SSL sertifikası (HTTPS) ve web güvenliği: "Güvenli değil" uyarısının ciroya ve sıralamaya etkisi
HTTP ile HTTPS arasındaki fark, SSL eksikliğinin satışa, Google görünürlüğüne ve KVKK'ya etkisi. Karma içerik, 301 yönlendirme ve HSTS gibi kurulumdan sonra unutulan teknik detaylar.
Bir web sitesinin adres çubuğunda çıkan "Güvenli değil" uyarısı, fiziksel bir mağazanın kapısına "Burada bilgileriniz çalınabilir" levhası asmaktan farksızdır. Bu uyarıyı gören ziyaretçilerin büyük kısmı sayfayı terk eder; kredi kartı veya kişisel bilgi girenlerin oranı ise sıfıra yaklaşır.
Google'ın sıralama sinyalleri arasında saydığı SSL/TLS sertifikası ve HTTPS protokolü, bugün isteğe bağlı bir lüks değil, temel bir zorunluluktur.
HTTP ve HTTPS arasındaki temel fark nedir?
HTTP, kullanıcı ile web sunucusu arasındaki verileri düz metin olarak iletir. Bu durum, araya giren kötü niyetli üçüncü kişilerin (ortadaki adam / man-in-the-middle saldırıları) şifreleri, kredi kartlarını ve form verilerini okuyabilmesine yol açar.
HTTPS (HTTP Secure) ise iletişimi modern şifreleme (TLS) ile korur. Veriler sunucuya ulaşana kadar okunamaz bir koda dönüşür.
| Kriter | Güvensiz altyapı (HTTP) | Güvenli altyapı (HTTPS) |
|---|---|---|
| Veri güvenliği | Şifresiz iletim; araya girilmeye açık | Tarayıcı ile sunucu arasında şifreli iletim |
| Tarayıcı görünümü | "Güvenli değil" uyarısı | Güvenli bağlantı göstergesi |
| Google sıralama etkisi | Benzer sitelere göre dezavantaj | Olumlu sıralama sinyali |
| Dönüşüm ve satış | Form ve ödeme adımlarında ciddi terk | Kullanıcı güveni, sorunsuz ödeme adımları |
SSL eksikliğinin işletmeye 3 büyük zararı
1. Sepet terk oranında artış ve güven kaybı
Kullanıcı adresini, telefonunu veya ödeme bilgilerini girmek üzereyken tarayıcının "Bu sitede girdiğiniz bilgiler başkaları tarafından ele geçirilebilir" uyarısıyla karşılaşması, potansiyel müşteriyi kaçırır. Ziyaretçiyi siteye çekmek için harcanan reklam bütçesi boşa gider.
2. Google ve arama motorlarında görünürlük kaybı
Google, kullanıcı güvenliğini önemser; HTTPS, sıralamada olumlu bir sinyaldir. Ayrıca Chrome ve diğer tarayıcılar HTTP sitelere girmeden önce giderek daha belirgin uyarılar gösteriyor; bu da trafiği doğrudan düşürür.
3. KVKK ve veri koruma ihlalleri
6698 sayılı KVKK uyarınca veri sorumlusu, işlediği kişisel verilerin güvenliği için gerekli teknik ve idari tedbirleri almakla yükümlüdür. SSL sertifikası olmayan bir iletişim formundan veri toplanması, açık bir teknik tedbir eksikliğidir ve bir veri ihlalinde idari para cezası riskini artırır.
Yalnızca SSL yüklemek yeterli mi? Kritik teknik detaylar
Birçok sitede SSL sertifikası kurulmasına rağmen kilit simgesi çıkmaz veya hatalar devam eder. Eksiksiz bir kurulum için şu adımlar gerekir:
- Karma içerik (mixed content) hatalarının giderilmesi: Site HTTPS olsa bile, sayfadaki bazı görseller veya yazı tipleri
http://üzerinden çağrılıyorsa tarayıcı uyarı verir. Tüm kaynaklar göreli adresle veya HTTPS ile çağrılmalıdır. - Kalıcı 301 yönlendirmeleri:
http://site.com,http://www.site.comvehttps://www.site.comgibi tüm sürümler tek bir ana HTTPS adresine 301 yönlendirmesiyle bağlanmalıdır. Yapılmazsa aynı içerik birden fazla adreste görünür ve sıralama sinyalleri bölünür. - HSTS (HTTP Strict Transport Security) başlığı: Sunucu seviyesinde HSTS başlığı eklenerek tarayıcıların siteye şifresiz HTTP üzerinden bağlanmaması sağlanmalıdır.
Sertifika kurulu olduğu hâlde "güvenli değil" uyarısı neden çıkar?
En sık sebepler: sertifikanın süresi dolmuş, sertifika başka bir alan adına (örneğin yalnızca www'suz adrese) alınmış ya da sayfada şifresiz yüklenen içerik var. Üçü de birkaç dakikalık düzeltmelerdir.
HTTPS sitenizi korumaz; yalnızca trafiği korur. Güncellenmemiş bir eklenti HTTPS'li bir siteyi de ele geçirtir.
Yapay zekâ arama motorları (GEO) açısından
ChatGPT Search, Perplexity ve Gemini gibi araçlar kullanıcıya kaynak gösterirken güvenilir ve sorunsuz açılan sayfaları tercih eder. Sertifika hatası veren bir sayfa, hem tarayıcılar hem de bu araçların tarayıcıları için açılması sorunlu bir kaynaktır.
Sıkça sorulan sorular
Ücretsiz SSL sertifikaları (Let's Encrypt) ticari siteler için yeterli midir?
Evet. Let's Encrypt ve Cloudflare gibi sağlayıcıların ücretsiz sertifikaları, ücretli sertifikalarla aynı güçte şifreleme sağlar. E-ticaret siteleri ve kurumsal şirketler için teknik güvenlik açısından yeterlidir.
SSL sertifikam bittiğinde ne olur?
Sertifikanın süresi dolduğu anda tarayıcılar ziyaretçilere tam ekran bir güvenlik uyarısı gösterir ve çoğu kullanıcı siteye giremez. Bu nedenle sertifikaların otomatik yenileme modunda çalışması kritik önem taşır.
Sitenin tamamını kontrol etmek için 12 maddelik güvenlik listesine, birlikte bakmak için web güvenliği sayfasına bakabilirsiniz.
İlgili yazılar: Web sitelerinde KVKK ve çerez politikası uyumu: 6698 sayılı kanun, açık rıza ve idari para cezaları, Kurumsal e-posta altyapısı (info@ ve @gmail.com): prestij, spam filtreleri ve güvenli iletişim rehberi.