SSL sertifikası nedir? SEO için neden önemlidir?

SSL sertifikası sitenizle ziyaretçinin tarayıcısı arasındaki bağlantıyı şifreleyen ve alan adının kimliğini doğrulayan dijital sertifikadır. Sertifikası kurulu site HTTPS ile açılır. Google 2014'te HTTPS'i hafif bir sıralama sinyali olarak duyurdu, bugünkü sayfa deneyimi belgesi ise HTTPS'in sıralamaya doğrudan yardım etmediğini yazar. Asıl SEO etkisi ise tarayıcı uyarılarının ortadan kalkması, kullanıcı güveni ile hız ve veri tarafında görülür.

SSL sertifikası nedir, nasıl çalışır?

SSL sertifikası bir alan adının gerçekten o sunucuya ait olduğunu onaylayan dosyadır ve şifreli bağlantı kurmayı sağlayarak çalışır. Sertifikayı güvenilir bir sertifika sağlayıcısı verir. Sağlayıcı önce alan adının sahipliğini, bazı türlerde şirketin kimliğini de doğrular.

Ziyaretçi siteye girdiğinde tarayıcı sertifikayı kontrol eder. Sertifika geçerliyse tarayıcı ile sunucu ortak bir şifreleme anahtarı üzerinde anlaşır. Bundan sonra giden gelen tüm veri şifreli taşınır. SSL, Türkçeye güvenli yuva katmanı diye çevrilen Secure Sockets Layer'ın kısaltmasıdır. Bugün kullanılan protokol aslında TLS'dir. SSL'in son sürümü 2015'te güvensiz ilan edilip kullanımdan kalktı ama "SSL sertifikası" adı yerleşik kaldı.

SSL sertifikası ne işe yarar?

SSL sertifikası üç işe yarar: veriyi şifreler, verinin yolda değiştirilmesini önler, sitenin kimliğini doğrular. Şifreleme sayesinde kredi kartı numarası, parola ile oturum çerezi gibi hassas veriler aynı ağdaki biri tarafından okunamaz. Bütünlük koruması içeriğin aktarım sırasında fark edilmeden değiştirilmesini engeller. Kimlik doğrulama ise tarayıcının alan adının sahte bir kopyasına değil gerçek sunucusuna bağlandığını kanıtlar. MDN'in TLS belgesi bu üç korumayı şifreleme, bütünlük, kimlik doğrulama adlarıyla tanımlıyor.

HTTP ile HTTPS arasındaki fark nedir?

HTTP ile HTTPS arasındaki fark şifrelemedir: HTTP veriyi açık metin olarak taşır, HTTPS ise aynı veriyi TLS ile şifreleyerek taşır. HTTP, HyperText Transfer Protocol'ün kısaltmasıdır. İstemci ile sunucu arasında çalışır: tarayıcı bir istek gönderir, sunucu sayfayla yanıt verir. HTTPS'teki S harfi "secure" demektir. Protokolün kendisi değişmez, altına bir şifreleme katmanı eklenir.

Açık metin aynı ağdaki biri tarafından okunabilen veri demektir. Kafedeki ortak Wi-Fi'da HTTP ile gönderilen bir form şifresi araya giren biri tarafından görülebilir. Sayfaya reklam ya da zararlı kod da enjekte edilebilir. HTTPS bu iki riski de kapatır. Aşağıdaki tablo iki protokolü beş özellikte karşılaştırıyor.

HTTP'nin daha hızlı olduğu bilgisi de eskide kaldı. TLS 1.3 ile şifreli bağlantının kurulması tek bir gidiş dönüş sürer. Tarayıcılar HTTP/2 ile HTTP/3'ü yalnız HTTPS üzerinden kullandığı için HTTPS'li site pratikte çoğu zaman daha hızlı açılır. "Form yok, blog için HTTP yeter" görüşü de geçerliliğini yitirdi. Chrome 2018'den beri form olsun olmasın tüm HTTP sayfalarını "Güvenli değil" diye işaretliyor.

Bir sitede SSL sertifikası olup olmadığı nasıl anlaşılır?

Bir sitede SSL sertifikası olup olmadığı adres çubuğundan anlaşılır: adres https:// ile başlıyorsa bağlantı şifrelidir. Yıllarca bunun işareti kilit simgesiydi. Chrome 117 sürümüyle kilidi kaldırıp yerine ayar simgesi koydu. Gerekçesini Chromium blogundaki duyuruda açıkladı: kilit, sitenin güvenilir olduğu izlenimini veriyordu. Simgeye tıklayıp bağlantı ayrıntılarını açınca sertifikayı veren kuruluşu ve geçerlilik tarihini görürsünüz.

HTTPS yalnız bağlantının şifreli olduğunu gösterir, sitenin dürüst olduğunu göstermez. Kimlik avı siteleri de sertifika alabilir. Kart bilgisi girmeden önce alan adının doğru yazıldığını kontrol edin.

HTTPS SEO'yu nasıl etkiler?

HTTPS SEO'yu en çok dolaylı yoldan, güven, veri ve kopya adres tarafında etkiler. Google 2014'te HTTPS'i sıralama sinyali olarak kullanmaya başladığını duyurdu ve bu sinyalin hafif olduğunu belirtti. İçeriği zayıf bir sayfa yalnız sertifika aldığı için yükselmez. Google o duyuruda sinyalin sorguların yüzde 1'inden azını etkilediğini, kaliteli içerik gibi sinyallerden daha az ağırlık taşıdığını yazmıştı. Google'ın güncel sayfa deneyimi belgesi ise güvenli bağlantıyı sayfa deneyimi unsurları arasında sayıyor ve Core Web Vitals dışındaki unsurların sıralamaya doğrudan yardım etmediğini yazıyor.

Dolaylı etkiler şu dört başlıkta görülür:

• Güven: "Güvenli değil" uyarısı gören ziyaretçi formu doldurmadan ya da sepeti tamamlamadan çıkabilir.
• Hız: HTTP/2 ile HTTP/3 yalnız HTTPS'te çalışır. Bu da yüklenme süresine, dolayısıyla Core Web Vitals metriklerine yansır.
• Veri: HTTPS'li bir siteden HTTP'li bir siteye geçen ziyaretçide yönlendiren site bilgisi tarayıcı tarafından düşürülür. HTTP'de kalan siteniz başka sitelerden gelen trafiği analitikte doğrudan trafik olarak görür.
• Kopya URL: HTTP ile HTTPS sürümü birlikte açık kalırsa Google aynı sayfanın iki adresini görür. Sinyaller bölünür.

Google'ın tarayıcısı SSL sertifikası hatalarını nasıl kaydediyor?

Google'ın tarayıcısı SSL sertifikası hatalarını, sızan Content Warehouse şemasına göre ayrı bir doğrulama kaydında tutuyor. TrawlerSSLCertificateInfo modülünün açıklaması bu kaydı HTTPS sertifika doğrulamasının sonucu diye tanımlıyor. Kayıtla ilişkili üç alan sitenizde neye bakacağınızı gösteriyor:

• ErrorMessages alanı HTTPS doğrulamasında çıkan hataları tutar. Google'ın verdiği örnekler geçersiz sertifika, sertifika zincirinin kurulamaması ve beklenen alan adıyla uyuşmayan sertifikadır. Liste boşsa doğrulama başarılıdır. Sunucunuzda ara sertifikanın kurulu olduğunu bir SSL test aracıyla kontrol edin.
• urlWithBadSslCertificate alanı IndexingBadSSLCertificate kaydında durur. Hatalı sertifika kaynak adresin yönlendirdiği başka bir adresten geliyorsa o adresi tutar. Açıklamaya göre bu bilgi kurallı (canonical) adres için, arama sonuçlarının sunulduğu aşamaya taşınmak üzere saklanıyor. Sayfalarınızın yönlendirdiği her adresin sertifikasını da kontrol edin.
• displayUrlIsHttps ile desktopDisplayUrlIsHttps alanları VOLT adlı sayfa deneyimi kaydında durur, açıklamaları boş. Modül notu bu kayıtta yalnız Core Web Vitals ile güvenli bağlantı sinyalinin tutulduğunu, verinin sıralama değişiklikleri için kullanıldığını yazıyor. Search Console'daki HTTPS raporunda HTTP olarak kalan adres bırakmayın.

Bu kayıtlar HTTPS'in sıralamada ne kadar ağır bastığını göstermez. Şema Google'ın verilerini nasıl adlandırdığını anlatır, bugün hangisini nasıl kullandığını söylemez. Sertifika denetimini bu yüzden sıralama hesabıyla değil, taramanın ve ziyaretin hatasız ilerlemesi için yapın. HTTPS dışındaki sızan sinyalleri ve Google'ın sızıntıya verdiği cevabı ayrı bir rehberde anlattık.

Hangi SSL sertifikası türü seçilmeli?

SEO açısından sertifika türleri arasında fark yoktur, seçim güvenlik ile kapsam ihtiyacına göre yapılır. Google ücretsiz bir DV sertifikası ile pahalı bir EV sertifikasını aynı şekilde değerlendirir. Beş sertifika türü şunlardır:

• DV (alan adı doğrulamalı): Yalnız alan adı sahipliğini doğrular. Let's Encrypt gibi sağlayıcılardan ücretsiz alınabilir. Blog, kurumsal site ile çoğu e-ticaret sitesi için yeterlidir.
• OV (kurum doğrulamalı): Şirketin varlığını da doğrular. Kurum bilgisi sertifika ayrıntılarında görünür.
• EV (genişletilmiş doğrulama): En sıkı kimlik kontrolünü içerir. Tarayıcılar 2019'da EV için gösterilen yeşil adres çubuğunu ve şirket adını kaldırdı. Bu yüzden ziyaretçi DV ile EV arasındaki farkı artık adres çubuğunda görmez.
• Wildcard: Bir alan adının tüm alt alan adlarını kapsar. "*.rankzup.com" gibi bir sertifika blog.rankzup.com ile shop.rankzup.com adreslerini birlikte korur. Let's Encrypt wildcard sertifikasını yalnız DNS doğrulamasıyla verir.
• Multi-domain: Birbirinden farklı birden fazla alan adını tek sertifikada toplar. Alan adları sertifikanın Subject Alternative Name alanına yazıldığı için SAN ya da UCC sertifikası adıyla da satılır.

Hangi türü seçerseniz seçin, yenilemeyi otomatiğe bağlayın. Sertifika geçerlilik süreleri kısalıyor: 2026 Mart'tan beri yeni sertifikalar en fazla 200 gün geçerli, bu süre önümüzdeki yıllarda daha da inecek. Süresi dolan sertifika tarayıcıda tam sayfa güvenlik uyarısı çıkarır ve ziyaretçinin büyük kısmı siteye hiç giremez.

Ücretsiz SSL ile ücretli SSL arasındaki fark nedir?

Ücretsiz SSL ile ücretli SSL arasındaki fark şifrelemede değil, doğrulama düzeyinde ortaya çıkar. İkisi de tarayıcıyla aynı TLS bağlantısını kurar. Let's Encrypt yalnız DV sertifikası verir, kurum doğrulamalı OV ile EV türlerini sunmaz. Sertifika ayrıntılarında şirket adınızın görünmesi gerekiyorsa ücretli bir sağlayıcıdan OV sertifikası alırsınız.

SSL sertifikası nasıl alınır ve kurulur?

SSL sertifikası hosting panelinden ya da bir sertifika sağlayıcısından alınır ve sitenin çalıştığı sunucuya kurulur. Hosting firmalarının çoğu cPanel ya da Plesk panelinde Let's Encrypt sertifikasını panelden kurma seçeneği sunar. Ücretli bir sertifikada süreç dört adımdır:

1. Sunucuda sertifika imzalama isteği (CSR) oluşturulur.
2. İstek sertifika sağlayıcısına gönderilir.
3. Sağlayıcı alan adı sahipliğini e-posta, DNS kaydı ya da dosya yüklemeyle doğrular.
4. Verilen sertifika dosyası sunucuya yüklenir.

Kurulumdan sonra sitenin https:// ile açıldığını kontrol edin. Sertifikanın www'lu ve www'suz iki sürümü de kapsadığına bakın. DNS ile doğrulamada alan adınıza sağlayıcının verdiği değeri taşıyan bir kayıt eklenir, Let's Encrypt bunun için TXT kaydı kullanır. Kayıt türlerini DNS kayıtlarını anlattığımız yazıda bulabilirsiniz.

HTTP'den HTTPS'e geçerken trafik kaybı nasıl önlenir?

Trafik kaybını önlemenin yolu her HTTP adresini karşılığı olan HTTPS adresine tek adımda 301 ile yönlendirmek ve sitedeki tüm sinyalleri yeni adrese çevirmektir. Taşıma sırasında kontrol edilecek beş nokta şunlardır:

• Her HTTP URL'si ana sayfaya değil, kendi HTTPS karşılığına 301 ile yönlenmeli. Zincir yönlendirme olmamalı. Ayrıntılar için yönlendirme kurallarına bakabilirsiniz.
• Canonical etiketleri ile iç linkler HTTPS adresleri göstermeli, XML site haritası da yalnız HTTPS adreslerini listelemeli.
• Sayfada HTTP ile çağrılan görsel, script ya da stil dosyası kalmamalı. Bu karışık içerik tarayıcıda uyarıya ya da dosyanın hiç yüklenmemesine yol açar.
• Search Console'da alan adı mülkü yoksa HTTPS sürümü için yeni mülk eklenmeli.
• Geçiş oturduktan sonra HSTS başlığı eklenerek tarayıcının siteyi hep HTTPS ile açması sağlanmalı.

Doğru yapılan bir geçişte birkaç haftalık dalgalanma olağandır, kalıcı kayıp beklenmez. Geçişle birlikte alan adı ya da altyapı da değişiyorsa adımları SEO migration planını anlattığımız rehberde bulabilirsiniz. Geçişin site genelindeki diğer teknik adımlarla nasıl birleştiğini teknik SEO üzerine yazdığımız rehberde anlattık. Büyük bir sitede HTTPS taşıması ya da karışık içerik temizliği planlıyorsanız SEO danışmanlığı hizmetimiz kapsamında adım listesini birlikte çıkarabiliriz.