SSL Sertifikası Nedir, Nasıl Çalışır? Türleri ve 2026 Değişiklikleri

SSL sertifikası, bir web sitesinin alan adının gerçekten o siteyi işletenin kontrolünde olduğunu bir sertifika otoritesinin (CA) imzasıyla kanıtlayan ve tarayıcı ile sunucu arasındaki bağlantının şifrelenmesini sağlayan dijital belgedir. Sertifikası olan site "https://" ile açılır; ziyaretçinin girdiği form bilgileri, parolalar ve ödeme verileri yolda okunamaz ve değiştirilemez. Bugün teknik adı TLS sertifikasıdır, ama piyasada "SSL sertifikası" adı yerleşmiştir. 2026 itibarıyla iki gelişme konuyu yeniden gündeme taşıdı: sertifika ömürleri kısalıyor ve Chrome, HTTPS kullanmayan sitelere girişte kullanıcıya varsayılan olarak uyarı göstermeye başlıyor.

SSL ile TLS aynı şey mi?

Aynı işi yapan protokolün eski ve yeni adlarıdır. SSL (Secure Sockets Layer) ilk sürümdü; son sürümü olan SSL 3.0, 2015'te yayımlanan RFC 7568 ile yeterince güvenli olmadığı gerekçesiyle kullanım dışı bırakıldı. Yerini TLS (Transport Layer Security) aldı. Bugün "SSL sertifikası" satın aldığınızda aslında TLS bağlantısında kullanılan bir sertifika alırsınız. Sunucunuzun eski SSL sürümlerini ve TLS'in eski sürümlerini kapatıp güncel TLS sürümlerini kullanması, sertifikanın kendisi kadar önemlidir.

SSL sertifikası nasıl çalışır?

Ziyaretçi sitenize girdiğinde, sayfa açılmadan önce tarayıcı ile sunucu arasında kısa bir tanışma (handshake) yaşanır:

1. Sunucu, sertifikasını tarayıcıya gönderir.
2. Tarayıcı sertifikayı kontrol eder: güvendiği bir sertifika otoritesi tarafından imzalanmış mı, süresi dolmamış mı, üzerindeki alan adı girilen adresle aynı mı?
3. Sunucu, sertifikadaki anahtarın gerçekten kendisine ait olduğunu bir imzayla kanıtlar.
4. İki taraf yalnız bu oturuma ait bir şifreleme anahtarı üzerinde anlaşır ve sayfanın tamamı bu anahtarla şifreli olarak aktarılır.

Kontrollerden biri başarısız olursa tarayıcı sayfayı açmak yerine tam sayfa bir güvenlik uyarısı gösterir. Süresi dolmuş bir sertifika, ziyaretçinin gözünde "site hacklenmiş" ile aynı etkiyi yaratır; bu yüzden sertifikanın yenilenmesi, kurulması kadar önemlidir.

SSL sertifikası türleri nelerdir?

Sertifikalar iki açıdan ayrılır: neyin doğrulandığı ve kaç alan adını kapsadığı.

Doğrulama seviyesine göre:

• DV (alan adı doğrulamalı): Yalnız alan adının kontrolünüzde olduğu doğrulanır. Dakikalar içinde ve otomatik olarak alınabilir. Kurumsal siteler, bloglar ve çoğu e-ticaret sitesi için teknik olarak yeterlidir.
• OV (kurum doğrulamalı): Alan adına ek olarak şirketin varlığı da kontrol edilir; sertifika detaylarında şirket adı görünür.
• EV (genişletilmiş doğrulama): En sıkı kurum kontrolüdür.

Şifreleme gücü bu üç türde aynıdır; fark, sertifikanın içinde doğrulanmış olan bilginin kapsamındadır.

Kapsama göre:

• Tek alan adı: Yalnız ornek.com ya da www.ornek.com.
• Çoklu alan adı (SAN): Birden fazla farklı alan adı tek sertifikada.
• Wildcard (joker): Aynı alan adının tüm alt alan adlarını (blog.ornek.com, panel.ornek.com gibi) tek sertifikayla kapsar. Alt alan adı sayısı çok olan yapılar için pratiktir, ama anahtarın ele geçirilmesi durumunda etkisi de o kadar geniştir.

Ücretsiz SSL sertifikası yeterli mi?

Çoğu site için evet. Let's Encrypt gibi ücretsiz sertifika otoriteleri DV sertifika verir ve şifreleme açısından ücretli bir DV sertifikadan farkı yoktur. Ücretli sertifikaların farkı genellikle OV ya da EV doğrulama, destek hizmeti ve sağlayıcının sunduğu ek güvencelerdedir. Kurum bilgisinin sertifikada görünmesi gereken bir sözleşme ya da ihale şartınız yoksa, doğru kurulmuş ve otomatik yenilenen ücretsiz bir DV sertifika bir kurumsal site ya da e-ticaret sitesi için yeterli olacaktır.

2026'da SSL tarafında neler değişiyor?

Sertifika ömürleri kısalıyor. Tarayıcı ve sertifika otoritelerinin kurallarını belirleyen CA/Browser Forum, Nisan 2025'te kabul ettiği SC-081v3 kararıyla sertifikaların azami geçerlilik süresini 398 günden kademeli olarak 47 güne indirme takvimini onayladı. İndirim Mart 2026'da başladı ve Mart 2029'da tamamlanacak. Let's Encrypt de kendi sertifikalarının süresini 90 günden 45 güne indiriyor: varsayılan profilde 10 Şubat 2027'de 64 güne, 16 Şubat 2028'de 45 güne geçilecek. Let's Encrypt, elle yenilemenin önerilmediğini ve yenileme otomasyonunun kısa ömürlü sertifikalarla uyumlu olduğundan emin olunması gerektiğini açıkça yazıyor.

Pratik sonucu şu: yılda bir kez takvime not alıp sertifika yenileme dönemi kapanıyor. Sertifika, ACME protokolünü destekleyen bir araçla otomatik yenilenmeli ve yenileme başarısız olduğunda sizi uyaran bir izleme kurulmalı.

Chrome HTTPS'siz sitelerde varsayılan olarak uyarıyor. Google'ın güvenlik blogunda duyurduğu plana göre Chrome, Ekim 2026'da yayımlanan Chrome 154 sürümüyle "Her zaman güvenli bağlantı kullan" (Always Use Secure Connections) ayarını varsayılan olarak açıyor. Bu, kullanıcı HTTPS desteklemeyen herkese açık bir siteye ilk kez girmeden önce Chrome'un izin istemesi demektir. Nisan 2026'daki Chrome 147 ile bu ayar, Gelişmiş Güvenli Tarama kullanan kullanıcılar için zaten açılmıştı. Hâlâ yalnız HTTP ile açılan bir siteniz varsa, ziyaretçilerinizin önemli bir kısmı artık siteye girmeden önce bir uyarı ekranıyla karşılaşacak.

SSL sertifikası SEO'yu etkiler mi?

Etkiler, ama sanıldığı kadar doğrudan değil. Google, HTTPS'i 2014'te bir sıralama sinyali olarak kullanmaya başladığını duyurduğunda bunu "çok hafif" bir sinyal olarak tanımladı ve yüksek kaliteli içerik gibi diğer sinyallerden daha az ağırlık taşıdığını belirtti. Asıl etki dolaylıdır: tarayıcı uyarısı gören ziyaretçi siteden çıkar, form doldurmaz, ödeme yapmaz. HTTPS, iyi sıralamanın nedeni değil, iyi bir deneyimin ön koşuludur.

Kurulumdan sonra neleri kontrol etmelisiniz?

Sertifikanın kurulması işin yarısıdır. Sık gördüğümüz eksikler şunlar:

• HTTP'den HTTPS'e kalıcı yönlendirme (301): Hem www hem www'suz adresin tek bir HTTPS adrese gitmesi.
• Karışık içerik: HTTPS sayfada HTTP ile yüklenen görsel, betik ya da yazı tipi. Tarayıcı bunları engelleyebilir ya da sayfayı güvensiz gösterebilir.
• Eksik sertifika zinciri: Masaüstünde sorunsuz açılan site, ara sertifika eksik olduğu için bazı mobil cihazlarda hata verebilir.
• Alt alan adları: Panel, e-posta, test ortamı gibi alt alan adlarının da sertifikası olmalı.
• Otomatik yenileme ve izleme: Yenilemenin gerçekten çalıştığını bir kez test edin ve süresi yaklaşan sertifika için uyarı kurun.
• Search Console: Site HTTP'den taşındıysa HTTPS sürümünün doğrulandığından ve site haritasının HTTPS adresleri içerdiğinden emin olun.

Kısaca

SSL (bugünkü adıyla TLS) sertifikası, sitenizin kimliğini kanıtlar ve ziyaretçiyle aradaki trafiği şifreler. Çoğu site için ücretsiz bir DV sertifika yeterlidir; önemli olan doğru kurulum, otomatik yenileme ve izlemedir. Sertifika ömürleri 2029'a kadar 47 güne inerken ve Chrome HTTPS'siz sitelerde varsayılan uyarıya geçerken, elle yönetilen sertifika ve HTTP ile açılan sayfa artık kabul edilebilir bir risk değildir.

Sunucunuzda sertifika yönetimini ve yenileme otomasyonunu birlikte kurmak isterseniz sunucu ve altyapı hizmetimizi inceleyebilirsiniz. Yeni bir site yaptırıyorsanız HTTPS ve yönlendirme kurulumu web tasarım hizmetimizin standart parçasıdır.