SSL sertifikası siteyi hacklenmeye karşı korur mu?

Hayır. SSL yalnızca ziyaretçi ile site arasındaki bağlantıyı korur. Sitenin kendisi için güncel yazılım, güçlü şifreler ve iki adımlı doğrulama gerekir.

Alt alan adları için ayrı sertifika gerekir mi?

Sertifika yalnızca içinde yazan adresleri kapsar. magaza.firmaniz.com gibi bir alt alan adı da kullanıyorsanız ya o ad sertifikaya eklenir ya da bütün alt alan adlarını kapsayan joker sertifika kullanılır. Çoğu otomatik sistem bunu sizin yerinize yapar.

Sertifikamın süresi dolarsa ne olur?

Ziyaretçiler siteye girmeden önce tam sayfa bir güvenlik uyarısı görür ve çoğu geri döner. Hosting ya da altyapı sağlayıcınızla hemen iletişime geçin; otomatik yenileme kuruluysa sorun genellikle bir DNS ya da ayar hatasıdır.

Sertifika kurulduktan sonra eski http bağlantılarım çalışmaz mı?

http'den https'ye kalıcı yönlendirme kurulduysa eski bağlantılar çalışmaya devam eder ve ziyaretçiyi güvenli adrese taşır. Yönlendirme yoksa aynı site iki ayrı adreste açılır; bunu mutlaka kurun.

SSL sertifikası nedir? HTTPS ve "güvenli değil" uyarısı

SSL sertifikası (bugünkü teknik adıyla TLS), siteniz ile ziyaretçinin tarayıcısı arasındaki bağlantıyı şifreler ve sitenin gerçekten o alan adına ait olduğunu doğrular. Sertifikası olan site https:// ile açılır; olmayan siteye tarayıcı "Güvenli değil" der. Bir işletme sitesi ya da küçük bir mağaza için ücretsiz bir sertifika yeterlidir; önemli olan kurulu olması ve süresi dolmadan kendiliğinden yenilenmesidir.

SSL ne işe yarar?

Şifreleme: Ziyaretçinin formda yazdığı ad, telefon ya da kart bilgisi yolda okunamaz. Kafedeki açık Wi-Fi'da bile.
Doğrulama: Tarayıcı, karşısındaki sunucunun gerçekten firmaniz.com olduğunu kontrol eder.
Bütünlük: Bağlantı arasına reklam ya da zararlı kod sıkıştırılamaz.

SSL'in yapmadığı şey de var: sitenin dürüst olduğunu göstermez. Dolandırıcı siteler de birkaç dakikada ücretsiz sertifika alabilir. Kilit ya da https, yalnızca bağlantının güvenli olduğunu söyler.

"SSL" adı alışkanlıktan kullanılıyor; bugün kullanılan protokol TLS'dir. Satış sayfalarında ikisi aynı şeyi anlatır.

"Güvenli değil" uyarısı neden çıkar?

En sık nedenler şunlardır:

Sertifika hiç yok: Site yalnızca http:// ile açılıyor.
Sertifikanın süresi dolmuş: Ziyaretçi tam sayfa bir uyarı görür, çoğu geri döner.
Ad uyuşmuyor: Sertifika firmaniz.com için alınmış ama site www.firmaniz.com ile açılıyor ya da tersi.
Karışık içerik: Sayfa https ama içindeki bir görsel ya da kod http ile yükleniyor.
Ziyaretçinin cihazında tarih yanlış: Sorun sitede değil, cihazdadır.

Tarayıcılar da giderek sertleşiyor. Google, Ekim 2026'daki Chrome 154 sürümüyle her zaman güvenli bağlantı kullanma ayarını (Always Use Secure Connections) varsayılan olarak açacağını duyurdu: Chrome, https olmayan herkese açık bir siteye ilk girişten önce kullanıcıdan izin isteyecek. Yani sertifikası olmayan site, birçok ziyaretçiye artık bir uyarı sayfasıyla açılacak.

Bir not: Chrome 2023'ten beri adres çubuğunda kilit yerine ayar simgesi gösteriyor. Kilit görmemeniz sitenin güvensiz olduğu anlamına gelmez; simgeye tıklayınca "Bağlantı güvenli" yazısını görmelisiniz.

Formlar ve ödeme için neden şart?

İletişim ya da randevu formu ad, telefon, e-posta gibi kişisel veriler toplar. KVKK, kişisel veri toplayanlardan uygun güvenlik önlemleri almasını ister; şifresiz bir form bunun en temel eksiğidir. Formlarınız için aydınlatma metnini de unutmayın: KVKK aydınlatma metni.

Kartlı ödeme alan bir mağazada ise https tartışmasız şarttır: tarayıcılar kart alanı olan şifresiz sayfalarda ayrıca uyarı gösterir, ödeme kuruluşları da başvuruda genellikle sitenin SSL'li olmasını ister. Ödeme altyapısının nasıl çalıştığı için sanal POS nedir yazısına bakın.

Google HTTPS'i tercih eder mi?

Evet, ama hafif bir etkiyle. Google, Ağustos 2014'te HTTPS'i sıralama sinyali olarak kullanmaya başladığını duyurdu ve bunun içerik kalitesi gibi sinyallerden daha az ağırlık taşıdığını belirtti. Asıl etki dolaylıdır: uyarı gören ziyaretçi siteden çıkar, formu doldurmaz, sizi aramaz. Google'da görünürlük için önemli olan diğer adımlar Google'da görünür olmak yazısında.

DV, OV, EV: hangi sertifika türü?

Tür	Neyi doğrular	Kime uygun	Not
DV (alan adı doğrulamalı)	Alan adının kontrolünün sizde olduğunu	Neredeyse her işletme sitesi ve küçük mağaza	Dakikalar içinde çıkar, çoğu zaman ücretsizdir
OV (kurum doğrulamalı)	Alan adına ek olarak şirketin gerçekten var olduğunu	Kurumsal şartnamesi olan şirketler	Şirket bilgisi sertifika ayrıntısında görünür; ücretlidir
EV (genişletilmiş doğrulama)	Daha sıkı bir şirket incelemesini	Bankalar, büyük kurumlar	Adres çubuğundaki şirket adı göstergesi 2019'da Chrome ve Firefox'tan kaldırıldı

EV'nin eskiden adres çubuğunda gösterdiği şirket adı, Eylül 2019'daki Chrome 77 sürümüyle ve aynı dönemde Firefox'ta sayfa bilgisi penceresine taşındı. Bugün ziyaretçi EV ile DV arasındaki farkı neredeyse hiç görmez. Şifreleme gücü üç türde de aynıdır.

Birden çok adres için de seçenekler vardır: tek sertifikada birkaç alan adını kapsayan sertifikalar ve *.firmaniz.com gibi bir seviyedeki bütün alt alan adlarını kapsayan joker (wildcard) sertifikalar.

Ücretsiz sertifika yeterli mi?

Çoğu işletme için evet. Let's Encrypt, kâr amacı gütmeyen bir kuruluşun işlettiği ücretsiz bir sertifika otoritesidir ve DV sertifika verir. Sertifikalar kısa sürelidir, bu yüzden yenileme otomatik yapılır. Hosting firmaları ve site altyapılarının çoğu bu sertifikaları kendiliğinden kurar.

Let's Encrypt, 4 Haziran 2025'te süre dolumu hatırlatma e-postalarını durdurdu. Yani yenilemenin kendiliğinden çalıştığından emin olmanız gerekir; çalışmıyorsa sizi uyaran bir e-posta artık gelmez.

Ücretli sertifika, kurum doğrulaması (OV, EV), satıcı garantisi ya da kurumsal bir şartname gerekiyorsa anlamlıdır. Sadece "daha güvenli" olduğu için ücretli sertifika almanıza gerek yoktur.

Sertifika nasıl alınır ve kurulur?

Sitenizin nerede durduğuna göre üç durum vardır:

Hazır site altyapısı: Wix, Shopify, Panasis gibi altyapılarda sertifika, alan adınızı bağladığınızda kendiliğinden kurulur. Sizin işiniz DNS kayıtlarını doğru eklemektir; adımlar için alan adı nasıl alınır ve bağlanır yazısına bakın.
Hosting paneli (cPanel, Plesk gibi): Çoğu panelde "SSL/TLS" ya da "Let's Encrypt" bölümünde ücretsiz sertifikayı tek tıkla açabilirsiniz. Açtıktan sonra otomatik yenilemenin de açık olduğunu kontrol edin.
Kendi sunucunuz: Sunucuya bir ACME istemcisi (örneğin Certbot) kurulur; sertifikayı alır ve yenilemeyi zamanlar. Bu işi teknik ekibiniz ya da hosting firmanız yapmalıdır.

Ücretli bir sertifika alıyorsanız süreç biraz daha uzundur: sunucuda bir istek dosyası (CSR) oluşturulur, sertifika otoritesi alan adınızı bir DNS kaydı ya da e-postayla doğrular, OV ve EV'de şirket belgelerinizi de inceler, sonra sertifika sunucuya yüklenir.

Sertifika süreleri kısalıyor

Tarayıcılar ve sertifika otoritelerinin oluşturduğu CA/Browser Forum, Nisan 2025'te kabul ettiği SC-081 kararıyla sertifikaların azami süresini adım adım kısaltıyor:

Sertifikanın düzenlendiği tarih	Azami geçerlilik
15 Mart 2026'ya kadar	398 gün
15 Mart 2026'dan itibaren	200 gün
15 Mart 2027'den itibaren	100 gün
15 Mart 2029'dan itibaren	47 gün

Let's Encrypt de kendi sertifikalarını 90 günden kısaltıyor: varsayılan sertifikalar 10 Şubat 2027'de 64 güne, 16 Şubat 2028'de 45 güne iniyor.

Bunun sizin için anlamı şu: sertifikayı yılda bir elle yenileme dönemi bitti. Hosting firmanızdan "bir yıllık SSL" satın alsanız bile sertifika bu süre içinde en az bir kez, 2027'den itibaren birkaç kez yeniden düzenlenir. Sertifika yönetimini otomatik yapan bir altyapı ya da hosting kullanın.

Karışık içerik nasıl giderilir?

Sertifika kurulu olduğu halde uyarı görüyorsanız genellikle sebep karışık içeriktir: sayfadaki bir görsel, yazı tipi, harita ya da video kodu hâlâ http:// ile çağrılıyordur. Tarayıcılar bu içerikleri ya engeller ya da https'ye çevirmeye çalışır.

Gidermek için:

Sayfa içindeki görsel ve bağlantı adreslerini https:// ile değiştirin.
Eskiden yapıştırdığınız harita, video ve sosyal medya kodlarını yenileriyle değiştirin.
Bilgisayarda sayfayı açıp F12 ile geliştirici araçlarını açın; konsolda "Mixed Content" uyarılarını arayın.

http'den https'ye yönlendirme

Sertifikayı kurmak yetmez; http:// ile gelen herkesi kalıcı (301) yönlendirmeyle https:// adresine gönderin. www'lu ya da www'suz adreslerden birini ana adres seçin, diğerini ona yönlendirin. Ardından Google Search Console'da sitenin https adresini ekleyin ve Google İşletme Profili, sosyal medya ve reklamlardaki bağlantıları güncelleyin. Search Console kurulumu için Search Console'a site ekleme yazısına bakın.

Bir sitenin sertifikasını nasıl kontrol edersiniz?

Chrome'da adres çubuğunun solundaki simgeye tıklayın, "Bağlantı güvenli" ve ardından "Sertifika geçerli" bölümünü açın. Burada sertifikayı kimin verdiğini, hangi adresleri kapsadığını ve bitiş tarihini görürsünüz. Daha ayrıntılı kontrol için Qualys SSL Labs gibi ücretsiz test araçları kullanılabilir.

Kendi siteniz için kısa liste:

firmaniz.com ve www.firmaniz.com ikisi de https ile açılıyor mu?
http:// ile yazınca https'ye yönleniyor mu?
Sertifikanın bitiş tarihi yakın mı, yenileme otomatik mi?
Telefonda da uyarısız açılıyor mu?
Formlar ve ödeme sayfası uyarı vermiyor mu?

Panasis'te nasıl?

Panasis'te SSL sertifikası kendiliğinden kurulur ve kendiliğinden yenilenir; sertifika satın almanız ya da yenileme tarihini takip etmeniz gerekmez. Kendi alan adınızı bağladığınızda firmaniz.com ve www.firmaniz.com birlikte çalışır. Kısalan sertifika süreleri de bu yüzden sizin için ek iş anlamına gelmez.