Sitenizi HTTPS'e geçirmek için para ödemeniz gerekmez. Let's Encrypt gibi kâr amacı gütmeyen sertifika otoriteleri ücretsiz SSL sertifikası verir ve Türkiye'deki barındırma firmalarının çoğu bunu kontrol panelinden birkaç tıkla kurar. Asıl dikkat isteyen kısım sertifikayı almak değil, geçişi kayıpsız yapmaktır: eski adresleri doğru yönlendirmek, karışık içeriği temizlemek ve Google'a yeni adresi tanıtmak.
Bu rehber, küçük bir site sahibinin HTTPS geçişini adım adım ve hatasız yapması için hazırlandı.
SSL ve HTTPS ne işe yarar?
SSL sertifikası (bugün teknik olarak TLS denir), ziyaretçinin tarayıcısı ile sunucunuz arasındaki bağlantıyı şifreler. Böylece iletişim formuna yazılan bilgiler, giriş şifreleri veya ödeme adımları yoldaki biri tarafından okunamaz. Adresin başındaki https ve tarayıcıdaki kilit simgesi bunu gösterir.
HTTPS'in pratik etkileri:
- Tarayıcılar HTTPS olmayan sayfalarda, özellikle form bulunan sayfalarda "Güvenli değil" uyarısı gösterir. Bu uyarı tek başına ziyaretçi kaçırır.
- Google, HTTPS'i bir sıralama sinyali olarak kullandığını yıllar önce açıkladı; etkisi küçüktür ama HTTPS artık temel beklentidir.
- Konum, kamera veya bildirim gibi birçok modern tarayıcı özelliği yalnızca HTTPS'te çalışır.
Ücretli ve ücretsiz sertifika arasındaki fark
Ücretsiz bir alan doğrulamalı (DV) sertifika, ücretli bir DV sertifikayla aynı şifrelemeyi sağlar. Ziyaretçinin gördüğü kilit simgesi de aynıdır. Ücretli sertifikaların farkı genellikle şunlardadır:
- Kurum doğrulaması (OV) veya genişletilmiş doğrulama (EV) gibi, şirket bilgilerinin kontrol edildiği türler.
- Daha uzun geçerlilik süresi ve sigorta veya destek hizmeti.
Blog, kurumsal tanıtım sitesi, yerel işletme ve küçük mağaza için ücretsiz sertifika çoğu zaman yeterlidir. Ödeme sayfalarınızı bir ödeme kuruluşu barındırıyorsa o sayfaların güvenliği zaten onların sorumluluğundadır.
Adım 1: Sertifikayı kurun
Barındırma türünüze göre üç yaygın yol vardır:
- Paylaşımlı hosting (cPanel, Plesk vb.): Panelde "SSL/TLS", "Let's Encrypt" veya "AutoSSL" bölümünü bulun ve alan adınız için etkinleştirin. Hem www'lu hem www'suz adresin sertifikaya dahil olduğundan emin olun.
- Kendi sunucunuz (VPS): Certbot gibi ACME istemcileri sertifikayı alır ve web sunucusu ayarlarını otomatik günceller.
- CDN kullanıyorsanız: CDN hizmetleri genellikle kendi ücretsiz sertifikasını sunar. Bu durumda CDN ile sunucunuz arasındaki bağlantının da şifreli olduğundan emin olun; yalnızca ziyaretçi tarafının şifrelenmesi yarım bir çözümdür.
Ücretsiz sertifikalar kısa ömürlüdür ve birkaç ayda bir yenilenir. Bu yenileme otomatik yapılmalıdır; panelinizde veya sunucunuzda otomatik yenilemenin açık olduğunu kontrol edin. Süresi dolan bir sertifika, ziyaretçiye tam sayfa bir güvenlik uyarısı gösterir.
Adım 2: Tüm adresleri HTTPS'e yönlendirin
Sertifika kurulduktan sonra siteniz hem http hem https ile açılıyor olabilir. Bu, Google'ın gözünde aynı içeriğin iki kopyası demektir. Her http adresini, aynı yolun https karşılığına kalıcı (301) yönlendirmeyle bağlayın:
- http://ornek.com/hizmetler → https://ornek.com/hizmetler
- http://www.ornek.com/ → https://ornek.com/ (www'suz adresi seçtiyseniz)
Hepsini ana sayfaya göndermeyin; her sayfa kendi yeni adresine gitmeli. Yönlendirmelerin doğru çalıştığını ve zincir oluşmadığını yönlendirme testi ile kontrol edin. www tercihini ve yönlendirme mantığını www mi, www'suz mu? rehberinde, kalıcı ile geçici yönlendirme farkını 301 ve 302 yönlendirme farkı yazısında ayrıntılı anlattık.
Adım 3: Karışık içeriği temizleyin
Sayfa HTTPS ile açılsa bile içindeki bir görsel, yazı tipi veya betik hâlâ http adresinden yükleniyorsa buna karışık içerik (mixed content) denir. Tarayıcı bu öğeleri engelleyebilir veya kilit simgesini kaldırabilir.
Temizlemek için:
- İçerik yönetim sisteminizin ayarlarında site adresini https olarak güncelleyin.
- Veritabanındaki eski http bağlantılarını bir arama-değiştirme aracıyla https'e çevirin (önce yedek alın).
- Tema dosyalarında ve sabit kodlanmış betiklerde http ile başlayan adres kalmadığını kontrol edin.
- Tarayıcının geliştirici araçlarındaki konsol, karışık içerik uyarılarını tek tek listeler.
Adım 4: Google'a ve araçlarınıza yeni adresi bildirin
Geçişten sonra birkaç ayarın güncellenmesi gerekir:
- Kanonik etiketler https adresini göstermeli.
- Site haritası yalnızca https adresleri içermeli; güncel haritayı yeniden gönderin.
- Search Console: Alan adı mülkü kullanıyorsanız http ve https aynı mülkte görünür. URL ön eki mülkü kullanıyorsanız https sürümü için ayrı bir mülk ekleyin. Kurulum için Search Console rehberine bakın.
- Google Analytics, reklam hesapları, sosyal medya profilleri ve e-posta imzaları: Buradaki bağlantıları da https olarak güncelleyin. Yönlendirme çalışsa bile doğrudan doğru adrese bağlantı vermek daha temizdir.
Geçişten sonraki birkaç hafta boyunca Search Console'daki sayfa raporunu izleyin. Kısa süreli dalgalanma normaldir; yönlendirmeler doğruysa trafik yeni adreslerde toparlanır.
Geçişi en sakin saatlerde, örneğin hafta içi bir gece yapın ve öncesinde sitenin tam yedeğini alın. Geçişten hemen sonra iletişim formunu, sepeti ve üye girişini bir kez baştan sona deneyin; bu sayfalar çoğu zaman eski http adreslerine bağlı kalan eklentiler yüzünden ilk bozulan yerlerdir.
Bir adım ileri: HSTS
HSTS, tarayıcıya "bu siteye bundan sonra yalnızca HTTPS ile bağlan" diyen bir güvenlik başlığıdır. Ziyaretçi adresi http yazarak girse bile tarayıcı doğrudan HTTPS'e gider. Etkilidir, ama yanlış yapılandırılırsa geri almak zaman alır; bu yüzden önce HTTPS'in tüm alt alan adlarınızda sorunsuz çalıştığından emin olun. Ayrıntılar güvenlik başlıkları rehberinde.
organikhit.io'ya site eklemeden önce
Sitenizi herhangi bir kanalda tanıtmaya başlamadan önce HTTPS'in eksiksiz çalışması gerekir; "Güvenli değil" uyarısı gören bir ziyaretçi sitenize ikinci bir şans vermez. HTTPS, yönlendirme, hız ve robots.txt durumunu tek seferde görmek için site karnesi aracını çalıştırın. Her şey yeşilse sitenizi ücretsiz hesapla ekleyip ilk ziyaretlerle sayfanın farklı cihazlarda nasıl açıldığını görebilirsiniz.
Sık sorulan sorular
HTTPS'e geçince Google sıralamam düşer mi?
Doğru yapılan bir geçişte kalıcı bir düşüş beklenmez. Google'ın yeni adresleri taraması sırasında birkaç hafta küçük dalgalanmalar görülebilir. Sorunların neredeyse tamamı eksik veya yanlış yönlendirmelerden, karışık içerikten ve unutulan kanonik etiketlerden kaynaklanır.
Ücretsiz sertifika güvenli mi?
Evet. Let's Encrypt gibi otoritelerin verdiği alan doğrulamalı sertifikalar, aynı türdeki ücretli sertifikalarla aynı şifreleme standartlarını kullanır ve tüm modern tarayıcılarda tanınır. Tek dikkat edilmesi gereken, kısa geçerlilik süresi nedeniyle otomatik yenilemenin açık olmasıdır.
Kilit simgesi var ama tarayıcı yine uyarı veriyor, neden?
En sık neden karışık içeriktir: sayfadaki bir görsel veya betik hâlâ http adresinden yükleniyordur. Tarayıcının geliştirici araçlarındaki konsol hangi dosya olduğunu gösterir. Daha seyrek olarak, sertifika www'lu veya www'suz adreslerden birini kapsamıyor olabilir.