HTTPS: Modern İnternetin Güvenlik Standardı

HTTPS (HyperText Transfer Protocol Secure), kullanıcının tarayıcısı ile site sunucusu arasındaki verileri şifreleyen HTTP protokolünün bir uzantısıdır. Bu, parolaları, kart numaralarını ve kişisel yazışmaları hackerların ele geçirmesine karşı korur. 2026 yılında HTTPS zorunlu bir standarttır: Olmadığında tarayıcılar siteleri "Güvenli Değil" olarak işaretler ve arama motorları sıralamada düşürür.

Güvenli bağlantıya geçiş artık büyük e-ticaret siteleri için bir seçenek değil; herhangi bir web kaynağı için temel bir güven ve teknik hijyen gerekliliğidir.

HTTPS HTTP'den Nasıl Farklıdır

Korumanın değerini anlamak için eski standardın zafiyetlerine bakmak gerekir.

HTTP, bilgileri açık metin (plain text) olarak iletir. Bir posta kartı gönderdiğinizi hayal edin: Herhangi bir postacı veya ayırıcı memuru bunu okuyabilir, kopyalayabilir veya teslimattan önce metni değiştirebilir. İnternette "postacı" rolünü sağlayıcının yönlendiricileri, Wi-Fi erişim noktaları ve ara sunucular oynar.

HTTPS, verileri delinmez zırhlı bir kasaya paketler. Saldırgan bir veri paketini ele geçirse bile, yalnızca anlamsız semboller dizisi görür.

Temel Farklar

Güvenli Bağlantı Nasıl Çalışır: TLS El Sıkışması

HTTPS'in büyüsü, eski SSL'in yerini alan TLS (Transport Layer Security) protokolü sayesinde gerçekleşir. Güvenli bağlantı kurma sürecine TLS Handshake (el sıkışması) denir. Siteye ilk erişimde saniyenin kesirleri içinde gerçekleşir.

İşte "kaputun altında" olanlar:

1. İstemci Selamlaması. Tarayıcı sunucuya şunu bildirir: "Güvenli bağlanmak istiyorum" ve desteklediği protokol sürümleri ile şifreleme algoritmalarını listeler.
2. Sunucu Yanıtı. Sunucu en güvenilir ortak algoritmayı seçer, SSL sertifikasını (dijital kimlik) ve rastgele bir anahtar gönderir.
3. Belgelerin Kontrolü. Tarayıcı sertifikayı kontrol eder:
   • Geçerlilik süresi devam ediyor mu?
   • Güvenilir bir sertifika yetkilisi (CA) tarafından mı verilmiş?
   • Sertifikadaki alan adı site adresiyle eşleşiyor mu?
4. Oturum Anahtarı Oluşturma. Sertifika geçerliyse, tarayıcı ve sunucu benzersiz bir oturum anahtarı oluşturmak için karmaşık bir matematiksel algoritma (örneğin Diffie-Hellman) kullanır. Bu anahtar sadece ikisi tarafından bilinir.
5. Şifreli İletişim. Sonraki tüm veriler bu simetrik anahtar kullanılarak aktarılır. Her yeni ziyarette veya oturumda bu anahtar değişir.

HTTPS Neden Gereklidir: Hemen Uygulamanız İçin 4 Neden

Birçok küçük tanıtım sitesi sahibi, saklayacak bir şeyleri olmadığını düşünür. Bu tehlikeli bir yanılgıdır.

1. Kullanıcı Verilerinin Korunması

Sitenizde ödeme formu olmasa bile, iletişim formları, bülten abonelikleri veya giriş formları bulunabilir. HTTPS olmadan, kullanıcı adları, parolalar ve e-posta adresleri ağ üzerinden açık şekilde gider. Paket dinleyici (sniffer) kullanan aynı kafedeki bir saldırgan bu verileri kolayca çalabilir.

2. Güven ve İtibar

Chrome, Safari ve Firefox tarayıcıları, kullanıcıları HTTP sitelerini ziyaret etmeleri konusunda agresif şekilde uyarır. "Bağlantı Güvenli Değil" kırmızı uyarısı, ziyaretçilerin %85'ini kaçırabilir. Kilit simgesinin varlığı, başvuru ve satın alma dönüşüm oranlarını artırır.

3. Sıralama Faktörü (SEO)

Google, 2014'ten beri HTTPS'i bir sıralama sinyali olarak kullanmaktadır. 2026 yılında bu faktörün ağırlığı daha da yüksektir. Şifreleme olmayan sitelerin rekabetçi aramalarda üst sıralara çıkması neredeyse imkansızdır. Yandex de korunmuş kaynaklara öncelik verir.

4. İçerik Değişikliğine Karşı Koruma

Sağlayıcılar veya saldırganlar, HTTP trafiğine kendi reklamlarını veya kötü amaçlı kodlarını enjekte edebilir (Man-in-the-Middle saldırısı). HTTPS, kullanıcının sunucunun gönderdiği içeriği, harici eklemeler olmadan tam olarak gördüğünü garanti eder.

SSL Sertifikası Nasıl Alınır ve Yapılandırılır

Geçmişte sertifikalar yılda yüzlerce dolara mal oluyordu. Günümüzde temel koruma ücretsiz ve otomatik olarak mevcuttur.

Adım 1: Sertifika Türünü Seçme

• DV (Domain Validation - Alan Adı Doğrulama): Yalnızca alan adı sahipliğini doğrular. Anında verilir. Bloglar, açılış sayfaları ve küçük işletmeler için idealdir. (Örnek: Let's Encrypt).
• OV (Organization Validation - Kuruluş Doğrulama): Şirketin varlığını kontrol eder. Kurumsal siteler için uygundur.
• EV (Extended Validation - Genişletilmiş Doğrulama): Maksimum doğrulama. Eskiden şirket adını yeşil çubukta gösterirdi, şimdi standartlar basitleşti ancak güven düzeyi yüksek kalıyor. Bankalar ve büyük perakendeciler için gereklidir.

Adım 2: Kurulum (Ücretsiz Let's Encrypt Örneği)

En kolay yol, otomatikleştirilmiş araçlar kullanmaktır.

Kendi sunucunuz varsa (Linux/Nginx/Apache): certbot istemcisini kullanın.

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d example.com -d www.example.com

Certbot yapılandırmaları kendisi düzenler, sertifikayı alır ve otomatik yenilemeyi ayarlar.

Hosting veya site oluşturucu kullanıyorsanız (Tilda, WordPress, Wix): Genellikle kontrol panelinde "SSL Bağla" veya "Force HTTPS" kutucuğunu işaretlemek yeterlidir. Çoğu modern hosting sağlayıcısı Let's Encrypt'i tek tıklamayla entegre eder.

Adım 3: Yönlendirme Ayarlama

Tüm ziyaretçileri HTTP'den HTTPS'e zorunlu olarak yönlendirmek önemlidir. Nginx için bu şu şekilde yapılır:

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

HTTPS'e Geçişte Sık Yapılan Hatalar

1. Süresi Dolmuş Sertifika. Ücretsiz Let's Encrypt sertifikaları 90 gün geçerlidir. Otomatik yenileme (cron job) ayarlanmazsa, site erişilemez hale gelebilir veya kullanıcıları bir hatayla korkutabilir.
2. Unutulan Harici Komut Dosyaları. Analitik, haritalar veya yazı tiplerini eski http://... adresi üzerinden bağlarsanız, tarayıcı bunları engelleyebilir veya tehlike konusunda uyarabilir. Göreceli yollar (//example.com/script.js) kullanın veya açıkça https belirtin.
3. HSTS Eksikliği. Strict-Transport-Security başlığı, tarayıcıya sitenin yalnızca HTTPS üzerinden çalıştığını hatırlamasını ve asla HTTP üzerinden açmaya çalışmamasını emreder. Bu, ilk bağlantı aşamasındaki saldırılara karşı koruma sağlar.

SSS: HTTPS Hakkında Sorular

HTTPS site hızını yavaşlatır mı? Modern web'de hayır. TLS 1.3 ve HTTP/2/3 protokolleri sayesinde, şifreleme minimal gecikme ekler (güçlü işlemcilerde 1 ms'den az). Dahası, sayfa yüklemelerini önemli ölçüde hızlandıran HTTP/2, yalnızca HTTPS üzerinde çalışır.

Giriş formu olmayan bir tanıtım sitesi için HTTPS gerekli mi? Evet. Birincisi, bu arama motorlarının bir gerekliliğidir. İkincisi, sağlayıcı tarafından reklam enjeksiyonuna karşı koruma sağlar. Üçüncüsü, bu profesyonel etik ve ziyaretçiye özen meselesidir.

Tarayıcı "Sertifika Geçersiz" yazarsa ne yapmalı? Cihazınızdaki tarihi kontrol edin. Tarih yanlışsa, güven zinciri bozulur. Tarih doğruysa, sertifikanın süresi dolmuş olabilir veya farklı bir alt alan adı için verilmiş olabilir (örneğin, www için verilmişken siz site.com adresine girmişsiniz).

Programcı olmadan HTTPS'i kendiniz yapabilir misiniz? Evet, site oluşturucular (Tilda, Wix, Squarespace) veya yönetilen hosting (Beget, Timeweb, Reg.ru) kullanıyorsanız. Orada bu işlem tek bir düğme ile yapılır. VPS/VDS için temel komut satırı becerileri veya bir yöneticinin yardımı gerekecektir.