Günümüz dijital çağında, web sitelerinin güvenliği, itibarlarını ve kullanıcıların sitelerde kalma sürelerini belirleyen kritik bir faktör haline gelmiştir.

Günümüz dijital çağında, web sitelerinin güvenliği, itibarlarını ve kullanıcıların sitelerde kalma oranlarını belirleyen kritik bir faktör haline gelmiştir. Ağ veri aktarımı sırasında, bilgilerin çalınmamasını veya değiştirilmemesini sağlamak, tüm web sitesi operatörlerinin karşılaşması gereken bir sorundur. Güvenlik önlemlerinden yoksun bir web sitesi, sadece veri sızıntısı riskiyle karşı karşıya kalmakla kalmaz; aynı zamanda kullanıcılar ve arama motorları nezdindeki itibarını da ciddi şekilde etkiler. Bu sorunu çözmenin temel teknolojilerinden biri, web sitelerine şifreleme protokolleri aracılığıyla güvenli ve güvenilir bir koruma katmanı oluşturmaktır.

Bu koruma mekanizması, kullanıcıların tarayıcıları ile web sitesi sunucuları arasında aktarılan verileri yüksek seviyede şifreleyerek, verilerin ele geçirilmesi durumunda bile kolayca çözülmesini engeller. Aynı zamanda ziyaretçilere web sitesinin kimliğinin ve güvenliğinin doğruluğunu da görsel olarak kanıtlar. Kullanıcılar adres çubuğunda küçük bir kilit simgesi gördüklerinde, daha güvenli bir şekilde gezinme, giriş yapma veya işlem gerçekleştirebilirler. Günümüz web siteleri için bu, artık sadece “ek değerli bir hizmet” olmaktan çıkıp bir “altyapı bileşeni” haline gelmiştir.

Bu makale, temel kavramları, çalışma prensiplerini, ana türlerini ve dağıtım sürecini içeren kapsamlı bir rehber sunacaktır.

Tavsiye edilen okuma Kapsamlı SSL Sertifikası Kılavuzu: Sıfırdan Gerçek Dağıtıma。

SSL/TLS sertifikası nedir?

SSL/TLS sertifikası, SSL (Güvenli Soket Katmanı) veya onun halefi olan TLS (İletim Katmanı Güvenliği) protokol standartlarına uygun bir dijital dosyadır. Temel işlevi, kullanıcının internet tarayıcısı (istemci) ile web sitesi sunucusu arasında şifreli bir iletişim kanalı oluşturmaktır. Bu sertifika, bir web sitesinin “dijital pasaportu” gibidir ve aynı zamanda iki temel görevi yerine getirir: kimlik doğrulama ve veri şifreleme.

Bluehost SSL sertifikası.

BlueHost SSL sertifikaları, 1-2 yıllık uzatma süresi seçenekleri sunar, RSA veya ECC algoritmalarını destekler, 4096 bit'e kadar anahtar uzunluğu sağlar ve 1,75 milyon ABD dolarına kadar garanti tutarı sunar.

Aylık $7,49 USD'den başlayan fiyatlarla.

Bluehost SSL sertifikasına erişin →

hosting.com SSL sertifikası.

Uygun fiyatlı DV, OV, EV SSL sertifikaları, en yüksek 256 bit şifreleme, 5 milyon ila 100 milyon ABD doları tutarında garanti ve 7/24 destek.

Aylık $2.5 USD'den başlayan fiyatlarla.

Hosting.com SSL sertifikasına erişin. →

Kimlik doğrulama, geçerli bir sertifika yüklü bir web sitesine eriştiğinizde tarayıcınızın, bu sertifikayı veren yetkili kuruluşa web sitesinin kimliğini doğrulaması anlamına gelir. Bu sayede gerçekten erişmeye çalıştığınız web sitesinin sahte olmadığından, bilgilerinizi çalmaya çalışan bir dolandırıcılık sitesi olmadığından emin olursunuz. Bu süreç, “aracı saldırılarına” (intermediate attacks) karşı etkili bir koruma sağlar.

Veri şifreleme, tarayıcı ile sunucu arasında iletilen tüm bilgilerin (örneğin giriş bilgileri, kredi kartı numaraları, kişisel bilgiler vb.) karmaşık şifreleme algoritmaları kullanılarak tanınmaz hale getirilmesi işlemidir. Sadece ilgili özel anahtara sahip hedef sunucu bu bilgileri çözebilir. Bu sayede verilerin gizliliği ve bütünlüğü sağlanır ve verilerin iletim sırasında dinlenmesi veya değiştirilmesi engellenir.

Bir SSL/TLS sertifikası, birkaç temel bilgi içerir: Sertifikanın sahibinin alan adı, sertifikanın sahibinin kurumsal bilgileri, sertifikayı veren yetkili kuruluş, sertifikanın geçerlilik süresi ve en önemlisi – sertifikanın sahibinin kamusal anahtarı.

SSL sertifikası nasıl çalışır?

SSL/TLS protokolünün çalışma süreci basit bir “aç/kapama” modu değildir; bunun yerine “SSL el sıkışması” (SSL handshake) adı verilen karmaşık bir protokol aracılığıyla gerçekleşir. Bu süreç milisaniyeler içinde gerçekleşse de kullanıcı tarafından fark edilmez, ancak güvenli bir bağlantının temelini oluşturur. Tüm el sıkışma işlemi aşağıdaki temel adımlarla özetlenebilir:

Tavsiye edilen okuma SSL sertifikası nedir? Bir web sitesinin güvenliğini korumak için ihtiyacınız var mı?。

İstemci bağlantı kurar (ClientHello).

Kullanıcılar bir HTTPS destekli web sitesine tarayıcı aracılığıyla erişmeye çalıştıklarında, tarayıcı sunucuya bir “ClientHello” mesajı gönderir. Bu mesaj, tarayıcının desteklediği SSL/TLS protokol sürümlerini, desteklenen şifreleme algoritması paketlerinin listesini ve istemcinin ürettiği rastgele bir sayıyı içerir.

Sunucu Yanıtı ve Sertifika İletimi (ServerHello & Certificate)

Sunucu, “ClientHello” mesajını aldıktan sonra, tarafların her ikisi tarafından da desteklenen ve en güvenli protokol sürümünü ve şifreleme paketini seçer. Bu bilgilerin yanı sıra, sunucunun oluşturduğu başka bir rastgele sayıyı da “ServerHello” mesajı aracılığıyla istemciye geri gönderir. Ardından, sunucu kendi SSL sertifikasını (kamu anahtarı da dahil) istemciye iletir.

Müşteri tarafından sertifikanın doğrulanması

Müşterinin tarayıcısı (veya işletim sistemi), alınan sertifikanın geçerli olup olmadığını kontrol eder. Doğrulama işlemleri şunları içerir: Sertifikanın güvenilir bir sertifika yetkilisi tarafından verilip verilmediğinin, sertifikanın geçerlilik süresi içinde olup olmadığının ve sertifikadaki alan adının ziyaret edilen web sitesinin alan adıyla eşleşip eşleşmediğinin kontrol edilmesi. Herhangi bir doğrulama işlemi başarısız olursa, tarayıcı kullanıcıya bir güvenlik uyarısı gönderir.

UltaHost SSL sertifikası.

DV, EV, OV sertifikaları, en fazla $1, 750.000 ABD doları teminat tutarını destekler, sınırsız alt alan adını destekler, iOS ve Android uygulamalarını destekler ve 20%'den başlayan aylık $15,95 ABD doları fiyatla 30 günlük para iade garantisi sunar.

UltaHost'u ziyaret edin.

Anahtar değişimi ve şifreli iletişimin kurulması

Doğrulama işlemi tamamlandıktan sonra, istemci bir “ön anahtar” (pre-master key) oluşturur ve bu anahtarı sunucunun sertifikasındaki açık anahtar kullanarak şifreler; ardından bu şifreli anahtarı sunucuya gönderir. Sunucu, kendi özel anahtarı kullanarak bu şifreyi çözerek ön anahtarı elde eder. Bu noktada hem istemci hem de sunucu üç rastgele sayıya sahiptir: istemcinin rastgele sayısı, sunucunun rastgele sayısı ve ön anahtar. Her iki taraf da aynı algoritmayı kullanarak, bu üç rastgele sayıya dayanarak sonraki oturumlarda simetrik şifreleme için kullanılacak “oturum anahtarlarını” (session keys) bağımsız olarak oluştururlar.

Simetrik şifrelemenin asimetrik şifrelemeye göre çok daha hızlı olması nedeniyle, el sıkışma (handshake) işlemi tamamlandıktan sonra taraflar, paylaşılan bu oturum anahtarı kullanarak sonraki tüm veri aktarımlarını hızlı bir şekilde şifreleyip şifrelerini çözerler ve böylece güvenli ve verimli bir iletişim sağlanır.

SSL sertifikalarının ana tipleri

Doğrulama seviyelerine ve uygulama senaryolarına göre, SSL/TLS sertifikaları esas olarak üç ana kategoriye ayrılır. Bunlar arasındaki farkları anlamak, web siteniz için en uygun sertifikayı seçmenize yardımcı olacaktır.

Tavsiye edilen okuma SSL Sertifikası Ayrıntılı İncelemesi: Web Sitelerinin Güvenliğini Sağlamak İçin Gerekli Bilgiler ve Kurulum Kılavuzu。

Domain doğrulama sertifikası.

Alan adı doğrulamalı sertifikalar, en düşük doğrulama seviyesine sahip, en hızlı şekilde (genellikle birkaç dakikadan birkaç saate kadar) ve en düşük maliyete verilen sertifika türüdür. Sertifika veren kuruluşlar, başvuru sahibinin alan adı üzerindeki kontrol haklarını doğrular; örneğin, alan adına kayıtlı e-posta adresine doğrulama e-postası göndererek veya belirli DNS çözümleme kayıtlarının ayarlanmasını talep ederek. Bu sertifikalar yalnızca “alan adının sertifikanın uygulandığı sunucuyla bağlantılı olduğunu” kanıtlar ve herhangi bir kurumsal bilgiyi doğrulamaz. Bu nedenle, tarayıcı adres çubuğunda yalnızca kilit işareti ve HTTPS simgesi görünür; bu da onları kişisel web siteleri, bloglar veya test ortamları için ideal kılar.

Kuruluş doğrulama sertifikası.

Organizasyon doğrulamalı sertifikalar (OV – Organization Validation certificates), DV sertifikalarının temelinde, başvuru yapan kuruluşun gerçekliğinin doğrulanmasını da içerir. Sertifika yetkilendirme kuruluşları (CA’lar), resmi veritabanlarını (örneğin ticari kayıt bilgilerini) inceleyerek başvuru yapan şirketin yasal varlığını teyit eder. OV sertifikasına sahip web sitelerinde, kullanıcılar tarayıcı adres çubuğundaki kilit simgesine tıklayarak sertifika ayrıntılarını görüntüleyebilir ve böylece doğrulanmış şirket adını görebilirler. Bu özellik, kurumsal web sitelerinin güvenilirliğini önemli ölçüde artırır ve resmi kimliğini göstermesi gereken ticari web siteleri, kurumsal portallar gibi ortamlar için uygundur.

Genişletilmiş doğrulama sertifikası.

Genişletilmiş Doğrulama Tipi (Extended Validation – EV) sertifikaları, en sıkı doğrulama süreçlerine sahip ve en yüksek güven seviyesine sahip sertifikalardır. Alan sahipliği ve kuruluşun gerçekliğinin doğrulanmasının yanı sıra, Sertifika Yetkilileri (Certification Authorities – CAs), başvuran kuruluşun yasal ve operasyonel açıdan meşruiyetini de daha kapsamlı bir şekilde incelemektedir. EV sertifikalarının en belirgin özelliği, en yeni sürümdeki tarayıcılarda, EV sertifikası ile donatılmış web sitelerinin adres çubuğunda sadece kilit işareti değil, aynı zamanda doğrulanmış şirket adının da (genellikle yeşil renkte) doğrudan görüntülenmesidir; bu da kullanıcılara en yüksek seviyede kimlik güvencesi sağlar. Bankalar, finans kuruluşları, büyük e-ticaret platformları gibi çok yüksek güven gerektiren web siteleri genellikle EV sertifikalarını kullanmaktadır.

Ayrıca, kapsadıkları alan adı sayısına göre sertifikalar tek alan adlı sertifikalar, çok alan adlı sertifikalar ve joker karakterli sertifikalar olarak da ayrılabilir. Joker karakterli sertifikalar, bir ana alan adını ve tüm aynı seviyedeki alt alan adlarını koruyabilir. *.example.com Korunabilir. blog.example.com 和 shop.example.comKullanımı ve yönetimi çok kolaydır.

SSL sertifikasını nasıl edinebilir ve nasıl yükleyebilirsiniz?

Bir web sitesine SSL/TLS sertifikası dağıtma süreci genellikle dört adımdan oluşur: Anahtar çifti oluşturma, sertifika imza isteği gönderme, CA (Certificate Authority) tarafından doğrulama ve sertifika verilmesi, ve sertifikanın yüklenmesi ile yapılandırılması.

Öncelikle, web sunucunuzda bir çift asimetrik şifreleme anahtarı oluşturmanız gerekiyor: bir özel anahtar ve bir genel anahtar. Özel anahtarın sunucuda son derece güvenli bir şekilde saklanması gerekmektedir ve kesinlikle ifşa edilmemelidir; genel anahtar ise sertifika talebinde yer alacaktır. Bu adımı, OpenSSL gibi sunucu yazılımları veya sunucu kontrol panelinde bulunan araçlar kullanarak kolayca gerçekleştirebilirsiniz.

Daha sonra, sertifika imza isteği (Certificate Signing Request – CSR) oluşturmanız gerekmektedir. CSR dosyasında sizin açık anahtarınız, başvuruda bulunan kuruluşun bilgileri ve alan adı bilgileri bulunmaktadır. Bu CSR dosyasını seçtiğiniz sertifika veren kuruluşa göndermeniz gerekmektedir.

Daha sonra, sertifika veren kuruluş (CA – Certificate Authority), başvurduğunuz sertifika türüne göre ilgili doğrulama sürecini gerçekleştirir. DV sertifikaları için doğrulama en hızlıdır; OV ve EV sertifikaları için ise CA, manuel veya daha karmaşık otomatik incelemeler yapar. Doğrulama işlemi tamamlandıktan sonra, CA kendi kök sertifika özel anahtarını kullanarak sizin bilgilerinizi içeren sertifikayı dijital olarak imzalar, nihai SSL sertifika dosyasını oluşturur ve size gönderir.

Son olarak, CA (Certificate Authority) tarafından verilen sertifika dosyasını (genellikle sertifikanın kendisi ve olası ara sertifika zincirleri dahil) ve daha önce oluşturduğunuz özel anahtarı web sunucunuza yüklemeniz gerekiyor. Yükleme işlemi tamamlandıktan sonra, sunucu ayarlarında tüm HTTP trafiğinin HTTPS’ye yönlendirilmesini zorunlu kılın ve sertifikanın doğru şekilde yüklendiğinden ve herhangi bir güvenlik açığı olmadığından emin olun. Birçok barındırma sağlayıcısı ve web sitesi oluşturma platformu, bu işlemi büyük ölçüde kolaylaştıran tek tıklamalı SSL kurulum ve yapılandırma araçları sunmaktadır.

Özetle.

SSL/TLS sertifikaları, modern internetin güven ve güvenliğinin temelini oluşturur. Veri aktarımının güvenliğini şifreleme yoluyla korurlar ve kimlik doğrulama işlemleri sayesinde phishing (sahtecilik) saldırılarına ve aracı saldırılara karşı koruma sağlarlar; bu nedenle web siteleri için vazgeçilmez bir standart haline gelmişlerdir. Alan adı sahipliğini doğrulayan DV sertifikalarından, kurumsal varlıkları doğrulayan OV sertifikalarına, en yüksek seviyede kimlik doğrulaması sunan EV sertifikalarına kadar, farklı türdeki sertifikalar; bireylerden şirketlere, test aşamalarından üretim süreçlerine kadar çeşitli güvenlik ihtiyaçlarını karşılarlar.

HTTPS’yi kullanmak sadece kullanıcı gizliliğini ve şirket verilerini korumakla kalmaz; aynı zamanda web sitelerinin arama motorlarında daha yüksek sıralamalara ulaşmasına ve kullanıcıların güvenini kazanmasına da yardımcı olur. Teknolojinin gelişmesiyle birlikte, SSL sertifikalarını edinme ve yükleme süreci giderek daha kolay ve otomatik hale gelmiştir. Web siteniz için uygun bir SSL sertifikası sağlamak, daha güvenli ve daha güvenilir bir internet hizmeti sunmanın ilk adımıdır.

Sıkça Sorulan Sorular.

SSL sertifikalarının ücretsiz olanları mı yoksa ücretli olanları mı daha iyi?

Her ikisi de temel şifreleme özellikleri açısından aynıdır ve HTTPS şifrelemesini gerçekleştirebilirler. Ana farklar, güven seviyesi, hizmet desteği ve garanti alanlarındadır. Ücretsiz sertifikalar genellikle DV (Domain Validation) türündedir ve kâr amacı gütmeyen kuruluşlar veya şirketler tarafından sağlanır; doğrulama işlemi basittir ve bireysel projeler veya testler için uygundur. Ücretli sertifikalar ise OV (Organization Validation) veya EV (Extended Validation) gibi daha yüksek doğrulama seviyeleri sunar, şirket bilgilerini gösterir ve güveni artırır; aynı zamanda profesyonel teknik destek, daha yüksek sigorta tazminatları (sertifika sorunları nedeniyle oluşan zararlar için) ve daha istikrarlı hizmet garantileri sağlar, bu da onları ticari web siteleri için daha uygun hale getirir.

SSL sertifikasının kurulumu web sitesi erişim hızını etkiler mi?

Bağlantı kurulma aşamasındaki başlangıç el sıkma (handshake) sürecinde, asimetrik şifreleme/şifre çözme işlemleri ve sertifika doğrulamaları nedeniyle küçük gecikmeler oluşur; bu gecikmeler genellikle milisaniye cinsindendir. Ancak el sıkma işlemi tamamlandıktan sonra, iletişim verimli simetrik şifreleme yöntemleri kullanıldığı için hız üzerindeki etki neredeyse hiç yoktur. Modern TLS protokolleri ve sunucu optimizasyon teknolojileri, performans kayıplarını büyük ölçüde azaltmıştır. Aksine, HTTPS’yi etkinleştirdikten sonra HTTP/2 gibi yeni nesil protokoller kullanılabilir ve bu da sayfa yükleme hızlarını artırabilir. Genel olarak, güvenliğin artırılmasından elde edilen faydalar, göz ardı edilebilecek performans maliyetlerinden çok daha fazladır.

Bir web sitesinin SSL sertifikasının güvenli ve geçerli olup olmadığını nasıl anlayabiliriz?

Bunu tarayıcınızın adres çubuğundaki işaretten anlayabilirsiniz. Güvenli web siteleri genellikle bir kilit simgesi gösterir. Bu kilit simgesine tıklayarak sertifika ayrıntılarını inceleyebilir, sertifikanın geçerli olduğundan, yetkilendirme kuruluşunun güvenilir olduğundan ve sertifikadaki alan adının ziyaret ettiğiniz web sitesinin alan adıyla tamamen uyumlu olduğundan emin olabilirsiniz. Eğer tarayıcı “Güvenli Değil” uyarısı veriyorsa, kilit simgesinin üzerinde kırmızı bir çarpı veya ünlem işareti varsa, bu sertifikanın geçersiz, süresi dolmuş, alan adı eşleşmiyor veya güvenilir olmayan bir kuruluş tarafından verildiği anlamına gelir; bu durumda siteye dikkatli bir şekilde erişmelisiniz.

Joker karakter sertifikaları tüm alt alan adlarını koruyabilir mi?

Jenerik karakter içeren sertifikalar, belirli bir seviyedeki tüm alt alan adlarını koruyabilir; ancak bu koruma sınırsız değildir. Bir sertifika, yalnızca belirtilen alt alan adları için geçerlidir. *.example.com Wildcard sertifikaları koruma sağlayabilir. mail.example.com、shop.example.com Herhangi bir aynı seviyedeki alt alan adını koruyabilir; ancak çok seviyeli alt alan adlarını koruyamaz, örneğin… dev.www.example.comEğer çok katmanlı alt alan adlarını veya tamamen farklı olan birden fazla ana alan adını korumak gerekiyorsa, çoklu alan adı joker karakterli sertifikalar veya ayrı ayrı çoklu alan adı sertifikaları kullanmayı düşünmelisiniz.