SSL/TLS sertifikası, bir web sitesinin kimliğini kanıtlayan ve tarayıcınızın o siteyle şifreli bir HTTPS bağlantısı kurmasını sağlayan dijital bir belgedir. Bir alan adını bir açık anahtara bağlar ve tarayıcıların zaten güvendiği bir sertifika otoritesi (CA) tarafından imzalanır.
Adres çubuğunda https:// ve bir asma kilit ya da benzeri bir gösterge gördüğünüzde, bundan bir saniyeden kısa süre önce bir sertifika denetlenmiştir. Sertifikalar aynı anda iki iş yapar: sunucuyu doğrularlar, böylece bir sahtekâr değil gerçek example.com ile konuştuğunuzu bilirsiniz; ayrıca şifrelemeyi mümkün kılarlar, böylece ağ yolu üzerindeki hiç kimse gönderdiklerinizi okuyamaz ya da değiştiremez.
SSL ile TLS arasındaki fark nedir?
SSL (Secure Sockets Layer), 1990'larda Netscape tarafından geliştirilen özgün protokoldü. Yerini TLS (Transport Layer Security) aldı; SSL'in tüm sürümleri artık güvensiz sayılıyor ve resmen kullanımdan kaldırıldı. TLS 1.0 ve 1.1 de RFC 8996 (2021) ile kullanımdan kaldırıldı; bu yüzden modern bağlantılar TLS 1.2 veya TLS 1.3 kullanır.
Yine de "SSL sertifikası" adı yerleşti. Sertifikanın kendisi bir protokol sürümüne bağlı değildir; aynı sertifika her TLS sürümüyle çalışır. "SSL sertifikası", "TLS sertifikası" ve "HTTPS sertifikası" aynı şey anlamına gelir.
TLS el sıkışması nasıl çalışır?
Herhangi bir web sayfası verisi alışverişi yapılmadan önce tarayıcı ve sunucu bir el sıkışma (handshake) gerçekleştirir. Basitleştirilmiş bir TLS 1.3 el sıkışması şöyle görünür:
- Client hello. Tarayıcı, genellikle 443 numaralı bağlantı noktasından bağlanır ve hangi TLS sürümlerini ve şifre takımlarını desteklediğini söyler. İstediği ana bilgisayar adını (Server Name Indication eklentisiyle; böylece tek bir IP adresi birçok siteyi barındırabilir) ve anahtar değişiminden kendi payını da gönderir.
- Server hello. Sunucu parametreleri seçer, kendi anahtar payını gönderir ve eşleşen özel anahtara sahip olduğunu kanıtlayan bir imzayla birlikte sertifikasını sunar.
- Doğrulama. Tarayıcı, sertifikanın ana bilgisayar adını kapsadığını, geçerlilik tarihleri içinde olduğunu ve güvenilir bir kök CA'ya kadar zincirlendiğini denetler.
- Oturum anahtarları. Her iki taraf da anahtar değişiminden aynı simetrik oturum anahtarlarını türetir. Bundan sonraki tüm trafik bunlarla şifrelenir.
Özel anahtar sunucudan hiç çıkmaz. Açık anahtarlı şifreleme yalnızca kimlik doğrulamak ve anahtarlar üzerinde anlaşmak için kullanılır; asıl veri AES-GCM veya ChaCha20-Poly1305 gibi hızlı simetrik şifrelerle şifrelenir. TLS 1.3 bunu tek gidiş-dönüşte tamamlar; TLS 1.2'de bu iki gidiş-dönüştür.
Sertifikanın içinde ne var?
Bir sertifika X.509 standardına uyar ve diğer alanların yanı sıra şunları içerir:
- Subject Alternative Names (SAN'lar): sertifikanın geçerli olduğu ana bilgisayar adları. Tarayıcılar eski Common Name alanına değil bu listeye bakar.
- Açık anahtar: sunucunun RSA veya ECDSA açık anahtarı.
- Veren (issuer): sertifikayı imzalayan CA.
- Geçerlilik süresi: "Not Before" ve "Not After" tarihleri.
- Seri numarası ve imza: benzersiz bir tanımlayıcı ve verenin yukarıdakilerin tamamı üzerine attığı imza.
SAN ve joker karakterli (wildcard) sertifikalar
Tek bir sertifika, adları SAN olarak listeleyerek birçok adı kapsayabilir; örneğin example.com, www.example.com ve shop.example.com. Wildcard sertifika, örneğin *.example.com, o düzeydeki tek bir etiketi kapsar; yani www.example.com ve api.example.com ile eşleşir, ancak şunlarla eşleşmez: example.com'un kendisi ve a.b.example.com gibi daha derin adlar. Wildcard sertifikaların çoğunlukla çıplak alan adını ek bir SAN olarak listelemesinin nedeni budur.
DV, OV ve EV sertifikaları
Sertifikalar, CA'nın düzenlemeden önce başvuru sahibini ne kadar ayrıntılı denetlediği bakımından farklılaşır:
| Tür | Neyin doğrulandığı | Tipik kullanım |
|---|---|---|
| Alan Adı Doğrulamalı (DV) | Yalnızca başvuru sahibinin alan adını kontrol ettiği; bir DNS kaydı, web sitesindeki bir dosya veya bir e-posta ile | Çoğu web sitesi; saniyeler içinde otomatik düzenlenir |
| Kuruluş Doğrulamalı (OV) | Alan adı kontrolü ve kuruluşun yasal varlığı | Şirket adının sertifika ayrıntılarında görünmesini isteyen işletmeler |
| Genişletilmiş Doğrulamalı (EV) | Yasal kuruluşun daha sıkı, standartlaştırılmış denetimi | Bazı bankalar ve büyük şirketler |
Üçü de tam olarak aynı şifreleme gücünü sağlar. Fark yalnızca kimlik bilgisindedir. Büyük tarayıcılar 2019 civarında EV sertifikalara özel yeşil şirket adı gösterimini bıraktı; bu nedenle çoğu site için pratik seçim DV sertifikadır.
Güven zinciri
İşletim sisteminiz ve tarayıcınız bir kök deposuyla gelir: güvendikleri kök CA sertifikalarının listesi. Kök CA'lar web sitesi sertifikalarını nadiren doğrudan imzalar. Bunun yerine ara (intermediate) sertifikaları imzalar, onlar da yaprak (leaf) sertifikasını, yani sunucu sertifikasını imzalar:
Root CA (tarayıcının güven deposunda)
└── Intermediate CA (sunucu gönderir)
└── www.example.com (yaprak sertifika, sunucu gönderir)Sunucu yaprak sertifikasını ve ara sertifikaları göndermelidir. Tarayıcı ardından her imzayı, zaten güvendiği bir köke kadar doğrular. Bu düzen, kök anahtarların çevrimdışı ve iyi korunmuş kalmasını sağlar. Hatalı düzenlemeye karşı korunmak için herkese güvenilen sertifikalar ayrıca herkese açık Certificate Transparency günlüklerine kaydedilir ve alan adı sahipleri, hangi CA'ların kendileri için sertifika düzenleyebileceğini CAA DNS kaydıyla kısıtlayabilir; bunu DNS kayıt türleri rehberimizde anlattık.
Let's Encrypt ve sertifika ömürleri
Kâr amacı gütmeyen bir CA olan Let's Encrypt, ücretsiz DV sertifikaları yaygınlaştırdı. Sertifikaları 90 gün geçerlidir ve Certbot gibi istemcilerle ya da birçok web sunucusu ve barındırma panelindeki yerleşik özelliklerle ACME protokolü kullanılarak otomatik yenilenecek şekilde tasarlanmıştır. Çoğu barındırma sağlayıcısı ve CDN artık sertifikaları elle hiçbir adım atmadan düzenleyip yeniliyor.
Sektör genelinde ömürler kısalıyor. CA/Browser Forum'un SC-081 oylamasına göre, herkese güvenilen TLS sertifikalarının azami geçerlilik süresi kademeli olarak düşürülüyor; Mart 2026'dan itibaren 200 günle başlıyor ve sonraki yıllarda daha da azalıyor. Kesin takvim hâlâ değişebilir ama yön açık: yenilemeyi otomatikleştirin, çünkü sertifikaları elle yenilemek giderek daha az uygulanabilir olacak.
Yaygın sertifika hataları ve çözümleri
Süresi dolmuş sertifika
Tarayıcılar NET::ERR_CERT_DATE_INVALID gibi hatalar gösterir. Sertifikayı yenileyin ve web sunucusunu yeniden yükleyin. Ardından otomatik yenilemenin neden başarısız olduğunu araştırın; çoğunlukla doğrulamayı engelleyen bir güvenlik duvarı, bir DNS değişikliği veya bozuk bir cron işi sorumludur. Ziyaretçinin cihazındaki yanlış bir saat de aynı hataya yol açabilir; bu yüzden yalnızca tek bir cihaz şikâyet ediyorsa tarihi kontrol edin.
Ad uyuşmazlığı
ERR_CERT_COMMON_NAME_INVALID gibi hatalar, adres çubuğundaki ana bilgisayar adının sertifikanın SAN listesinde olmadığı anlamına gelir; örneğin www.example.com için düzenlenmiş bir sertifikanın example.com için sunulması. Sertifikayı sunduğunuz her ana bilgisayar adını içerecek şekilde yeniden düzenleyin veya ziyaretçileri kapsanan bir ada yönlendirin.
Eksik zincir
Sunucu yalnızca yaprak sertifikayı, ara sertifikaları olmadan gönderirse bazı tarayıcılar eksik parçayı indirerek ya da önbellekten alarak idare eder; diğerleri, birçok komut satırı aracı ve uygulamayla birlikte, başarısız olur. Sunucuyu tam zincir dosyasıyla (çoğunlukla fullchain.pem denir) yapılandırın.
Kendinden imzalı veya güvenilmeyen veren
NET::ERR_CERT_AUTHORITY_INVALID, zincirin güvenilen bir köke çıkmadığı anlamına gelir; genellikle sertifika kendinden imzalıdır veya özel bir CA'dan gelmiştir. Bu, dahili testler için sorun değildir ama herkese açık bir site için uygun değildir; herkese açık bir CA'dan alınan sertifikayla değiştirin. Aynı hata, antivirüs yazılımı veya kurumsal bir proxy HTTPS trafiğine müdahale ettiğinde de görülebilir.
Karma içerik (mixed content)
Sertifika geçerlidir ama sayfa betikleri veya görselleri düz http:// üzerinden yükler. Bu URL'leri HTTPS olarak güncelleyin ve tarayıcıların her zaman HTTPS kullanması için bir HSTS başlığı eklemeyi düşünün.
openssl s_client -connect example.com:443 -servername example.com komutu, sunucunun gönderdiği tam zinciri yazdırır.Sıkça sorulan sorular
HTTPS, bir web sitesinin güvenli olduğu anlamına mı gelir?
Hayır. HTTPS, siteyle bağlantınızın şifrelendiği ve sitenin görünen alan adını kontrol ettiği anlamına gelir. Kimlik avı siteleri geçerli DV sertifikalara sahip olabilir ve sahip de oluyor. Her zaman alan adının kendisini kontrol edin.
Ücretsiz sertifikalar ücretlilerden daha mı az güvenli?
Hayır. Let's Encrypt'ten alınan ücretsiz bir DV sertifika, ücretli olanla aynı şifrelemeyi sağlar. Ücretli sertifikalar kimlik doğrulaması (OV/EV), garantiler veya destek ekleyebilir; ancak daha güçlü şifreleme sunmaz.
Bir SSL sertifikası ne kadar süre geçerlidir?
Let's Encrypt sertifikaları 90 gün sürer. Diğer herkese açık CA'lar, 2026'da 200 günden başlayarak kademeli olarak kısaltılan CA/Browser Forum azami süresine bağlıdır. En güvenli yaklaşım otomatik yenilemedir.
HTTPS hangi bağlantı noktasını kullanır?
HTTPS varsayılan olarak TCP 443 numaralı bağlantı noktasını, düz HTTP ise 80 numaralı noktayı kullanır. Daha fazlası için yaygın ağ bağlantı noktaları rehberimize bakın.