SSL ve HTTPS: sertifika, yönlendirme ve karışık içerik

HTTPS hangi güvenliği sağlar?

HTTPS, tarayıcı ile bağlandığınız sunucu arasındaki iletişimi TLS ile şifreler ve sertifika üzerinden alan adı doğrulaması sağlar. Günlük kullanımda “SSL sertifikası” ifadesi yaygındır; modern bağlantılar TLS protokolünü kullanır.

Bir sitenin HTTPS kullanması, sitenin ticari olarak güvenilir olduğunu veya uygulama kodunda açık bulunmadığını tek başına kanıtlamaz. Hesap güvenliği, yazılım güncellemeleri, veri erişimleri ve yedekleme ayrı katmanlardır. Sertifika da yanlış yapılandırılmış bir uygulamayı kendiliğinden güvenli hale getirmez.

Sertifikanın hangi adları kapsadığını kontrol edin

Kök alan adı ile “www” alt alan adı farklı DNS adlarıdır. İkisini de kullanıyorsanız sertifikanın her ikisini kapsadığını doğrulayın. Bir wildcard sertifikası genellikle belirtilen düzeydeki alt alan adlarını kapsar; kök alan adı ve daha derin alt alan adları için kapsamı ayrıca kontrol etmek gerekir.

Alan adı doğrulaması HTTP veya DNS gibi yöntemlerle yapılabilir. Yanlış DNS kaydı, engellenen doğrulama yolu veya kısıtlayıcı CAA kaydı sertifikanın düzenlenmesini engelleyebilir. Başka sunucuya taşınırken yeni ortamda sertifikanın kullanıma hazır olduğunu test edin.

HTTP trafiğini tek bir HTTPS adresine yönlendirin

Önce sitenin HTTPS üzerinde sorunsuz çalıştığını doğrulayın; ardından tercih edilen alan adı biçimine kalıcı yönlendirme yapılandırın. Örneğin “www” kullanacaksanız HTTP/HTTPS ve www/çıplak alan adı varyasyonlarını aynı hedefe ulaştırın. Sayfa yolunun ve gerekli sorgu parametrelerinin korunduğunu test edin.

Yönlendirmeyi web sunucusu, kontrol paneli, CDN veya uygulama katmanlarından birinde planlayın. Birden fazla katmanın farklı kurallar uygulaması döngü oluşturabilir. Ters proxy veya CDN kullanılan ortamda uygulamanın ziyaretçinin güvenli bağlantısını doğru algılaması gerekir; yapılandırmayı altyapınıza uygun doğrulanmış yöntemle yapın.

Karışık içerik hatalarını temizleyin

HTTPS sayfasının görsel, yazı tipi, betik veya stil dosyasını HTTP üzerinden istemesi karışık içerik oluşturabilir. Tarayıcı bazı kaynakları engeller veya yükseltmeye çalışır. Geliştirici araçlarının konsol ve ağ sekmelerinde kalan HTTP çağrılarını inceleyin.

Uygulama ayarlarını, tema içindeki sabit adresleri ve içerikte saklanan URL’leri kontrol edin. WordPress gibi sistemlerde veritabanı üzerinde toplu değiştirme gerekiyorsa serileştirilmiş veriyi koruyan araç kullanın ve önce yedek alın. Dış servisin HTTPS desteği yoksa güvenli bir alternatif değerlendirin.

Örnek: dört adresi tek tek sınayın

Bir tarayıcıda aşağıdaki dört adres biçimini ayrı sekmelerde deneyin. example.com yerine kendi alan adınızı kullanın; her biri tercih ettiğiniz HTTPS biçimine ulaşmalıdır.

http://example.com/
http://www.example.com/
https://example.com/
https://www.example.com/

Adres çubuğunun son halini, sertifika uyarısı bulunmadığını ve bir alt sayfanın yolunun korunduğunu kontrol edin. Geliştirici araçlarının Ağ bölümünde art arda yönlendirmeler veya aynı adrese dönüp duran bir döngü varsa, panel ve uygulama kurallarını birlikte inceleyin.

İndeksleme ve kalıcı bağlantıları güncelleyin

Canonical etiketler, sitemap, site içi bağlantılar ve sosyal paylaşım adresleri seçilen HTTPS alan adıyla uyumlu olmalıdır. Eski HTTP bağlantılarının çalışmaya devam etmesi için yönlendirmeleri koruyun. robots.txt veya test ortamından kalan “noindex” yönergesinin siteyi kapatmadığını kontrol edin.

HTTPS geçişi sırasında Search Console gibi doğrulama ve izleme araçlarındaki site kapsamını gözden geçirin. Yalnızca ana sayfayı kontrol etmek yeterli değildir; farklı içerik şablonlarından örnekler ve eski bağlantılarla test yapın.

Yenilemeyi ve HSTS kararını ayrıca planlayın

Sertifikanın bitiş tarihini ve yenileme mekanizmasını izleyin. Otomatik yenileme kurulmuş olması, DNS veya doğrulama yapılandırması değiştikten sonra da başarıyla çalışacağını garanti etmez. Alan adı ve doğrulama yollarındaki değişikliklerden sonra kontrol yapın.

HSTS, tarayıcıya alan adına HTTPS ile bağlanmasını söyleyen bir güvenlik politikasıdır. “includeSubDomains” ve ön yükleme gibi seçenekler bütün alt alan adlarını etkileyebilir; HTTPS kullanmayan eski hizmetler varsa erişim sorunu yaratabilir. Bu seçenekleri tüm etki alanını doğrulamadan etkinleştirmeyin.

Sertifika ihtiyacınız için SSL çözümlerini inceleyebilir; hata yaşıyorsanız alan adı ve tarayıcıdaki tam hata metniyle destek talebi oluşturabilirsiniz.

Durum kodu ve Location başlığını kontrol edin

Tarayıcı geliştirici araçlarında Network sekmesini açıp belge isteğinin durumunu ve yönlendirme hedefini inceleyin. Komut satırında curl -I https://example.com/ornek-sayfa yalnız başlık isteği yapar; kendi adresinizi kullanın. Bazı uygulamalar HEAD isteğine farklı yanıt verebilir; sonucu tarayıcıdaki normal GET isteğiyle de doğrulayın.

Öğretim örneği — gerçek sunucu çıktısı değildir:
HTTP/2 301
location: https://www.example.com/ornek-sayfa

Beklenen hedefte aynı sayfa yolunun korunmasına dikkat edin. Her alt sayfayı ana sayfaya göndermek, yönlendirme zinciri kısa olsa bile doğru geçiş değildir. Komutta sertifika hatası çıkarsa doğrulamayı kapatan seçeneklerle sonucu başarılı saymayın; adı, tarihi ve sertifika zincirini kontrol edin.

MDN yönlendirme rehberi durum kodlarının farkını açıklar. Altyapınıza ait kuralları bilmeden birden fazla katmana aynı yönlendirme tarifini eklemeyin.