HTTP ve HTTPS: Adres çubuğundaki kilit simgesi güvenlik için neden önemlidir

Kerem Aydın·10 Temmuz 2026·⏱5 dk

HTTP ile HTTPS arasındaki temel fark, şifrelemenin varlığıdır. HTTP verileri açık şekilde iletir, bu nedenle ağdaki herhangi bir dinleyici şifreleri ve kart numaralarını okuyabilir. HTTPS, iletişim kanalını şifrelemek için TLS/SSL protokolünü kullanarak gizliliği sağlar ve sitenin kimliğini doğrular. Tarayıcılar, kullanıcıları kimlik avından (phishing) ve veri hırsızlığından korumak amacıyla HTTPS olmayan veya geçersiz sertifikalı sitelere "kızar".

Protokoller arasındaki temel fark nedir

HTTP (HyperText Transfer Protocol) protokolü, web sayfalarının basitçe aktarılması için oluşturulmuştur. "Açık posta" prensibiyle çalışır: tüm veri paketleri internet üzerinden şifrelenmemiş halde uçar. Bir kafedeki herkese açık Wi-Fi'a bağlıysanız, kötü niyetli bir saldırgan trafiği ele geçirip siteye gönderdiğiniz her şeyi görebilir: giriş bilgileri, mesajlar, görüntüleme geçmişi.

HTTPS (HyperText Transfer Protocol Secure), aynı HTTP'nin şifreleme katmanı (TLS/SSL) ile sarılmış halidir. Veri alışverişine başlamadan önce tarayıcı ve sunucu bir "el sıkışma" gerçekleştirir, sertifikaları kontrol eder ve bu oturum için benzersiz bir şifreleme anahtarı oluşturur.

Özellik	HTTP	HTTPS
Şifreleme	Yok	Var (TLS/SSL)
Varsayılan port	80	443
Veri güvenliği	Düşük (kolayca ele geçirilebilir)	Yüksek (veriler şifrelenmiş)
Tarayıcı göstergesi	"Güvenli değil"	Kilit 🔒
SEO üzerindeki etkisi	Olumsuz (sıralamada düşüş)	Olumlu (Google/Yandex'te öncelik)

Önemli: HTTPS yalnızca verilerin iletim kanalını korur. Sitenin kendisinin güvenli olduğunu ve virüs içermediğini garanti etmez. Dolandırıcı siteler de geçerli bir SSL sertifikasına sahip olabilir.

Tarayıcılar neden siteleri engelliyor ve uyarılar gösteriyor

Modern tarayıcılar (Chrome, Safari, Firefox, Edge), HTTPS olmayan siteleri "Güvenli Değil" (Not Secure) olarak işaretler ve ciddi sertifika hatalarında erişimi tamamen engelleyerek kırmızı bir uyarı ekranı gösterir. Bu durum aşağıdaki nedenlerle gerçekleşir:

Sertifikanın olmaması. Site saf HTTP üzerinde çalışıyor. Tarayıcı, girilen verilerin (şifreler, kartlar) çalınabileceği konusunda uyarır.
Sertifikanın süresinin dolması. Sertifikalar sınırlı bir süre için verilir (genellikle 3–12 ay). Site yöneticisi yenilemeyi unutursa, tarayıcı bağlantıyı güvensiz kabul eder.
Alan adı uyumsuzluğu. Sertifika example.com için verilmiş, ancak kullanıcı shop.example.com veya example.net adresine girmiş. Sertifika üzerindeki isim, tarayıcı çubuğundaki adresle tam olarak eşleşmelidir.
Kendinden imzalı sertifika. Bu tür sertifikalar güvenilir bir Sertifika Yetkilisi (CA) tarafından değil, sunucu sahibi tarafından oluşturulur. Tarayıcılar bu "yayıncıyı" tanımadığı için ona güvenmez. Yerel testler için normaldir ancak genel kullanım siteleri için kabul edilemez.
Karışık içerik (Mixed Content). Ana sayfa HTTPS üzerinden yüklenir, ancak bazı öğeler (resimler, komut dosyaları, stiller) güvensiz HTTP üzerinden çekilir. Tarayıcı bu kaynakları engelleyebilir veya uyarı gösterebilir, çünkü bunlar değiştirmeye karşı savunmasızdır.

Bir banka veya devlet hizmetleri sitesinde güvenlik uyarısı görürseniz — sayfayı derhal terk edin. Büyük olasılıkla bu bir kimlik avı (phishing) veya "ortadaki adam" (MitM) saldırısıdır.

HTTPS'e geçiş: Site sahipleri için adım adım kılavuz

Güvenli protokole geçiş endüstri standardı haline gelmiştir. Arama motorundaki konumlarınızı ve kullanıcı güvenini kaybetmemek için bunu doğru şekilde nasıl yapacağınız aşağıda açıklanmıştır.

1. SSL sertifikası alma

İhtiyaçlarınıza göre sertifika türünü seçin:

DV (Domain Validation - Alan Adı Doğrulama): Yalnızca alan adı sahipliğini doğrular. Hızlı verilir, genellikle ücretsizdir (örneğin Let's Encrypt aracılığıyla). Bloglar ve açılış sayfaları için uygundur.
OV (Organization Validation - Kuruluş Doğrulama): Kuruluşun varlığını kontrol eder. Kurumsal siteler için uygundur.
EV (Extended Validation - Genişletilmiş Doğrulama): Şirketin maksimum düzeyde kontrolü. Eskiden firmanın adını yeşil çubukta gösterirdi, şimdi sadece "Güvenli" durumu verir. Büyük e-ticaret siteleri ve bankalar için gereklidir.

2. Sunucuya kurulum ve yapılandırma

Alınan sertifikayı web sunucusuna (Nginx, Apache, IIS) yükleyin. Protokolün modern sürümlerinin (TLS 1.2 ve TLS 1.3) ve güçlü şifreleme paketlerinin yapılandırıldığından emin olun. Eski protokolleri (SSL 3.0 ve TLS 1.0/1.1) devre dışı bırakın.

3. Yönlendirme ayarı (301 Redirect)

Sunucuyu, http:// üzerinden gelen tüm isteklerin otomatik olarak 301 yanıt kodu (Moved Permanently - Kalıcı Taşındı) ile https:// adresine yönlendirilecek şekilde ayarlayın. Bu, arama motorlarına sitenin kalıcı olarak güvenli protokole taşındığını bildirir.

4. Karışık içeriğin düzeltilmesi

Sayfaların kaynak kodunu kontrol edin. Resimler, CSS ve JS'ye yönelik tüm bağlantılar https:// ile başlamalı veya göreli yollar kullanmalıdır (//example.com/script.js). Tarayıcıdaki geliştirici araçları (Console sekmesi) karışık içerik hatalarını bulmanıza yardımcı olacaktır.

5. HSTS uygulaması

Strict-Transport-Security başlığını ekleyin. Bu başlık, tarayıcının sitenin yalnızca HTTPS üzerinden erişilebilir olduğunu hatırlamasını sağlar; kullanıcı http:// yazsa bile, tarayıcı isteği sunucuya göndermeden önce otomatik olarak https:// kullanır.

İpucu: HTTPS yapılandırmanızın kalitesini kontrol etmek için SSL Labs (Qualys) gibi ücretsiz araçları kullanın. Puanınız A veya üzerinde olmalıdır.

Güvenlik yapılandırmasında yapılan yaygın hatalar

Unutulan dahili bağlantılar. HTTPS'e geçtikten sonra birçok kişi makaleler veya menüler içindeki bağlantıları güncellemeyi unutur ve eski http:// adreslerini bırakır. Bu, gereksiz yönlendirmeler oluşturur ve yükleme hızını düşürür.
Sertifikanın güncellenmemesi. Sertifikanın otomatik yenilenmesini (oto-yenileme) ayarlayın. Bir saatlik gecikme bile sitenin ziyaretçiler için erişilemez hale gelmesine neden olur.
Alt alan adlarının göz ardı edilmesi. blog.site.ru ve shop.site.ru gibi alt alan adlarınız varsa, sertifika hepsini kapsamalıdır (Wildcard sertifikası *.site.ru veya tüm alt alan adlarının listelendiği SAN sertifikası kullanın).
HTTP sürümünün önbelleğe alınması. Geçişten sonra CDN önbelleğini ve sunucu önbelleğini temizleyin, böylece kullanıcılar eski güvensiz sayfa sürümlerini almaz.

SSS: Popüler sorulara yanıtlar

HTTPS site hızını yavaşlatır mı? Günümüz koşullarında hayır. TLS 1.3 protokolü ve Session Resumption teknolojisi, güvenli bağlantıyı neredeyse anında kurmaya olanak tanır. Bazen HTTPS, şifreleme gerektiren HTTP/2 ve HTTP/3 desteği sayesinde daha hızlı bile çalışır.

Sertifika satın almak zorunlu mu? Hayır. Çoğu site için Let's Encrypt sertifika yetkilisinden alınan ücretsiz sertifikalar yeterlidir. Otomatik olarak yenilenirler ve tüm modern tarayıcılar tarafından tanınırlar. Ücretli sertifikalar daha çok sigorta (ihlal durumunda tazminat) ve şirketin tüzel kişiliğinin ek doğrulaması (OV/EV) için gereklidir.

Sitenin bir kısmını HTTP'de tutabilir miyim? Teknik olarak evet, ancak bu kötü bir uygulamadır. Karışık içerik, tarayıcıların ve arama motorlarının güven düzeyini düşürür. Tüm site yalnızca HTTPS üzerinden çalışmalıdır.

Tarayıcı kendi sitemde "Bağlantınız güvenli değil" uyarısı veriyorsa ne yapmalıyım? Sertifikanın son kullanma tarihini kontrol edin. Sertifikanın doğru alan adı için verildiğinden emin olun (www dahil veya hariç). Sertifika zincirini kontrol edin: sunucuda ara (intermediate) CA sertifikası yüklü olmayabilir.