SSL sertifikası (günümüzde teknik olarak TLS), web sitesi ile ziyaretçi arasındaki trafiği şifreleyen ve sitenin kimliğini doğrulayan dijital belgedir; adres çubuğundaki kilit simgesi ve https:// öneki bunu gösterir. 2026'da HTTPS bir seçenek değil, zorunluluktur: tarayıcılar HTTP siteleri 'güvenli değil' diye işaretler, Google HTTPS'i sıralama sinyali sayar ve çoğu modern web özelliği yalnızca HTTPS'te çalışır. Bu rehber sertifika türlerini, ücretsiz kurulumu ve geçişin SEO kontrol listesini anlatır.
SSL sertifikası nedir?
SSL (Secure Sockets Layer) ve ardılı TLS (Transport Layer Security), web trafiğini şifreleyen protokollerdir. "SSL sertifikası" günlük dilde yerleşmiş olsa da bugün kullanılan protokol TLS 1.2 ve 1.3'tür. Sertifika, güvenilir bir sertifika otoritesi (CA) tarafından imzalanmış, alan adının sahipliğini (ve isteğe bağlı olarak kuruluşu) doğrulayan dijital belgedir. Tarayıcı siteye bağlanırken sertifikayı kontrol eder; geçerliyse kilit simgesi gösterir ve trafik şifreli akar.
İki iş yapar. Şifreleme: ziyaretçi ile sunucu arasındaki veri (form içeriği, şifre, kart bilgisi, hatta hangi sayfanın okunduğu) üçüncü taraflarca okunamaz. Kimlik doğrulama: ziyaretçi gerçekten sizin sunucunuza bağlandığından emin olur; araya giren sahte sunucu sertifikayı taklit edemez.
HTTPS ne sağlar?
- Güvenlik: Kafe Wi-Fi'ında form dolduran kullanıcının verisi okunamaz; sayfaya reklam veya kötü amaçlı kod enjekte edilemez.
- Güven: Chrome ve diğer tarayıcılar HTTP sayfaları "Güvenli değil" diye işaretler; form içeren HTTP sayfalarda uyarı daha belirgindir. Ziyaretçi bunu görünce ayrılır.
- Modern web özellikleri: Konum, kamera, mikrofon erişimi, service worker (çevrim dışı çalışma, bildirim), HTTP/2 ve HTTP/3 yalnızca HTTPS'te çalışır. HTTP/2 ve HTTP/3, sayfa hızına doğrudan katkı sağlar.
- Yönlendiren verisi: HTTPS siteden HTTP siteye geçişte referrer bilgisi kaybolur; HTTPS'te kalırsanız Analytics'te trafiğin nereden geldiğini görürsünüz.
HTTPS SEO'yu etkiler mi?
Evet, iki yoldan. Google 2014'te HTTPS'i hafif bir sıralama sinyali olarak açıkladı; eşit iki sayfadan HTTPS olanı öne geçer. Etkisi küçüktür ama gerçektir. Daha büyük etki dolaylıdır: "güvenli değil" uyarısı gören kullanıcı geri döner, bu da etkileşim sinyallerini bozar; HTTP/2 ile gelen hız kazancı Core Web Vitals'ı iyileştirir; ve HTTPS, Google'ın sayfa deneyimi değerlendirmesinin parçasıdır. 2026'da HTTP site, Google için "bakımsız site" sinyalidir.
Asıl SEO riski geçişin kendisindedir: HTTPS'e yanlış geçiş (yönlendirme eksik, canonical yanlış, karışık içerik) kopya içerik ve sıralama kaybı yaratır. Aşağıdaki kontrol listesi bunun için.
Sertifika türleri: DV, OV, EV, wildcard
| Tür | Doğrulama | Süre | Kime uygun? |
|---|---|---|---|
| DV (Domain Validation) | Yalnızca alan adı sahipliği (DNS veya dosya ile) | Dakikalar | Çoğu site; blog, kurumsal, küçük e-ticaret |
| OV (Organization Validation) | Alan adı + kuruluş belgeleri | Günler | Kurumsal; sertifikada şirket adı görünür |
| EV (Extended Validation) | Kapsamlı kuruluş doğrulaması | Günler-haftalar | Banka ve finans; tarayıcılar artık yeşil çubuk göstermiyor, görsel fark kalmadı |
| Wildcard | DV veya OV, *.site.com tüm alt alan adları | Türe göre | Çok alt alan adlı siteler |
| Multi-domain (SAN) | Tek sertifikada birden fazla alan adı | Türe göre | Birden fazla markayı tek sunucuda barındıranlar |
Şifreleme gücü türe göre değişmez; DV ile EV aynı şifrelemeyi sağlar. Fark, sertifikanın kuruluş hakkında ne söylediğidir. Çoğu site için ücretsiz DV yeterlidir.
Ücretsiz sertifika: Let's Encrypt
Let's Encrypt, 2016'dan beri ücretsiz ve otomatik DV sertifikası veren, kâr amacı gütmeyen bir sertifika otoritesidir. Sertifikalar 90 günlüktür ve otomatik yenilenir; çoğu hosting paneli (cPanel, DirectAdmin, Plesk) tek tıkla kurar ve yeniler. Cloudflare kullanıyorsanız, Cloudflare ziyaretçiye kendi sertifikasını sunar; Cloudflare ile sunucu arasını da şifrelemek için "Full (strict)" modu ve sunucuda geçerli sertifika gerekir; "Flexible" mod ara bağlantıyı şifresiz bırakır ve yönlendirme döngülerine yol açar.
Ücretli sertifika ne zaman mantıklı? Kuruluş doğrulaması isteyen sektörler, sertifikaya bağlı sigorta veya garanti gereksinimi, ya da hosting panelinin Let's Encrypt desteklemediği nadir durumlar. Diğer her durumda Let's Encrypt.
SSL nasıl kurulur?
- Hosting paneli: cPanel'de "SSL/TLS Status" veya "AutoSSL", DirectAdmin'de "SSL Certificates" altından Let's Encrypt seçin, alan adını işaretleyin, kaydedin. Dakikalar içinde aktif olur.
- Cloudflare: SSL/TLS bölümünde "Full (strict)"; sunucuda da sertifika olsun. "Always Use HTTPS" açık.
- Kendi sunucunuz: Certbot aracı Apache ve Nginx için sertifikayı alır, yapılandırır ve cron ile yeniler.
- Site kurucular (Wix, Shopify): Otomatik; ayar gerekmez.
- Doğrulama: Tarayıcıda kilit simgesi; SSL Labs testi (ssllabs.com/ssltest) ile yapılandırma notu; A veya A+ hedef.
HTTP'den HTTPS'e geçiş: SEO kontrol listesi
Google, HTTPS'e geçişi "URL değişikliğiyle site taşıma" olarak değerlendirir; her sayfanın adresi değişir. Kontrol listesi:
- Sertifika kurulu ve geçerli; tüm alt alan adlarını kapsıyor.
- Tüm HTTP istekleri tek adımda HTTPS'e 301. http://www → https://www → https:// zinciri değil; tek kural. Yöntem 301 yönlendirme rehberinde.
- İç linkler HTTPS: Menü, footer, içerik, görsel ve betik adresleri. Veritabanında arama-değiştirme (WordPress için Better Search Replace eklentisi).
- Canonical etiketleri HTTPS: HTTP'yi gösteren canonical, Google'ı eski sürüme yönlendirir.
- Karışık içerik yok: HTTPS sayfada HTTP görsel, betik veya iframe tarayıcı uyarısına ve kilit kaybına yol açar. DevTools Console'da "Mixed Content" uyarılarını temizleyin.
- Site haritası HTTPS adreslerle yeniden üretildi ve gönderildi.
- robots.txt HTTPS üzerinden erişilebilir ve Sitemap satırı HTTPS.
- Search Console'da HTTPS mülkü doğrulandı (alan adı mülkü kullanıyorsanız otomatik kapsar).
- Analytics ve Tag Manager ayarlarında site adresi HTTPS.
- Dış servisler: Google İşletme Profili, sosyal profiller, dizinler, reklam hedef adresleri HTTPS'e güncellendi.
- HSTS başlığı (Strict-Transport-Security) eklendi; tarayıcı bir daha HTTP denemez. Önce kısa süreyle test, sonra uzun süre.
- Takip: 4 hafta Search Console'da HTTP ve HTTPS performansını izleyin; HTTP gösterimleri sıfıra inmeli, HTTPS yükselmeli.
Sık yapılan SSL hataları
- Sertifika süresi dolmuş: Otomatik yenileme kurulmamış; site bir sabah "güvenli değil" uyarısıyla açılıyor. Yenileme tarihini takvime alın, otomatik yenilemeyi doğrulayın.
- www ve www'suz için ayrı sertifika yok: Biri çalışıyor, diğeri hata veriyor. Sertifika her iki adı kapsamalı.
- Karışık içerik: Tema veya eklentiden gelen HTTP adresli dosyalar.
- Yönlendirme döngüsü: Cloudflare "Flexible" modu ile sunucunun HTTPS yönlendirmesi çakışıyor.
- Geçişte 301 yerine 302: Google HTTP'yi asıl sürüm olarak tutmaya devam ediyor.
- Eski TLS sürümleri: TLS 1.0 ve 1.1 güvensiz ve tarayıcılarca reddediliyor; sunucu yalnızca 1.2 ve 1.3 sunmalı.
- Self-signed sertifika: Tarayıcı güvenmez, uyarı verir; yalnızca test ortamı için.
Sık sorulan sorular
Ücretsiz SSL ile ücretli SSL arasında güvenlik farkı var mı?
Şifreleme açısından yok. Ücretli sertifikalar kuruluş doğrulaması, garanti ve destek sunar; çoğu site için gerekmez.
SSL sertifikası ne kadar sürede yenilenir?
Let's Encrypt 90 gün ve otomatik; ücretli genellikle 1 yıl. Otomatik yenileme kurulu olmalı.
Sitem HTTPS ama Google hâlâ HTTP sürümü gösteriyor, neden?
Yönlendirme, canonical, site haritası veya iç linklerden biri hâlâ HTTP. Hepsini HTTPS'e çevirin; geçiş birkaç haftada tamamlanır.
HTTPS siteyi hızlandırır mı, yavaşlatır mı?
TLS el sıkışması küçük bir maliyet ekler; ama HTTP/2 ve HTTP/3 yalnızca HTTPS'te çalıştığı için net sonuç genellikle hızlanmadır. Doğru yapılandırılmış (TLS 1.3, OCSP stapling, HTTP/2) bir HTTPS site, HTTP sürümünden hızlıdır. Teknik SEO'nun diğer başlıkları teknik SEO rehberinde.