Tarayıcınızda adres çubuğuna baktığınızda gördüğünüz küçük kilit simgesi, aslında sitenin SSL sertifikasına sahip olduğunu ve bağlantınızın şifrelenmiş olduğunu gösterir. Birkaç yıl öncesine kadar "ekstra bir güvenlik önlemi" sayılan SSL, artık her web sitesi için zorunlu bir standart haline geldi — hem kullanıcı güveni hem de arama motoru görünürlüğü açısından.
SSL (Secure Sockets Layer — yerini büyük ölçüde TLS almış olsa da isim yaygın kullanılmaya devam ediyor), tarayıcınız ile ziyaret ettiğiniz sunucu arasındaki veri trafiğini şifreler. Bu sayede:
Chrome, Firefox ve diğer modern tarayıcılar, SSL sertifikası olmayan (http://) siteleri ziyaret ettiğinizde adres çubuğunda büyük, kırmızı "Güvenli Değil" uyarısı gösterir. Özellikle bir form (giriş, iletişim, ödeme) içeren sayfalarda bu uyarı kullanıcıyı ciddi şekilde tedirgin eder ve büyük oranda siteyi terk etmesine yol açar — bu da doğrudan satış ya da potansiyel müşteri kaybı demektir. Mobil kullanıcılarda bu uyarı tam ekran bir engelleyici sayfa şeklinde bile çıkabiliyor, bu yüzden etkisi hafife alınmamalı.
2014'ten itibaren Google, HTTPS kullanan siteleri arama sonuçlarında hafif bir avantajla sıraladığını açıkladı. Yıllar içinde bu etki güçlendi; günümüzde SSL'siz bir site hem kullanıcı güveni hem de arama motoru görünürlüğü açısından ciddi dezavantajlı durumda. Ayrıca tarayıcılar artık SSL'siz sitelerden gelen form gönderimlerini ve konum/kamera gibi bazı tarayıcı API'lerini tamamen engelliyor — yani SSL'siz bir site teknik olarak da eksik çalışabiliyor.
Günümüzde en yaygın ve pratik çözüm, ücretsiz ve otomatik yenilenen Let's Encrypt sertifikalarıdır. Bir sunucuda certbot aracıyla birkaç dakikada kurulup nginx/apache yapılandırmasına otomatik entegre edilebilir; sertifika süresi (genelde 90 gün) dolmadan otomatik olarak yenilenir, hiçbir manuel müdahale gerekmez. Ücretli/genişletilmiş doğrulama (EV) sertifikaları da mevcuttur — bunlarda kurum adı adres çubuğunda daha belirgin gösterilir — ama küçük/orta ölçekli işletmeler için Let's Encrypt genelde teknik açıdan yeterlidir.
Birden fazla alt alan adınız varsa (örn. blog.siteniz.com, panel.siteniz.com), her biri için ayrı sertifika almak yerine tek bir wildcard sertifika (*.siteniz.com) kullanmak yönetimi ciddi ölçüde basitleştirir. Aynı şekilde birden fazla farklı alan adını tek bir sertifika altında toplamak da (SAN sertifikaları) mümkündür — bu, özellikle birden fazla markayı aynı altyapıda barındıran işletmeler için pratik bir çözümdür.
Tüm SSL sertifikaları aynı doğrulama derinliğine sahip değildir. DV (Domain Validation), yalnızca alan adının sahipliğini doğrular ve Let's Encrypt gibi çözümlerde dakikalar içinde otomatik verilir — çoğu küçük/orta ölçekli site için yeterlidir. OV (Organization Validation), sertifikayı alan işletmenin gerçekliğini de kontrol eder ve kurumsal siteler için tercih edilir. EV (Extended Validation) ise en sıkı doğrulama sürecini gerektirir; özellikle bankacılık ve finans gibi yüksek güven gerektiren sektörlerde tercih edilir, ancak maliyeti ve kurulum süresi de daha yüksektir.
SSL kurulduktan sonra işiniz bitmez. Sertifikanın yenileme tarihini izlemek, tüm sayfaların (görsel, script, iframe dahil) HTTPS üzerinden yüklendiğinden emin olmak ("mixed content" uyarılarını önlemek için) ve mümkünse HSTS (HTTP Strict Transport Security) başlığını aktif ederek tarayıcıya "bu siteye asla http üzerinden bağlanma" talimatını vermek önemlidir. Bu ayrıntılar atlanırsa kilit simgesi görünse bile site tam anlamıyla güvenli sayılmaz.
DerenTech olarak barındırdığımız her site ve ürün için SSL sertifikasını standart olarak kuruyor, certbot ile otomatik yenileme sağlıyor ve HSTS gibi ek güvenlik başlıklarını da varsayılan olarak devreye alıyoruz — bu, hosting hizmetimizin ayrılmaz bir parçası.
Sitenizde SSL kurulu değilse ya da yenileme takibiyle uğraşmak istemiyorsanız bize ulaşın, hemen kuralım.