SSL Sertifikası Nedir, Ücretsiz SSL Yeterli mi?

Kısa cevap: Çoğu kurumsal site, blog ve küçük e-ticaret sitesi için ücretsiz SSL sertifikası yeterli. Ücretli sertifikalar daha güçlü şifreleme sağlamaz; farkları, sertifikayı veren kuruluşun sizin hakkınızda ne kadar doğrulama yaptığında ve sunduğu ek hizmetlerde.

Ajans olarak bize gösterilen tekliflerde sık gördüğümüz bir kalem var: yıllık ücretli SSL. Bazen gerçekten gerekli, çoğu zaman değil. Ayrımı nasıl yapacağınızı anlatalım.

SSL ne yapar?

SSL (bugün teknik adı TLS) ziyaretçinin tarayıcısı ile sunucunuz arasındaki trafiği şifreler. Biri iletişim formuna adını, telefonunu ya da kart bilgisini yazdığında bu veri yolda okunamaz hale gelir. Adres çubuğundaki https ve kilit simgesi bunu gösterir.

İkinci işlevi kimlik. Sertifika, bağlandığınız sitenin gerçekten o alan adına ait sunucu olduğunu doğrular.

SSL olmayan bir sitede yaygın tarayıcılar adres çubuğunda Güvenli değil uyarısı gösterir. Google da HTTPS'i bir sıralama sinyali olarak kullandığını yıllar önce açıkladı. Yani bugün SSL bir tercih değil, asgari şart.

DV, OV ve EV farkı

Sertifikalar doğrulama düzeyine göre üçe ayrılır.

DV (alan adı doğrulamalı): Sertifika veren kuruluş yalnızca alan adının sizin kontrolünüzde olduğunu kontrol eder. Genelde dakikalar içinde ve otomatik verilir. Let's Encrypt gibi ücretsiz sertifikalar bu türdür.

OV (kurum doğrulamalı): Şirketin resmi olarak var olduğu da belgelerle kontrol edilir. Birkaç gün sürebilir. Sertifika detaylarında şirket adı görünür.

EV (genişletilmiş doğrulama): En sıkı kontroldür. Eskiden adres çubuğunda yeşil şirket adı gösterilirdi, ancak büyük tarayıcılar bu görünümü kaldırdı. Bugün ziyaretçi açısından EV ile DV arasındaki görsel fark neredeyse yok.

Üçünde de şifreleme aynı teknolojiyle yapılır.

Ücretsiz SSL ne zaman yeterli?

Tanıtım sitesi, blog, randevu formu olan bir klinik sitesi, kart bilgisinin ödeme kuruluşunun kendi sayfasında alındığı bir entegrasyonla çalışan küçük bir e-ticaret sitesi. Bunların hepsinde ücretsiz DV sertifika genelde yeterli. Bu kurguda kart bilgisi sizin sunucunuza gelmiyor.

Ücretli sertifikayı düşünmeniz gereken durumlar daha sınırlı: kurumsal müşterilerinizin ya da bir ihalenin OV/EV sertifika şart koşması, birden fazla alt alan adını tek sertifikayla yönetmek istemeniz ve hostinginizin ücretsiz sertifika desteklememesi, ya da sertifika garantisinin sözleşmesel olarak istendiği finans projeleri.

Ücretsiz sertifikaların geçerlilik süresi kısadır, Let's Encrypt gibi sağlayıcılarda birkaç ay ve sektörde bu süreler giderek kısalıyor. Bu bir sorun değil, çünkü yenileme otomatik yapılır. Sorun, otomatik yenilemenin bir sunucu taşımasından sonra kırılması. Bakım kontrol listenizde sertifika bitiş tarihi mutlaka olsun.

Güvenli değil uyarısı ve çözümü

Sertifikanız kurulu olduğu halde uyarı görüyorsanız sebebi genelde şunlardan biridir:

• Karışık içerik: Sayfa https ile açılıyor ama bir görsel, script ya da yazı tipi hâlâ http adresinden yükleniyor. Tarayıcının geliştirici araçlarındaki Console sekmesi hangi dosya olduğunu söyler.
• Süresi dolmuş sertifika: Otomatik yenileme çalışmamıştır.
• Alan adı uyuşmazlığı: Sertifika ornek.com için alınmış ama site www ile açılıyor, ya da tam tersi.
• http'den https'e yönlendirme yok: Site iki adreste de açılıyor.

Bunların çoğu hosting panelinden ya da birkaç satırlık sunucu ayarıyla çözülür. Hosting türlerinin SSL desteği açısından farkını hosting karşılaştırma yazımızda, sitenizi korumak için alabileceğiniz diğer önlemleri de güvenlik yazımızda bulabilirsiniz.