünü önemli ölçüde azaltmak mümkündür.
Ayrıca, TLS 1.3 protokolünün kullanılması el sıkma (handshake) süresini daha da kısaltabilir, çünkü bu protokol el sıkma işlemini basitleştirir. 2026 yılı itibarıyla, performans gerekçesiyle HTTPS’yi etkinleştirmeyi reddetmek artık geçerli bir neden değildir.
Özetle.
Kısacası, SSL sertifikaları güvenli ve güvenilir bir internet ortamı oluşturmanın temel taşıdır. Karmaşık şifreleme protokolleri aracılığıyla, kullanıcıların tarayıcıları ile sunucular arasında güçlü bir güvenlik duvarı oluşturarak veri aktarımının gizliliğini ve bütünlüğünü korurlar. Temel DV sertifikalarından, daha sıkı doğrulama gerektiren EV sertifikalarına; tek bir alan adını koruyan sertifikalardan, geniş alan adlarını kapsayan jenerik sertifikalara kadar çeşitli SSL sertifika türleri, farklı ihtiyaçlara uygun çözümler sunar. Bir SSL sertifikasının edinilmesi, dağıtılması ve yönetilmesi; özel anahtarların oluşturulmasından, doğrulama süreçlerinin tamamlanmasına, sunucu ayarlarının yapılmasından ve sertifikanın süresinin yenilenmesine kadar uzanan bir süreçtir. Günümüz internet ortamında, web siteleri için etkili SSL sertifikalarının kullanılması ve güvenli HTTPS bağlantılarının kurulması, artık sadece bir seçenek olmaktan çıkıp; kullanıcı güveninin sağlanması, profesyonel imajın artırılması ve hatta arama sıralamalarının iyileştirilmesi açısından zorunlu bir adım haline gelmiştir.
Sıkça Sorulan Sorular.
SSL sertifikası için bir ücret gereklidir mi?
SSL证书有免费和付费两种类型。像Let's Encrypt提供的免费DV证书，完全能够满足个人网站或博客的基本加密需求。付费证书则提供了更高级别的组织验证（OV）、扩展验证（EV），以及更长的有效期、更完善的赔偿保障和技术支持，适合商业网站和企业级应用。
SSL sertifikası yüklendikten sonra, web sitesi kesinlikle güvende midir?
Öyle değil. SSL/TLS esas olarak veri aktarımı sırasında karşılaşılan şifreleme sorunlarını çözer ve verilerin aktarım sırasında dinlenmesini veya değiştirilmesini engeller. Ancak, sunucunun saldırıya uğraması, web sitesi programlarında SQL enjeksiyonu veya çapraz sitelik betik (XSS) güvenlik açıkları bulunması, kullanıcı şifrelerinin çok basit olması gibi diğer güvenlik sorunlarını önleyemez. SSL sertifikası, bir web sitesinin genel güvenlik stratejisinin çok önemli bir parçasıdır; ancak tek başına tüm güvenliği sağlamaz.
Web sitemin içeriği hassas bilgiler içermiyor; yine de SSL sertifikasına ihtiyacım var mı?
Evet, gereklidir. Öncelikle, Chrome, Firefox gibi modern tarayıcılar, HTTPS protokolü kullanmayan web sitelerini “güvensiz” olarak işaretler; bu da kullanıcıların ilk izlenimlerini ve güven duygularını doğrudan etkiler. İkincisi, Google gibi arama motorları artık HTTPS’yi arama sıralamalarında olumlu bir faktör olarak değerlendiriyor. Ayrıca, hassas olmayan bilgiler olsa bile şifreli bağlantılar, veri trafiğinin ele geçirilmesini, reklamların eklenmesini veya kötü amaçlı kodların yerleştirilmesini önler; bu da web sitelerinin bütünlüğünü ve kullanıcı deneyimini korur.
Bir web sitesinin SSL sertifika bilgilerini nasıl görüntüleyebilirim?
Bir HTTPS web sitesini ziyaret ettiğinizde, çoğu tarayıcı adres çubuğunun sol tarafında bir kilit simgesi gösterir. Bu kilit simgesine tıkladığınızda genellikle “Bağlantı güvenlidir” uyarısı görürsünüz. Daha sonra “Sertifika geçerlidir” veya benzeri seçeneklere tıklayarak sertifika ayrıntıları penceresini açabilirsiniz. Bu pencerede, sertifikanın kime verildiği (alan adı), veren kuruluş (CA – Certificate Authority), geçerlilik süresi ve kullanılan şifreleme algoritması gibi bilgileri inceleyebilirsiniz.
Bir SSL sertifikası birden fazla sunucuda kullanılabilir mi?
Teknik olarak mümkündür. Özel anahtar aynı olduğu sürece, aynı sertifika, örneğin yük dengeleyicinin arkasındaki Web sunucu kümeleri gibi aynı hizmeti sağlayan birden fazla sunucuda kullanılabilir. Ancak yönetim ve güvenlik açısından özel dikkat gereklidir: Özel anahtarın birden fazla sunucu arasında aktarımı ve saklanması mutlaka tamamen güvenli olmalıdır; eğer sunuculardan birindeki özel anahtar sızarsa, bu sertifayı kullanan tüm hizmetler etkilenecektir ve sertifika derhal iptal edilip yeniden verilmelidir.
Bir sonraki adım, bundan sonra ne yapmalıyım?
Daha fazla okuma ve pratik bilgiler.
Aşağıdaki içerikler bu makalenin konusuyla ilgilidir ve daha fazla okumak için uygundur. Öncelikle mevcut sorununuza en yakın makaleden başlayın, sonra çevresel konulara doğru ilerleyin, genellikle daha iyi sonuçlar alırsınız.
- Alan Adı Çözümleme, Yönetimi ve En İyi Uygulamalar: Başlangıçtan Uzmanlığa
- SSL Sertifikası Nedir? Başvuru, Yapılandırma ve Türlerine Dair Kapsamlı Rehber
- Kapsamlı SSL Sertifikası Analizi: Prensip, Satın Alma ve Kurulum Kılavuzu
- SSL sertifikası nedir? Web sitenizin güvenliğini nasıl sağlar?
- SSL Sertifikası Ayrıntılı İncelemesi: Türler, İlke ve Dağıtım Kılavuzu
Türkçe