SSL sertifikası olarak bilinen web sertifikası, günümüzde TLS protokolüyle tarayıcı ve sunucu arasında şifreli bağlantı kurulmasında kullanılır. Sertifika bir protokol değildir; alan adı ile sunucunun kimliğini doğrulama zincirinin parçasıdır. Aktarım şifrelemesi, sunucuda depolanan veriyi veya uygulama açıklarını tek başına korumaz.
SSL/TLS bağlantısı neyi doğrular?
Tarayıcı, bağlanılan alan adının sertifika kapsamına uyduğunu, sertifikanın geçerli olduğunu ve güvenilen bir sertifika zinciri sunduğunu denetler. Başarılı TLS bağlantısı aktarım sırasında gizlilik ve bütünlük sağlar. HTTPS ifadesi mağazanın dürüstlüğünü, ürünün kalitesini veya cihazın zararlı yazılımdan arınmış olduğunu kanıtlamaz. Bağlantı bilgilerine erişmek için kullanılan tarayıcı simgesi de ürüne ve sürüme göre değişir.
DV, OV ve EV arasındaki fark
DV, alan adı kontrolünü doğrular. OV, kuruluş kimliğinin de incelenmesini içerir. EV, daha kapsamlı kuruluş doğrulaması gerektirir. Aynı TLS yapılandırmasında bu sınıflar arasındaki temel fark şifreleme gücü değildir. EV seçimi güncel tarayıcılarda özel bir yeşil adres çubuğu sağlamaz.
Alan adı kontrolünü yapabilecek erişiminiz yoksa önce DNS, web sunucusu veya sağlayıcının desteklediği doğrulama yöntemi için yetkiyi çözün. Kuruluş doğrulamasında belge gereksinimlerini ayrıca inceleyin; kesin aktivasyon süresi varsaymayın.
Tek domain, Wildcard ve Multi-Domain kapsamı
Önce ziyaretçinin ve uygulamalarınızın gerçekten kullandığı adları yazın. example.com ve www.example.com farklı adlardır. Bir ürün her ikisini kapsayabilir; ancak bu durumu sertifikanın Subject Alternative Name (SAN) listesi ve ürün koşullarından doğrulayın.
| Kullanılan adlar | Değerlendirilecek kapsam | Kontrol noktası |
|---|---|---|
| example.com ve www.example.com | Bu iki adı içeren tek domain ürünü | www kapsamını varsaymayın; her iki adın listelendiğini kontrol edin. |
| shop.example.com ve api.example.com | *.example.com Wildcard veya adları tek tek içeren SAN | Wildcard yalnız aynı düzeydeki adları eşleştirir. |
| staging.api.example.com | Bu tam ad veya *.api.example.com | *.example.com bu alt düzeyi kapsamaz. |
| example.com ve example.net | Multi-Domain (SAN) | Dahil ad sayısını ve ek SAN koşullarını inceleyin. |
Wildcard ifadesi kök alan adının otomatik olarak kapsandığı anlamına gelmez. Örneğin *.example.com ile birlikte example.com adının da SAN listesinde yer alması gerekir. Birden fazla sunucuda aynı özel anahtarı kullanmak operasyonu kolaylaştırabilir ama anahtarın ele geçirilmesinin etkisini genişletir; anahtar erişimini sınırlandırın.
Ücretsiz veya ücretli SSL nasıl seçilir?
Ücretsiz bir DV sertifikası da uygun yapılandırıldığında TLS aktarım şifrelemesi sağlar. Ücretli sertifikayı sırf Google’da yükselmek için almak gerekmez. Kararı ad kapsamı, kuruluş doğrulaması gereksinimi, otomatik yenileme olanağı, teknik destek ve yönetim süreçlerine göre verin. SSL sertifikası paketlerinde tek domain, Wildcard ve Multi-Domain seçeneklerini kendi ad listenizle karşılaştırın.
Google HTTPS’i bir sıralama sinyali olarak kullanır; DV yerine OV/EV veya daha pahalı sertifika seçimi daha yüksek sıralama sağlamaz. Sertifika satın almak tek başına KVKK veya GDPR uyumu da oluşturmaz.
Kurulum ve yenileme kontrol listesi
- Ad kapsamı: www, API ve ödeme akışı dahil kullanılan her hostname’i doğrulayın.
- Özel anahtar ve zincir: Doğru anahtar eşleşmesini ve ara sertifikaları kontrol edin. Özel anahtarı herkese açık klasöre veya destek mesajına koymayın.
- TLS sonlandırma: CDN veya ters proxy varsa ziyaretçi–proxy ve proxy–kaynak sunucu bağlantılarının korumasını ayrı denetleyin.
- HTTPS geçişi: HTTP adreslerini doğru HTTPS karşılıklarına yönlendirin; form, script ve görsellerde karma içerik kalmadığını kontrol edin.
- URL tutarlılığı: Canonical ve sitemap adreslerinin HTTPS olduğunu doğrulayın.
- Yenileme: Bitiş tarihi, doğrulama yetkileri, otomasyon başarısı ve yeniden yükleme işlemini izleyin. Bir yıllık hizmet bedeli, tek sertifikanın teknik geçerlilik süresinin bir yıl olduğu anlamına gelmez.
- Son kontrol: Sertifikayı yalnız ana sayfada değil kullanılan tüm alan adları ve uygulama uçlarında test edin.
HTTPS sonrasında da gereken güvenlik
Yazılım güncellemeleri, güçlü erişim kontrolü ve geri yüklenebilir yedekler ayrıca gerekir. Web sitesi güvenliği adımları bu sorumlulukları birlikte ele alır. WordPress kullanıyorsanız WordPress güvenlik sertleştirme rehberinden uygulama tarafını planlayın.
Teknik kaynaklar
Konuyu farklı yönleriyle ele alan diğer rehberlere göz atın.
