SSL sertifikası nedir? Prensipinden başvuru ve kurulumun tam rehberine kadar.

İnternet iletişiminde, verilerin açık metin şeklinde aktarılması dinlenme ve değiştirilme riskini beraberinde getirir. SSL sertifikası, bir tür dijital sertifika olup, sunucu ve istemci arasında şifreli bir bağlantı kurarak bu temel güvenlik sorununu çözer. SSL sertifikası, bir web sitesinin “dijital pasaportu” ve “güvenlik mührü” gibidir; iki çok önemli işlevi yerine getirir: Sunucunun kimliğinin doğrulanmasını sağlar ve aktarılan verilerin yüksek seviyede şifrelenmesini garanti eder.

Kullanıcılar, SSL sertifikası yüklü bir web sitesine eriştiğinde (genellikle `HTTPS://` ile başlar), tarayıcı web sitesi sunucusu ile bir “el sıkışma” (handshake) işlemi başlatır. Bu işlem sırasında, sunucu SSL sertifikasını tarayıcıya gönderir. Tarayıcı, sertifikanın verildiği kuruluşun güvenilir olup olmadığını, sertifikanın geçerlilik süresi içinde olup olmadığını ve sertifikadaki alan adının şu an ziyaret edilen alan adıyla eşleşip eşleşmediğini doğrular. Doğrulama işlemi başarılı olduktan sonra, taraflar sonraki tüm iletişim verilerini şifrelemek için kullanılacak bir oturum anahtarı (session key) oluştururlar ve böylece güvenli bir iletişim kanalı kurulmuş olur.

SSL sertifikasının temel çalışma prensibi

SSL/TLS protokolünün özü, güvenli ve verimli veri aktarımını sağlamak için asimetrik şifreleme ile simetrik şifrelemenin birlikte kullanılmasındadır.

Tavsiye edilen okuma SSL Sertifikası Nihai Rehberi: Türleri, Seçimi ve Kurulumu Hakkında Kapsamlı Bilgiler.。

Asimetrik şifreleme, güven oluşturur.

SSL sertifikaları, asimetrik şifreleme sistemini kullanır; yani bir anahtar çifti (genel anahtar ve özel anahtar) kullanılır. Özel anahtar, web sitesi sunucusu tarafından gizlice saklanır ve asla dışarı sızdırılmaz; genel anahtar ise SSL sertifikasının içinde bulunur ve herkese dağıtılabilir. Genel anahtarla şifrelenen veriler, yalnızca ilgili özel anahtar tarafından çözülebilir. SSL protokolünün başlangıç aşamasında, istemci (tarayıcı), sertifikadaki genel anahtarı kullanarak sonraki şifreleme işlemleri için kullanılacak bir “ön anahtar” oluşturur ve bu ön anahtarı sunucuya gönderir. Yalnızca doğru özel anahtara sahip olan sunucu bu bilgiyi çözebilir; bu da sunucunun kimliğini doğrular.

Bluehost SSL sertifikası.

BlueHost SSL sertifikaları, 1-2 yıllık uzatma süresi seçenekleri sunar, RSA veya ECC algoritmalarını destekler, 4096 bit'e kadar anahtar uzunluğu sağlar ve 1,75 milyon ABD dolarına kadar garanti tutarı sunar.

Aylık $7,49 USD'den başlayan fiyatlarla.

Bluehost SSL sertifikasına erişin →

hosting.com SSL sertifikası.

Uygun fiyatlı DV, OV, EV SSL sertifikaları, en yüksek 256 bit şifreleme, 5 milyon ila 100 milyon ABD doları tutarında garanti ve 7/24 destek.

Aylık $2.5 USD'den başlayan fiyatlarla.

Hosting.com SSL sertifikasına erişin. →

Simetrik şifreleme, verileri korur.

Asimetrik şifreleme güvenli olmasına rağmen, yüksek hesaplama gerektirir ve yavaştır; bu nedenle tüm iletilen verilerin şifrelenmesi için uygun değildir. Bu yüzden, asimetrik şifreleme ile kimlik doğrulaması yapıldıktan ve “ön anahtar” güvenli bir şekilde değiştirildikten sonra, istemci ve sunucu bu anahtarı kullanarak aynı “oturum anahtarını” oluştururlar. Daha sonraki tüm iletişimler, bu oturum anahtarı ile simetrik şifreleme ve şifre çözme işlemleri için kullanılır. Simetrik şifreleme algoritmaları yüksek verimlilik sağlar ve büyük miktardaki verilerin şifreli halde hızlı bir şekilde iletilmesini mümkün kılar.

Dijital imza, verinin bütünlüğünün korunmasını sağlar.

Şifrelemenin yanı sıra, SSL sertifikaları veri bütünlüğünü sağlamak için dijital imza teknolojisini de kullanır. Sertifika veren kuruluşlar (CA – Certificate Authorities), sertifikaları yayınlarken kendi özel anahtarlarını kullanarak sertifika bilgilerini (alan adı, genel anahtar, kuruluş bilgileri vb.) şifreler ve bir özet bilgi, yani dijital imza oluştururlar. Tarayıcılar, güvenilir CA’ların genel anahtarlarını içerir ve bu imzayı doğrulayabilir. Sertifika içeriğinde herhangi bir değişiklik yapılması, imza doğrulamasının başarısız olmasına neden olur ve tarayıcı bir güvenlik uyarısı verir.

SSL sertifikalarının ana tipleri ve seçimi.

Doğrulama seviyelerine ve işlevsel ihtiyaçlara göre, SSL sertifikaları farklı güvenlik gereksinimlerini karşılamak amacıyla aşağıdaki kategorilere ayrılır:

Domain doğrulama sertifikası.

DV sertifikası, en düşük doğrulama seviyesine sahip ve en hızlı şekilde verilen sertifikadır. CA (Certificate Authority), başvuru sahibinin alan adına olan hak sahipliğini yalnızca e-posta veya DNS çözümleme yoluyla doğrular. Temel şifreleme özellikleri sunar; ancak sertifikada şirket adı yer almaz. Genellikle kişisel web siteleri, bloglar veya test ortamları için uygundur.

Tavsiye edilen okuma SSL sertifikası nedir? Prensipinden başvuru rehberine kadar eksiksiz bir rehber.。

Kuruluş doğrulama sertifikası.

OV sertifikaları, DV sertifikalarına kıyasla daha yüksek bir güvenilirlik sunar. Sertifika veren kuruluş (CA – Certificate Authority), yalnızca alan adının sahipliğini doğrulamakla kalmaz; aynı zamanda başvuran şirketin gerçekliğini ve yasallığını da kontrol eder (örneğin şirketin ticari lisansı gibi belgeler). Sertifika detaylarında doğrulanmış şirket adı da yer alır. Kurumsal web siteleri ve işletme sistemleri için uygundur ve kullanıcılara daha güvenilir bir kimlik sunar.

Genişletilmiş doğrulama sertifikası.

EV sertifikaları, şu anki en sıkı doğrulama süreçlerine ve en yüksek güvenlik seviyelerine sahip SSL sertifikalarıdır. CA’lar (Certification Authorities), yasal ve fiziksel varlıkların denetimi de dahil olmak üzere katı inceleme süreçleri uygularlar. Bir web sitesi EV sertifikası ile donatıldığında, popüler tarayıcılar adres çubuğunda şirketin adını yeşil renkte gösterir; bu da kullanıcıların güven duygusunu büyük ölçüde artırır. Genellikle bankalar, finans kuruluşları, e-ticaret platformları gibi güvenlik gereksinimleri çok yüksek olan web sitelerinde kullanılır.

Tavsiye edilen okuma SSL Sertifikası Kapsamlı Rehberi: Başlangıçtan Uzmanlığa Kadar, Yetkili Satın Alma ve Dağıtım Kılavuzu。

UltaHost SSL sertifikası.

DV, EV, OV sertifikaları, en fazla $1, 750.000 ABD doları teminat tutarını destekler, sınırsız alt alan adını destekler, iOS ve Android uygulamalarını destekler ve 20%'den başlayan aylık $15,95 ABD doları fiyatla 30 günlük para iade garantisi sunar.

UltaHost'u ziyaret edin.

Ayrıca, korunan alan adı sayısına göre SSL sertifikaları aşağıdaki gibi sınıflandırılabilir: Tek Alan Adı Sertifikası (belirli bir alan adını korur), Çok Alan Adı Sertifikası (birden fazla farklı alan adını tek bir sertifika ile korur) ve Yıldız Joker Sertifikası (ana alan adını ve tüm alt alan adlarını korur, örneğin *.yourdomain.com). Kullanıcılar, web sitelerinin sayısına, türüne ve güvenlik gereksinimlerine göre seçim yapmalıdır.

SSL sertifikasını nasıl başvurup dağıtabilirsiniz?

Başvurudan nihai etkinliğe kadar, SSL sertifikasının dağıtılması bir dizi belirli adımdan geçmelidir.

İlk adım: Sertifika imza isteği oluşturun.

Sertifika başvurusunun ilk adımı, web sunucunuzda özel anahtar ve sertifika imza isteği (Certificate Signing Request – CSR) dosyası oluşturmaktır. Bu işlem genellikle sunucunun arka planında komut satırı araçları kullanılarak gerçekleştirilir. CSR dosyasında alan adınız, kuruluş bilgileriniz ve özel anahtar tarafından oluşturulan genel anahtar bulunur. Oluşturulan özel anahtar dosyasını lütfen güvenli bir şekilde saklayın; çünkü bu, sertifikanızın güvenliğinin temelidir.

İkinci Adım: Başvuruyu CA’ya (Certificate Authority) gönderin ve doğrulatın.

Oluşturulan CSR (Certificate Signing Request) dosyasını seçtiğiniz sertifika veren kuruluşa veya onun acentesine gönderin. Başvurduğunuz sertifika türüne (DV, OV, EV) bağlı olarak, sertifika veren kuruluş (CA – Certificate Authority) ilgili doğrulama sürecini başlatacaktır. DV sertifikaları için doğrulama genellikle birkaç dakika içinde tamamlanır; OV ve EV sertifikaları için ise daha uzun süreli manuel incelemeler gereklidir. Doğrulama işlemi tamamlandıktan sonra, sertifika veren kuruluş imzalanmış SSL sertifika dosyasını size gönderecektir.

Üçüncü adım: Sertifikayı sunucuya yükle.

Sertifika dosyasını aldıktan sonra, bunu daha önce oluşturduğunuz özel anahtar dosyasıyla birlikte web sunucusuna yüklemeniz gerekmektedir. Yükleme işlemi, kullanılan sunucu yazılımına bağlı olarak değişiklik gösterir. Örneğin, Nginx’de yapılandırma dosyasını düzenleyerek sertifika ve özel anahtarın yollarını belirtmeniz gerekir; Apache’de ise sanal sunucu ayarlarını değiştirmeniz gerekmektedir. Yükleme işlemi tamamlandıktan sonra, yeni ayarların etkinleşmesi için sunucu yazılımını yeniden başlatmanız gerekir.

Dördüncü Adım: Zorunlu HTTPS Yönlendirmesini Yapılandırma

Tüm erişimlerin güvenli bir bağlantı üzerinden gerçekleşmesini sağlamak için, tüm HTTP isteklerinin otomatik olarak HTTPS’ye yönlendirilmesi en iyi yöntemdir. Bu, sunucu yapılandırmasına yeniden yazma kuralları ekleyerek gerçekleştirilebilir. Ayrıca, web sitesindeki tüm kaynakların (resimler, betikler, stil şemaları vb.) HTTPS bağlantıları kullandığından emin olunmalıdır; aksi takdirde “karışık içerik” uyarıları görülebilir.

Beşinci Adım: Test Etme ve İzleme

Yükleme işlemi tamamlandıktan sonra, tarayıcınızı kullanarak HTTPS web sitenize erişin ve adres çubuğunda güvenlik kiliti simgesinin göründüğünden emin olun. Ayrıca, sertifika zincirinin bütünlüğü, desteklenen protokoller ve şifreleme paketleri gibi konuları içeren kapsamlı bir kontrol için çevrimiçi SSL denetim araçları da kullanabilirsiniz. Sertifikanın süresi dolmadan önce yenileme veya değiştirme işlemlerini zamanında yapmak için takvim hatırlatmaları ayarlamayı unutmayın; böylece hizmet kesintileri yaşanmaz.

İleri Düzey Yapılandırmalar ve En İyi Uygulamalar

Sertifikanın doğru şekilde yüklenmesi sadece ilk adımdır; güvenlik korumasının en üst düzeye çıkabilmesi için makul bir yapılandırma yapılması gerekmektedir.

Güvenli olmayan protokolleri ve şifreleme paketlerini devre dışı bırakın.

Eski SSL protokolleri ve zayıf şifreleme algoritmalarında bilinen güvenlik açıkları bulunmaktadır; bu nedenle bu protokollerin devre dışı bırakılması gerekmektedir. Güncel en iyi uygulama, SSL 2.0/3.0’ı devre dışı bırakmak ve öncelikli olarak TLS 1.2 ve TLS 1.3 protokollerinin kullanılmasını önermektir. Ayrıca, sunucuların yalnızca güçlü şifreleme paketlerini desteklemesi sağlanmalı ve RC4, DES gibi güvenli olmayan algoritmalar devre dışı bırakılmalıdır.

HTTP Strict Transport Security’yi etkinleştirin.

HSTS (HTTP Strict Transport Security), önemli bir güvenlik politikası mekanizmasıdır. Bir web sitesinin yanıt başlığında `Strict-Transport-Security` ayarı yapılmasıyla, tarayıcıya belirli bir süre boyunca (örneğin bir yıl) bu web sitesine yalnızca HTTPS protokolü aracılığıyla erişilebileceği bildirilir. Bu, SSL çıkarma (SSL stripping) saldırılarını etkili bir şekilde önler; kullanıcı ister `http://` adresini manuel olarak girsin isterse de güvenli olmayan bir bağlantıya tıklasın, tarayıcı isteği otomatik olarak HTTPS protokolüne dönüştürür.

OCSP (Online Certificate Status Protocol) teknolojisini dağıtma işlemi

Geleneksel sertifika iptali kontrollerinde, tarayıcıların sertifika durumunu öğrenmek için internete bağlanmaları gerekmektedir; bu da gecikmelere ve gizlilik risklerine neden olur. OCSP (Online Certificate Status Protocol) sayesinde sunucular, TLS bağlantısı sırasında sertifikanın geçerlilik kanıtlarını önceden alıp yanıtla birlikte tarayıcıya gönderebilirler. Bu sayede istemcinin ek sorgulamalar yapmasına gerek kalmaz ve hem hız hem de gizlilik artırılmış olur.

Düzenli güncellemeler ve otomatik yönetim

SSL证书通常有1-2年的有效期。手动管理容易因遗忘而导致证书过期、网站无法访问。建议在证书到期前至少一个月开始续期流程。对于中小型网站，可以考虑使用Let's Encrypt等免费、自动化的证书颁发服务，它可以提供90天有效期的免费DV证书，并通过脚本工具实现自动续期，极大地降低了管理成本。

Özetle.

SSL sertifikaları, modern internet güvenliğinin temel taşlarıdır. Olgun asimetrik ve simetrik şifreleme sistemleri ile dijital imza teknolojilerini birleştirerek, web siteleri arasındaki iletişimde kimlik doğrulama, veri şifreleme ve veri bütünlüğü koruması sağlarlar. Farklı doğrulama seviyelerine sahip DV, OV ve EV sertifikalarından, ihtiyaca göre tek alan adlı, çok alan adlı veya joker karakter içeren sertifikaların seçimine kadar, bu sertifikaların sınıflandırmasını anlamak doğru bir seçim yapmanın ön koşuludur. Başvuru ve dağıtım süreci; CSR (Certificate Signing Request) oluşturma, CA (Certificate Authority) doğrulama, sunucu kurulumu ve zorunlu yönlendirmelerin yapılandırılmasını içerir ve her adım son derece önemlidir. Güvenli olmayan protokollerin devre dışı bırakılması, HSTS (HTTP Strict Security Policy) ve OCSP (Online Certificate Status Protocol) özelliklerinin etkinleştirilmesi, serta sertifika yaşam döngüsünün otomatik araçlarla yönetilmesi gibi en iyi uygulamalara uyulması, sağlam ve uzun vadeli bir güvenlik ortamı oluşturmanın garantisi olarak görülmektedir.

Sıkça Sorulan Sorular.

Ücretsiz SSL sertifikalarının ücretli olanlardan ne farkı var?

免费的SSL证书（如Let‘s Encrypt签发）通常为域名验证型证书，提供了与付费DV证书相同的加密强度。主要区别在于服务支持、保险赔付和高级功能。付费证书通常附带技术支持、一定额度的安全赔付保证，并包含OV和EV等需要人工验证的高信任等级证书，这些是免费服务无法提供的。

SSL sertifikası yüklendiğinde, neden tarayıcı hala güvensiz olduğunu belirtiyor?

Bu durum, “karışık içerik” (mixed content) nedeniyle oluşmuş olabilir. Web sayfasının ana dokümanı HTTPS protokolü üzerinden yüklenmesine rağmen, sayfada yer alan bazı kaynaklar (resimler, JavaScript dosyaları, CSS dosyaları vb.) hala güvenli olmayan HTTP protokolü kullanılarak yüklenmektedir. Tarayıcı, güvenlik nedeniyle tüm sayfayı güvenli olmayan bir sayfa olarak işaretler. Sayfadaki tüm kaynak bağlantılarının `HTTPS://` ile başladığından emin olmanız gerekmektedir.

SSL sertifikası süresi dolduğunda ne gibi sonuçlar olabilir?

Sertifika süresi dolduğunda, tarayıcı söz konusu web sitesine erişmeye çalıştığında ciddi bir uyarı sayfası çıkarır ve bağlantının güvenli olmadığını belirtir. Çoğu kullanıcı bu uyarıyı görünce erişimi durdurur; bu da web sitesinin düzgün bir şekilde çalışamamasına neden olur. Arama motorları da HTTPS bağlantısı geçersiz olan web sitelerine daha düşük önem verir (daha düşük sıralamalar verir). İş sürekliliğinin kesilmesi ve itibar kaybı, sertifikanın süresinin dolmasının en önemli iki riskidir. Bu nedenle, bir uyarı mekanizması kurulmalı ve sertifika zamanından önce yenilenmelidir.

Jenerik (wildcard) sertifikalar, herhangi bir alt alan adını koruyabilir mi?

Jenerik (wildcard) sertifikalar yalnızca aynı seviyedeki tüm alt alan adlarını koruyabilir. Örneğin, `*.example.com` için bir jenerik sertifika `blog.example.com` ve `shop.example.com`’u koruyabilir, ancak `sub.www.example.com` veya `example.org`’u koruyamaz. Birden fazla seviyedeki alt alan adlarını veya tamamen farklı ana alan adlarını korumak istiyorsanız, çok alan adlı bir jenerik sertifika satın almayı veya birden fazla sertifikayı birlikte kullanmayı düşünebilirsiniz.