SSL Sertifikası Nedir? Ücretsiz Let's Encrypt Sitenize Yeter mi?

Adres çubuğundaki kilit simgesi artık o kadar sıradan ki yokluğu fark edilir: tarayıcı "Güvenli değil" uyarısı verir, ziyaretçi formu doldurmaz, Google sıralamada geri iter. Bu yazıda SSL'in ne olduğunu, sertifika türlerini, ücretsiz Let's Encrypt'in hangi siteler için yeterli olduğunu ve HTTPS'e geçerken yapılan hataları açıklıyoruz.

SSL/TLS nedir?

SSL (Secure Sockets Layer) ve ardılı TLS (Transport Layer Security), tarayıcı ile sunucu arasındaki trafiği şifreleyen protokoldür. Günlük dilde hâlâ "SSL sertifikası" denir ama kullanılan protokol TLS 1.2 ve 1.3'tür. Sertifika üç şey sağlar:

1. Şifreleme: Form verileri, şifreler ve kart bilgileri yolda okunamaz.
2. Bütünlük: Veri yolda değiştirilemez (örneğin ağ üzerinde reklam enjekte edilemez).
3. Kimlik doğrulama: Ziyaretçi gerçekten sirketiniz.com sunucusuna bağlandığından emin olur.

Neden zorunlu?

• Chrome, Firefox ve Safari HTTP sayfalarını "Güvenli değil" diye işaretler; form içeren sayfalarda uyarı daha belirgindir.
• Google, HTTPS'i 2014'ten beri sıralama sinyali olarak kullanır.
• HTTP/2 ve HTTP/3 gibi hız protokolleri tarayıcılarda yalnızca HTTPS üzerinde çalışır; SSL'siz site aynı zamanda daha yavaştır.
• Ödeme altyapıları (iyzico, PayTR, Stripe) ve PCI DSS kuralları HTTPS'i şart koşar.
• KVKK kapsamında kişisel veri toplayan formların şifreli iletilmesi "uygun güvenlik tedbiri" beklentisinin parçasıdır.

Sertifika türleri: DV, OV, EV

Şifreleme gücü üç türde de aynıdır. Fark, sertifikaya tıklandığında görünen şirket bilgisi ve sigorta/garanti tutarıdır. Tarayıcılar artık EV için yeşil çubuk göstermediğinden, ziyaretçi açısından görsel fark kalmamıştır.

Let's Encrypt nedir, yeterli mi?

Let's Encrypt, 2015'te kurulan, kâr amacı gütmeyen bir sertifika otoritesidir ve bugün dünyadaki web sitelerinin çoğunluğunun sertifikasını ücretsiz sağlar. DV sertifikaları 90 gün geçerlidir ve otomatik yenilenir; alan adı ve alt alan adları için (wildcard dahil) kullanılabilir.

Yeterli olduğu durumlar: kurumsal siteler, bloglar, portföyler, üyelik siteleri, küçük ve orta ölçekli e-ticaret. Ödeme sayfası dahil tüm trafik tam güçte şifrelenir; ödeme sağlayıcıları Let's Encrypt'i kabul eder.

Ücretli sertifika düşünmeniz gereken durumlar: şirket adının sertifikada görünmesini isteyen kurumsal politika veya ihale şartı, sertifika garantisi/sigortası gereksinimi, bazı kurumsal cihaz ve eski sistemlerde uyumluluk gerekliliği, tek sertifikayla çok sayıda farklı alan adı (SAN) yönetimi.

Netwec'te SSL nasıl çalışır?

Tüm hosting paketlerinde Let's Encrypt sertifikası, alan adınız sunucumuza yönlendikten sonra otomatik kurulur ve 90 günde bir kendiliğinden yenilenir; yapmanız gereken bir şey yoktur. Durumu kontrol panelinde WEB — Alan Adları listesindeki SSL göstergesinden görebilirsiniz. OV/EV veya özel sertifika gerekiyorsa destek ekibimiz kurulumu yapar.

HTTPS'e geçerken yapılan 6 hata

1. Yönlendirme eklememek: Sertifika kurulu olsa da http:// adresleri hâlâ açılıyorsa ziyaretçi ve arama motoru iki sürüm görür. Kalıcı (301) yönlendirme şarttır; kontrol panelinde alan adının düzenleme sayfasındaki "Otomatik HTTPS yeniden yönlendirmesini etkinleştir" seçeneği veya .htaccess ile yapılır. Adımlar: SSL ve HTTPS yönlendirme.
2. Karışık içerik (mixed content): Sayfa HTTPS ama bir görsel veya script http:// ile yükleniyorsa kilit simgesi kaybolur. WordPress'te veritabanında eski adresleri toplu değiştirin.
3. www ve kök adres için sertifika eksikliği: Sertifika hem sirketiniz.com hem www.sirketiniz.com için düzenlenmeli; DNS'te www kaydının bulunduğundan emin olun.
4. HSTS'i test etmeden açmak: HSTS başlığı tarayıcıya "bu siteyi her zaman HTTPS ile aç" der; bir alt alan adınız HTTPS'siz ise erişilemez hâle gelir. Önce kısa süreyle (max-age=300) deneyin.
5. Cloudflare'de yanlış SSL modu: "Flexible" mod, Cloudflare ile sunucunuz arasındaki trafiği şifrelemez ve yönlendirme döngülerine yol açar; "Full (strict)" kullanın.
6. Yenilemeyi unutmak: Elle kurulan sertifikalar süresi dolunca korkutucu tam ekran uyarıya yol açar. Otomatik yenilenen Let's Encrypt bu riski ortadan kaldırır; ücretli sertifikalarda takvime hatırlatma ekleyin.

SSL'inizi test edin

SSL Labs testi sertifika zincirini, protokol sürümlerini ve yapılandırmayı A'dan F'ye puanlar. Hedef A veya A+ olmalı; TLS 1.0/1.1'in kapalı, TLS 1.3'ün açık olduğunu doğrulayın. Netwec sunucularında bu ayarlar varsayılan olarak güncel tutulur.

Özet

Sitelerin büyük çoğunluğu için ücretsiz Let's Encrypt sertifikası teknik olarak tamamen yeterlidir; önemli olan sertifikanın otomatik yenilenmesi ve sitenin tamamen HTTPS'e yönlendirilmesidir. Ücretli sertifika kararı güvenlik değil, kurumsal politika ve uyumluluk kararıdır. Tüm Netwec hosting paketlerinde SSL ücretsiz ve otomatiktir.