SSL Sertifikaları ve HTTPS Hakkında Bilgi

IPAddress-Lookup.com · June 25, 2025

Bir web sitesini her ziyaret ettiğinizde adresin yanında küçük bir asma kilit gördüğünüzde ya da URL’nin http:// yerine https:// ile başladığını fark ettiğinizde, modern internetin en önemli teknolojilerinden birine güvenmiş olursunuz: SSL/TLS şifreleme ve bunu mümkün kılan dijital sertifikalar. Bu sertifikalar, şifrelerinizi, kredi kartı numaralarınızı, özel mesajlarınızı ve tarama alışkanlıklarınızı, siz ve sunucu arasındaki ağda dinleme yapmaya çalışan herkesten sessizce korur. Ancak bu kadar temel bir konu olmasına rağmen, SSL sertifikalarının ve HTTPS'nin işleyişi çoğu kişi için hâlâ bir gizem olarak kalmaktadır. Bu kılavuz, bu konunun perdesini aralıyor ve SSL/TLS'nin tam olarak ne olduğunu, şifrelemenin nasıl çalıştığını, bir sertifikanın aslında neyi kanıtladığını ve tarayıcınızın bir siteye güvenip güvenmeyeceğine nasıl karar verdiğini sade bir dille açıklıyor.

SSL ve TLS aslında nedir?

SSL, Secure Sockets Layer (Güvenli Yuva Katmanı) anlamına gelir; bu protokol, web tarayıcıları ile sunucular arasındaki iletişimi güvence altına almak üzere 1990'ların ortalarında Netscape tarafından tasarlanmıştır. Çözdüğü sorun, ifade edilmesi basit ancak çözülmesi zordu: ilk web (HTTP), her şeyi düz, okunabilir metin olarak gönderiyordu. Sizinle bir web sitesi arasında bulunan herhangi bir kişi — güvenilmez bir Wi-Fi erişim noktası, bir internet sağlayıcısı, güvenliği ihlal edilmiş bir yönlendirici — ileri geri akan verileri okuyabilir, hatta değiştirebilirdi. SSL, bu trafiği bir şifreleme katmanıyla sardı, böylece dinleyiciler için anlamsız hale geldi.

SSL'nin kendisi artık eskimiş durumdadır. SSL 2.0 ve SSL 3.0'da ciddi güvenlik açıkları tespit edildi ve bu sürümler yıllar önce kullanımdan kaldırıldı. Günümüzde web'i gerçekten güvence altına alan protokolün adı TLS, yani Taşıma Katmanı Güvenliği'dir. TLS, SSL'nin doğrudan halefidir ve insanlar "SSL sertifikası" dediğinde neredeyse her zaman TLS ile kullanılan bir sertifikayı kastederler. Bu isim, tanıdık olduğu için yaygın olarak kullanılmaya devam etmiştir. Gelişim süreci şu şekildedir:

• SSL 1.0 — güvenlik kusurları nedeniyle hiçbir zaman kamuya sunulmadı.
• SSL 2.0 (1995) ve SSL 3.0 (1996) — her ikisi de artık kullanımdan kaldırılmış ve her yerde devre dışı bırakılmıştır.
• TLS 1.0 (1999) — TLS adı altında yayınlanan ilk sürüm; günümüzde de kullanımdan kaldırılmıştır.
• TLS 1.1 (2006) — 1.0 ile birlikte kullanımdan kaldırılmıştır.
• TLS 1.2 (2008) — hâlâ yaygın olarak kullanılmaktadır ve doğru şekilde yapılandırıldığında güvenli kabul edilmektedir.
• TLS 1.3 (2018) — mevcut standarttır; daha hızlıdır ve eski, zayıf algoritmalardan arındırılmıştır.

TLS 1.3, büyük çaplı bir yeniden tasarımdı. Güvenlik açıklarına neden olan düzinelerce eski şifreleme seçeneğini kaldırdı ve güvenli oturumların daha hızlı kurulması için bağlantı kurulumunu kolaylaştırdı. Modern tarayıcılar, her iki tarafın da desteklediği en yüksek sürümü belirler; bu da pratikte TLS 1.2 veya 1.3 anlamına gelir.

Bir SSL sertifikası aslında ne işe yarar?

Bir SSL/TLS sertifikası iki farklı işlevi yerine getirir ve bunların birbirinden ayrı olduğunu anlamak önemlidir. Birincisi şifrelemedir — verilerin aktarım sırasında okunamaması için karıştırılması. İkincisi ise kimlik doğrulamadır — iletişim kurduğunuz sunucunun gerçekten adres çubuğunda gösterilen etki alanına ait olduğunu ve bağlantınızı ele geçirmiş bir sahtekara ait olmadığını kanıtlamaktır.

Kimlik doğrulaması olmadan şifreleme tehlikeli olabilir. Trafiğinizi sadece iletirken her şeyi okuyan bir saldırganla mükemmel şekilde şifrelenmiş bir bağlantınız olabilir. Sertifika, kriptografik bir anahtarı doğrulanmış bir kimliğe bağlayarak bu sorunu çözer. Tarayıcınız bir sertifikayı kabul ettiğinde, hem bağlantının gizli olacağını hem de karşı tarafın iddia ettiği kişi olduğunu onaylamış olur. Bu iki güvence bir araya geldiğinde, çevrimiçi bankacılık, alışveriş ve oturum açma işlemlerini güvenli hale getirir.

Asimetrik ve simetrik şifreleme

HTTPS'nin nasıl çalıştığını anlamak için kriptografiden iki kavramı bilmeniz gerekir; bunlar kulağa geldiğinden daha basittir.

Simetrik şifreleme, verileri hem karıştırmak hem de çözmek için tek bir paylaşılan gizli anahtar kullanır. Son derece hızlı ve verimlidir; bu da onu, gerçek bir tarama oturumundaki büyük hacimli verileri şifrelemek için ideal kılar. Buradaki sorun açıktır: her iki tarafın da aynı anahtara ihtiyacı vardır ve bu anahtarı güvenli olmayan bir ağ üzerinden gönderirseniz, bir dinleyici onu ele geçirebilir.

Asimetrik şifreleme, eşleşen bir anahtar çifti kullanarak anahtar paylaşımı sorununu çözer: herkesin görebileceği bir açık anahtar ve sahibinin gizli tuttuğu bir özel anahtar. Açık anahtarla şifrelenen veriler yalnızca özel anahtarla şifresi çözülebilir ve bunun tersi de geçerlidir. Bu, iki yabancının açık bir kanal üzerinden bir sır üzerinde anlaşmasına olanak tanır. Ancak asimetrik şifreleme yavaştır, bu nedenle tüm iletişim için kullanılmaz.

HTTPS, her iki yöntemin en iyi özelliklerini birleştirir. Başlangıçta, paylaşılan bir sırrı güvenli bir şekilde oluşturmak için kısa bir süre yavaş asimetrik şifrelemeyi kullanır ve ardından oturumun geri kalanı için hızlı simetrik şifrelemeye geçer. Bu müzakereye TLS el sıkışması denir.

HTTPS nasıl çalışır: TLS el sıkışması hakkında bir rehber

Bir web adresi yazdığınızda, tarayıcınız önce alan adını bir IP adresine çevirir — bu işlem, DNS'nin çalışma şekliyle yakından ilgilidir — ve ardından o sunucuya bir bağlantı açar. Herhangi bir web sayfası alışverişi gerçekleşmeden önce TLS el sıkışması gerçekleşir. İşte adım adım neler olduğu.

1. ClientHello. Tarayıcınız ilk mesajı gönderir. Bu mesajda, desteklediği TLS sürümleri, kullanabileceği şifreleme takımları (şifreleme algoritmalarının kombinasyonları) ve anahtar oluşturma sürecine dahil edilecek rastgele bir değer listelenir. Bunu, “ben buyum ve şu dilleri konuşabiliyorum” demek olarak düşünün.
2. ServerHello. Sunucu, tarayıcının listesinden kullanacağı TLS sürümünü ve şifreleme paketini seçerek yanıt verir ve kendi rastgele değerini gönderir. Artık her iki taraf da iletişim kurallarında anlaşmaya varmıştır.
3. Sertifika. Sunucu, açık anahtarını ve bir Sertifika Yetkilisi tarafından imzalanmış kimlik bilgilerini içeren SSL/TLS sertifikasını sunar. Bu, tarayıcınızın sertifikanın geçerli, güvenilir ve ziyaret ettiğiniz etki alanı için düzenlenmiş olup olmadığını kontrol ettiği andır.
4. Anahtar değişimi. Sertifikadaki açık anahtarı (veya Eliptik Eğri Diffie-Hellman gibi modern bir anahtar uzlaşma algoritmasını) kullanarak, iki taraf güvenli bir şekilde paylaşılan bir sır türetir. Önemli olan nokta, her mesajı izleyen bir dinleyicinin bile bu sırrı hesaplayamamasıdır; çünkü özel anahtar asla sunucudan dışarı çıkmaz.
5. Oturum anahtarları ve işlem tamamlandı. Her iki taraf da değiş tokuş edilen verileri ve iki rastgele değeri kullanarak aynı simetrik oturum anahtarları kümesini oluşturur. Her iki taraf da el sıkışmasının başarılı olduğunu kanıtlamak için bu anahtarlarla şifrelenmiş bir "işlem tamamlandı" mesajı gönderir. Bu noktadan itibaren tüm iletişim simetrik olarak şifrelenir — hızlı, gizli ve tahrif edilemez bir şekilde.

Tüm bu işlem genellikle saniyenin bir kısmında tamamlanır. TLS 1.3’te el sıkışma süreci tek bir gidiş-dönüş süresine kısaltılmıştır ve siteyi daha önce ziyaret etmiş kullanıcılar bazen daha da hızlı bir şekilde devam edebilir. Sonuç olarak, gerçek HTTPS isteklerinizin ve yanıtlarınızın aktarıldığı güvenli bir kanal oluşur.

Sertifika Yetkilileri ve güven zinciri

Bir sertifikanın güvenilirliği, onu onaylayan kuruluş kadar güvenilirdir. Bu rol, tarayıcınızın ve işletim sisteminizin önceden güvenmeye karar verdiği bir kuruluş olan Sertifika Yetkilisi'ne (CA) aittir. Bir web sitesi sahibi sertifika talep ettiğinde, CA, sertifikayı kendi anahtarıyla imzalamadan önce alan adının (ve bazen de işletmenin kimliğinin) kontrolünün bu kişiye ait olduğunu doğrular. Tarayıcınız bu imzayı kontrol eder.

Güven, üç halkadan oluşan bir zincir şeklinde düzenlenmiştir:

• Kök sertifika. Zincirin en üst noktası. Kök sertifikalar, tarayıcınızda ve işletim sisteminizde bir "güven deposu"nda önceden yüklenmiştir. Özel anahtarları, birinin ele geçirilmesi tüm sistemi tehlikeye atacağından, sıkı güvenlik önlemleri altında çevrimdışı olarak saklanır.
• Ara sertifika. Kök sertifikalar, web sitesi sertifikalarını doğrudan imzalamaz. Bunun yerine, bir veya daha fazla ara sertifikayı imzalar; bu ara sertifikalar da daha sonra asıl site sertifikalarını imzalar. Bu, değerli kök anahtarının izole kalmasını sağlar ve güvenliği ihlal edilmiş bir ara sertifikanın, kök sertifikayı etkilemeden iptal edilmesine olanak tanır.
• Yaprak sertifika. Son varlık sertifikası olarak da adlandırılan bu sertifika, web sitesinin kendisine yüklenir. Bir ara sertifika tarafından imzalanır.

Tarayıcınız bir siteyi doğruladığında, bu zinciri takip eder: yaprak sertifika bir ara sertifika tarafından imzalanır, ara sertifika başka bir ara sertifika veya bir kök sertifika tarafından imzalanır ve kök sertifika, tarayıcının zaten güvendiği bir sertifikadır. Her bağlantı doğrulanırsa ve kök sertifika güven deposunda bulunuyorsa, sertifika kabul edilir. Buna zincir oluşturma denir ve "güvenilmez" hatalarının yaygın bir nedeni, ara sertifikasını göndermeyi unutan ve böylece zinciri bozan bir sunucudur.

Sertifika türleri

Tüm sertifikalar aynı değildir. Sertifikalar, CA'nın başvuru sahibini ne kadar titiz bir şekilde doğruladığına ve kaç etki alanını kapsadığına göre farklılık gösterir. Aşağıdaki tablo, başlıca türleri özetlemektedir.

Sıradan kullanıcılar için önemli bir nokta: şifreleme açısından DV, OV ve EV sertifikaları birbirinin aynısıdır. Hepsi verileriniz için aynı güçlü korumayı sağlar. Aradaki fark, tamamen kimlik doğrulamasındadır. Eskiden EV sertifikaları adres çubuğunda şirket adını yeşil renkte gösterirdi, ancak tarayıcılar bu ayrımı büyük ölçüde kaldırdı; bu nedenle günümüzde çoğu site, uygun fiyatlı veya ücretsiz DV sertifikaları kullanmaktadır.

Joker karakterli ve çoklu alan adı sertifikaları

Wildcard sertifikası, temel bir alan adının tüm alt alan adlarını kapsayacak şekilde yıldız işareti kullanır; örneğin, *.example.com için tek bir sertifika, www.example.com, shop.example.com ve login.example.com adreslerini aynı anda korur. Bazen SAN veya UCC sertifikası olarak da adlandırılan çoklu etki alanı sertifikası, tek bir sertifikada birbirinden tamamen farklı birkaç etki alanı adını listeler. Her iki tür de, bir yöneticinin yönetmesi gereken sertifika sayısını azaltır.

Sertifikanın içeriği

Sertifika, yapılandırılmış bir belgedir ve her alanı inceleyebilirsiniz. En önemli alanlar şunlardır:

• Konu. Sertifikanın düzenlendiği kimlik, öncelikle alan adı (Ortak Ad).
• Verici. Sertifikayı imzalayan ve düzenleyen Sertifika Yetkilisi.
• Geçerlilik süresi. Sertifikanın geçerli olduğu "en erken" ve "en geç" tarihler.
• Konu Alternatif Adları (SAN). Sertifikanın kapsadığı alan adlarının tam listesi. Modern tarayıcılar, siteyi eşleştirmek için eski Ortak Ad yerine SAN alanına güvenir.
• Açık anahtar. El sıkışma işlemi sırasında kullanılan anahtar çiftinin açık kısmı.
• İmza algoritması. Sertifika Yetkilisi (CA) tarafından imzalamak için kullanılan şifreleme yöntemi; örneğin, RSA ile SHA-256 veya ECDSA.
• Parmak izi. Sertifikayı tam olarak tanımlamak için yararlı olan, sertifikanın tamamının benzersiz bir hash değeri.
• Seri numarası. Sertifikayı veren CA tarafından atanan benzersiz bir tanımlayıcıdır.

Tarayıcınız bir siteyi doğruladığında, bugünün tarihinin geçerlilik süresi içinde olup olmadığını, SAN girişlerinden birinin etki alanıyla eşleşip eşleşmediğini, imzanın bozulmamış olup olmadığını ve zincirin güvenilir bir kök sertifikaya ulaşıp ulaşmadığını kontrol eder.

Sertifikanın geçerlilik süresi ve sürelerin neden kısa olduğu

Her sertifikanın bir son kullanma tarihi vardır ve geçerlilik süreleri yıllar içinde önemli ölçüde kısalmıştır. Eskiden birkaç yıl geçerli olan sertifikalar artık yaklaşık bir yıl veya daha kısa süreyle sınırlandırılmıştır; sektör ise haftalarla ölçülen daha da kısa geçerlilik sürelerine doğru ilerlemektedir. Bu eğilimin iyi nedenleri vardır.

Daha kısa geçerlilik süreleri, özel anahtarın çalınması durumunda oluşabilecek zararı sınırlar — güvenliği ihlal edilmiş bir sertifika daha erken sona erer ve bu da saldırganın istismar edebileceği zaman aralığını azaltır. Ayrıca, eski şifreleme algoritmalarının ve iptal edilmiş veya yanlışlıkla verilmiş sertifikaların ekosistemden hızla çıkarılmasını sağlar. Bunun karşılığında, yöneticilerin sertifikaları çok daha sık yenilemesi gerekiyor; bu nedenle otomasyon artık isteğe bağlı değil, zorunlu hale gelmiştir.

Sertifika geçersiz olduğunda ne olur?

Doğrulamanın herhangi bir aşaması başarısız olursa, tarayıcınız küçük bir simge yerine tam sayfa bir uyarı göstererek bağlantıyı keser. Yaygın hata durumları şunlardır:

• Süresi dolmuş sertifika. Güncel tarih, "son geçerlilik tarihi"ni geçmiştir. Bu, en sık görülen nedendir ve genellikle birinin yenilemeyi unuttuğu anlamına gelir.
• Kendi kendine imzalanmış sertifika. Sertifika, güvenilir bir CA yerine kendi anahtarıyla imzalanmıştır, bu nedenle güven zinciri mevcut değildir. Dahili testler için uygundur, ancak tarayıcılar bunu genel siteler için reddeder.
• Ad uyuşmazlığı. Ziyaret ettiğiniz etki alanı, sertifikanın SAN listesinde yer almıyor — örneğin, bir etki alanı için olan sertifika başka bir etki alanında kullanılıyor.
• Güvenilmeyen sertifika veren. Sertifika, güven deposunda bulunmayan bir kök sertifikaya kadar uzanmaktadır; bunun nedeni genellikle bir ara sertifikanın eksik olması veya CA'nın tanınmamasıdır.
• İptal edilmiş sertifika. Sertifika Yetkilisi (CA), genellikle bir anahtarın ele geçirilmesi nedeniyle, sertifikanın süresi dolmadan önce sertifikayı geçersiz kılmıştır.

Her durumda tarayıcı, "Bağlantınız güvenli değil" gibi bir uyarı gösterir ve sayfayı varsayılan olarak engeller. Bu uyarılar sizi korumak için vardır: uyuşmayan veya güvenilir olmayan bir sertifika, gerçek bir ele geçirme saldırısının işareti olabilir; bu nedenle, hassas verileri işleyen bir sitede bu uyarılar asla dikkatsizce geçiştirilmemelidir.

Ücretsiz sertifikalar ve otomatik yenileme

Web güvenliğindeki en önemli gelişmelerden biri, ücretsiz ve otomatik sertifikaların ortaya çıkmasıydı. Kar amacı gütmeyen bir Sertifika Yetkilisi olan Let's Encrypt, DV sertifikalarını ücretsiz olarak kullanıma sundu ve en az bunun kadar önemli olan bir şekilde, ACME (Otomatik Sertifika Yönetim Ortamı) adlı bir protokol aracılığıyla tamamen otomatikleştirilebilir hale getirdi.

ACME sayesinde bir sunucu, insan müdahalesi olmadan kendi etki alanının kontrolünü kanıtlayabilir, sertifika talep edebilir, yükleyebilir ve süresi dolmadan yenileyebilir. İşte bu nedenle kısa sertifika süreleri pratiktir: Birkaç ayda bir kendini yenileyen bir sertifika, operasyonel bir sorun yaratmaz. Ücretsiz sertifika verme ve otomasyonun bir araya gelmesi, HTTPS’nin azınlık bir özellik olmaktan çıkıp web genelinde neredeyse evrensel bir varsayılan hale gelmesinin başlıca nedenlerinden biridir.

Bir sitenin sertifikasını nasıl inceleyebilirsiniz?

Bir sertifikayı incelemek için özel bir yazılıma ihtiyacınız yoktur. Herhangi bir modern tarayıcıda adres çubuğundaki asma kilit simgesine tıklayıp sertifika ayrıntılarını görüntüleme seçeneğini seçebilirsiniz; burada konu, düzenleyen, geçerlilik tarihleri, SAN listesi ve parmak izi bilgilerini bulabilirsiniz. Bu, gerçek sitede olduğunuzu doğrulamanın ve sertifikanın ne zaman sona ereceğini kontrol etmenin hızlı bir yoludur.

Tam sertifika zinciri, imza algoritması ve geçerlilik süresinin dolmasına kaç gün kaldığı dahil olmak üzere daha hızlı ve ayrıntılı bir görünüm için çevrimiçi bir araç kullanabilirsiniz. Kendi SSL Sertifika Denetleyicimiz, herhangi bir alan adını girmenize ve sertifikanın geçerli olup olmadığını, güvenilir bir kök sertifikaya doğru şekilde zincirlenmiş olup olmadığını ve yenilenmesi için ne kadar süre kaldığını anında görmenize olanak tanır. Bu, ziyaretçileriniz için tarayıcı uyarısı tetiklenmeden önce, süresi dolmak üzere olan bir sertifikayı tespit etmenin basit bir yoludur.

Sıkça sorulan sorular

SSL ile TLS aynı şey midir?

Tam olarak değil. SSL daha eski bir protokoldür ve artık kullanılmamaktadır; TLS ise onun modern halefi olup günümüzde web sitelerinin güvenliğini sağlayan protokoldür. Ancak, "SSL sertifikası" terimi alışkanlık haline gelmiştir; bu nedenle günlük kullanımda, altta yatan teknoloji TLS olsa da "SSL" ve "TLS" terimleri genellikle birbirinin yerine kullanılır.

Asma kilit simgesi, bir web sitesinin güvenli olduğu anlamına mı gelir?

Asma kilit simgesi, siteyle olan bağlantınızın şifrelenmiş olduğunu ve sertifikanın o alan adı için geçerli olduğunu gösterir. Bu, sitenin kendisinin dürüst olduğunu veya dolandırıcılık içermediğini garanti etmez — dolandırıcı siteler bile ücretsiz DV sertifikaları alabilir. Asma kilidi, genel güvenilirliğin bir göstergesi olarak değil, özel bir bağlantının işareti olarak değerlendirin.

Ücretsiz SSL sertifikaları, ücretli olanlar kadar güvenli midir?

Evet, şifreleme açısından. Let's Encrypt gibi bir Sertifika Yetkilisi'nden alınan ücretsiz bir DV sertifikası, pahalı bir sertifika ile tam olarak aynı şifreleme gücünü sağlar. Ücretli OV ve EV sertifikaları, kuruluşun kimliğinin ek doğrulamasını sağlar, ancak şifreli bağlantıyı daha güçlü hale getirmez.

Neden bazı sitelerde sertifika uyarısı alıyorum?

Sertifika uyarıları, doğrulama başarısız olduğunda görünür — en yaygın nedenler arasında sertifikanın süresinin dolmuş olması, alan adıyla eşleşmemesi, kendi kendine imzalanmış olması veya güvenilir olmayan bir sertifika yetkilisine bağlı olması sayılabilir. Bu uyarı, tarayıcınızın sizi korumak için verdiği bir uyarıdır ve şifre veya ödeme işlemleri yapılan bir sitede, uyarının neden göründüğünü anlamadan bu uyarıyı atlamamalısınız.

SSL sertifikalarının geçerlilik süresi ne kadardır?

Günümüzün genel kullanım amaçlı sertifikaları genellikle yaklaşık bir yıl veya daha kısa süre geçerlidir ve sektör, giderek daha kısa geçerlilik sürelerine doğru ilerlemektedir. Kısa geçerlilik süreleri, anahtarların çalınmasından kaynaklanan riski azaltır ve güncelliğini yitirmiş şifreleme yöntemlerinin kullanımdan kaldırılmasını sağlar. ACME gibi protokoller aracılığıyla otomatik yenileme, sık yenileme işlemlerini zahmetsiz hale getirir.

Tarayıcıda siteyi ziyaret etmeden bir sertifikayı kontrol edebilir miyim?

Evet. Çevrimiçi araçlar, asma kilidi manuel olarak kontrol etmenize gerek kalmadan bir alan adı girmenize ve sertifika ayrıntılarını (sertifika veren, geçerlilik tarihleri, tam güven zinciri ve sona erme tarihine kalan gün sayısı dahil) görüntülemenize olanak tanır. Bu, kendi sitelerinizi izlemek veya bir alanı ziyaret etmeden önce doğrulamak için kullanışlıdır.