SSL sertifikası olmayan bir web sitesi dört somut şey kaybeder: ziyaretçinin güveni, formdan gelen verinin gizliliği, arama motorlarında küçük ama gereksiz bir sıralama avantajı ve bazı tarayıcı ile entegrasyon özelliklerinin çalışması. Sertifika, siteniz ile ziyaretçinin tarayıcısı arasındaki veriyi şifreler. Adres çubuğunda kilit görünür ve adres https ile başlar.
Çoğu işletme sahibi bunu bir ayrıntı sanıyor. Değil. Aşağıda her riski ne zaman ve nasıl yaşandığıyla anlatıyor, sonra kurulumdan sonra kontrol edilecekleri sıralıyoruz.
Tarayıcı “Güvenli değil” diyor
Chrome, Safari, Firefox ve Edge, SSL’siz bir sitede adres çubuğunda “Güvenli değil” uyarısı gösterir. Bir form sayfasında bu uyarı daha da belirginleşir. Telefon numarasını yazmak üzere olan kişi bu ifadeyi görünce durur.
Bu kayıp raporlarda “yüksek çıkış oranı” olarak görünür. Nedenini kimse sorgulamaz. Ziyaretçi bir mesaj bırakmadan gittiği için sorun gözden kaçar. Siteniz reklamla trafik alıyorsa, tıklama için ödediğiniz para da bu kayba dahildir.
Form verisi düz metin olarak gider
SSL olmayan sitede doldurulan form şifrelenmeden iletilir. İsim, telefon, e-posta ve bazı durumlarda ödeme bilgisi, ağı izleyen birinin okuyabileceği şekilde yol alır. Risk özellikle halka açık Wi-Fi ağlarında somutlaşır: kafe, havalimanı, otel.
Kişisel veri topluyorsanız bu bir sorumluluk meselesi. KVKK kapsamında veri güvenliği tedbirleri almanız gerekir. Sitede iletişim formu bulunduran her işletme bu kapsama girer. Hukuki değerlendirme için avukatınıza danışın, ancak teknik asgari şart bellidir: formun https üzerinden çalışması.
Google sıralaması
Google, https kullanımını yıllardır sıralama sinyallerinden biri olarak açıkladı. Bu sinyalin ağırlığı büyük değil. Aynı içerik kalitesine sahip iki siteden SSL’i olan hafif öne geçer, olmayanın ise gereksiz bir dezavantajı olur. Ücretsiz ve hızlı çözülebilen bir şeyi çözmemek için gerekçe yok.
Asıl sorun başka bir yerde. SSL olmayan siteye gelen ziyaretçi uyarıyı görüp çıktığında, Google bunu terk davranışı olarak okuyabilir. Bu doğrudan bir sıralama kuralı değil, ama ziyaretçi memnuniyetsizliğinin bir göstergesi. SEO çalışması yaptırdığınız bir sitede SSL’in olmaması, diğer bütün işi zayıflatır. Bizim SEO hizmetimiz ilk adımda teknik altyapıyı kontrol eder ve SSL bunun ilk maddesidir.
Tarayıcı özellikleri çalışmaz
Konum bilgisi isteme, bildirim izni, kamera ya da mikrofon erişimi gibi özellikler yalnızca güvenli bağlantıda çalışır. SSL’siz sitede bunlar ya hiç çalışmaz ya da beklenmedik biçimde davranır. Geliştirme sırasında fark edilmeyebilir, çünkü yerel ortam genellikle https gerektirmez. Canlıya alındığında sessizce bozulur.
Aynı şey üçüncü taraf entegrasyonlar için geçerli. Ödeme sağlayıcıları, bazı analitik araçlar ve çoğu API, güvenlik gerekçesiyle yalnızca https üzerinden çalışır. SSL yokken bu araçları kurmaya çalışmak, teknik hata mesajıyla sonuçlanır.
Marka algısında kalıcı iz
“Güvenli değil” uyarısıyla karşılaşan biri siteye tekrar girmeyebilir. Bu tek seferlik bir kayıp gibi görünse de marka algısında bir iz bırakır. İlk teması web sitesi üzerinden kurulan hizmet işletmelerinde, yani avukat, klinik, danışmanlık ve B2B firmalarında bu durum doğrudan potansiyel müşteri kaybı demek.
Telefonda bu uyarı daha göze çarpıyor. Küçük ekranda adres çubuğunun çoğunu kaplayabiliyor. Ziyaretçilerin büyük kısmının mobilden geldiği bir sitede masaüstünden daha çok kişi etkileniyor.
Rakip karşılaştırması
Kullanıcı aynı hizmeti sunan üç işletmenin sitesine art arda bakıyorsa, SSL’i olmayan site anında geride kalır. Bu kayıp hiç görünmez. Kişi bir mesaj bırakmadan çıkmıştır. Analytics’te sadece bir ziyaret satırı kalır.
SSL edinmek pahalı mı?
Hayır. Çoğu hosting sağlayıcısı ücretsiz ve otomatik yenilenen sertifika sunar. Let’s Encrypt gibi ücretsiz sertifika otoriteleri bu işi yıllardır yapıyor. Dolayısıyla SSL eksikliği, çoğunlukla maliyet değil ihmal ya da eski altyapı sonucudur. Siteniz hâlâ http ile açılıyorsa, hosting panelinizde SSL ayarını bulun ya da sağlayıcınızla yazışın.
Aniba web sitesi paketlerinde SSL ve düzenli yedekleme hosting ile birlikte geliyor. İlk yıl hosting ücretsiz, sonraki yıllar 6.000 ₺ + KDV. Alan adı ve site sahipliği size ait. Paket ayrıntıları fiyatlar sayfasında, site kurulumu için web tasarım sayfamızda.
Sertifika türleri
Çoğu kurumsal site için alan adı doğrulamalı (DV) sertifika yeterlidir. Bu sertifika şifrelemeyi sağlar ve ücretsiz alınabilir. Kuruluş doğrulamalı (OV) ve genişletilmiş doğrulamalı (EV) sertifikalar, sitenin arkasındaki kuruluşun kimliğini daha ayrıntılı doğrular. Finansal işlem yapan ya da hassas veri toplayan siteler için düşünülebilir. Bugünkü tarayıcılar EV için eskisi gibi ayrı bir yeşil çubuk göstermiyor, bu yüzden çoğu site için gerekli değil. Karar vermeden önce toplanan verinin hassasiyetine bakın.
Kurulumdan sonra kontrol listesi
Sertifikayı kurmak işin yarısı. Sonra şunları kontrol edin:
- http ile açılan her adres https’e yönlendiriliyor mu? Örneğin http://siteadi.com ve http://www.siteadi.com kalıcı yönlendirmeyle (301) https sürümüne gitmeli.
- Sayfadaki görseller, betikler ve stil dosyaları https ile mi yükleniyor? Biri http ile yükleniyorsa tarayıcı “karışık içerik” uyarısı verir ve kilit simgesi bozulur.
- www sürümü ve alt alan adları (blog, panel, mağaza) sertifika kapsamında mı?
- Sertifikanın otomatik yenileme ayarı çalışıyor mu? Bitiş tarihini takvime yazın.
- Search Console’a https sürümünü ekleyin ve sitemap adresini güncelleyin.
- Google Analytics, reklam hesapları ve sosyal profil bağlantılarındaki adresler https oldu mu?
Alt alan adı ve www tuzağı
Sık yapılan bir hata, sertifikanın yalnız ana alan adına alınması. Ziyaretçi ana adrese girerse kilidi görür, www ile girerse ya da blog.siteadi.com’a gittiğinde uyarı alır. Aynı marka için bir adres güvenli, diğeri değilse ziyaretçi sitenin genel olarak güvenilir olup olmadığını sorgular.
Çözüm: sertifika alırken www sürümünü ve kullanılan tüm alt alan adlarını kapsama almak, ya da tüm alt alan adlarını tek seferde kapsayan joker (wildcard) sertifika kullanmak. Mağaza, blog ve üye paneli gibi birden fazla alt sistemi olan sitelerde bu, yayın öncesi listenin ilk satırlarında olmalı.
Yeni kurulumda neden unutulur?
SSL, genellikle kasıtlı bir tercih olarak eksik kalmaz. Tasarım ve içerik bittikten sonra “domain’i bağla, SSL’i kur” adımları son güne sıkışır ve aceleyle yapılır. Sertifika otomatik yenileme ayarı kapalı kalabilir. Birkaç ay sonra sertifikanın süresi dolar, siteye girenler tarayıcıda tam ekran bir uyarı sayfasıyla karşılaşır. Bunu fark etmek için çoğu zaman bir müşteri şikayeti ya da trafik düşüşü gerekir.
Yayına alma kontrol listesine SSL kurulumunu ve yenilemenin çalıştığını ayrı bir satır olarak yazın. Sertifika bitiş tarihini izleyen ücretsiz uyarı servisleri var; birine kaydolun.
Sitenizin durumunu iki dakikada nasıl kontrol edersiniz?
Adres çubuğundaki kilit simgesine tıklayın. “Bağlantı güvenli” yazıyorsa sertifika çalışıyor. Sertifikanın ayrıntısına girerek bitiş tarihine bakabilirsiniz. Sonra adresi elle http:// ile yazın. Sayfa https’e atlıyorsa yönlendirme doğru kurulmuş. Atlamıyorsa, aynı içeriğin iki adresten açıldığı bir durum var; bu hem güvenlik hem de arama motoru açısından düzeltilmesi gereken bir sorun.
Chrome’da F12 ile açılan geliştirici araçlarının Konsol sekmesine de bakın. “Mixed Content” uyarısı görüyorsanız, https sayfada http ile yüklenen bir dosya var demektir. Genellikle eski bir görsel adresi ya da sabit yazılmış bir betik bağlantısıdır.
Hızla dolaylı ilişkisi
HTTP/2 ve HTTP/3 gibi daha yeni protokoller tarayıcılarda yalnızca güvenli bağlantı üzerinden çalışır. Dolayısıyla SSL’siz site bu hız kazanımlarından da mahrum kalır. SSL, tek başına bir iyileştirme değil; birkaç iyileştirmenin önünü açan bir adımdır.
Kısa ömürlü kampanya sayfaları
“Bu sayfa iki hafta yaşayacak, SSL’e gerek yok” düşüncesi yanlış. Kampanya süresi kısaysa her ziyaretçi daha değerli, çünkü zamanınız sınırlı. Üstelik reklam trafiği veren sayfada uyarı görmek, ödediğiniz tıklama parasının boşa gitmesi demek. Alan adını bağladığınız gün SSL’i de açın.
SSL yoksa şimdi ne yapmalı?
Önce sitenizin gerçekten https ile açılıp açılmadığını kontrol edin: adres çubuğunda kilit var mı, http ile yazdığınızda https’e yönleniyor mu? Yoksa hosting panelinizde SSL bölümüne girin. Kurulum çoğu zaman birkaç dakika sürer. Sonra yukarıdaki kontrol listesini uygulayın.
Siteniz eski bir altyapıdaysa ve SSL kurulamıyorsa, sorun sadece sertifikada olmayabilir. O durumda siteyi güncel bir altyapıya taşımak daha doğru olur. Kendi sitenizin durumuna baktırmak isterseniz iletişim sayfamızdan yazın ya da 0540 022 64 22’yi arayın. Sertifika, yönlendirme ve karışık içerik kontrolünü birlikte yapalım.