SSL Sertifikası Nedir, Nasıl Alınır? DV, OV, EV Farkı ve "Güvenli Değil" Uyarısı

Son güncelleme: 07.10.2026

SSL sertifikası, web sitenizle ziyaretçinin tarayıcısı arasındaki bağlantıyı şifreleyen ve sitenin gerçekten o alan adına ait olduğunu doğrulayan dijital bir belgedir; sertifika kurulu sitenin adresi https:// ile başlar. Çoğu kurumsal site için alan adı doğrulamalı (DV) bir sertifika yeterlidir ve barındırma panelinden birkaç tıklamayla kurulur. Asıl iş sertifikayı almak değil, süresi dolmadan yenilenmesini sağlamaktır.

SSL ile TLS aynı şey mi?

Bugün kullanılan şifreleme protokolünün adı TLS'dir (Transport Layer Security). SSL, aynı işi yapan eski protokolün adıdır ve artık kullanılmaz; ancak piyasada sertifikalar hâlâ "SSL sertifikası" diye anılır. Bu yazıda da alışılmış adı kullanıyoruz.

Sertifikasız bir sitede iletişim formuna yazılan ad, telefon ve e-posta adresi ağ üzerinde açık metin olarak gider. Chrome bu sitelerde adres çubuğunda "Güvenli değil" yazar ve Google'ın yardım sayfasına göre bu, başka birinin gönderilen bilgileri görüntüleyip değiştirebileceği anlamına gelir.

DV, OV ve EV sertifika farkı

Sertifikalar, sertifika otoritesinin (CA, sertifikayı veren kuruluş) başvuru sahibi hakkında neyi doğruladığına göre ayrılır. Kuralları tarayıcı üreticileri ve sertifika otoritelerinin oluşturduğu CA/Browser Forum belirler.

Şifreleme gücü üç türde aynıdır. CA/Browser Forum'un temel gereksinimler belgesi, sertifika türleri farklı kimlik bilgisi taşısa da hepsinin alan adı kimliği için aynı güvence düzeyini sağladığını açıkça yazar. Kısacası OV veya EV almak bağlantıyı daha güvenli yapmaz; sertifikanın içinde şirketinize ait doğrulanmış bilgi taşır.

SSL sertifikası nasıl alınır?

1. Barındırma panelinize bakın. cPanel, Plesk ve benzeri panellerin çoğunda "SSL/TLS" veya "Let's Encrypt" bölümü vardır. Alan adınızı seçip sertifikayı başlatırsınız.
2. Alan adı doğrulaması yapılır. Sertifika otoritesi, alan adının sizin kontrolünüzde olduğunu sunucuya konan bir dosyayla veya bir DNS kaydıyla kontrol eder. Alan adı başka bir sunucuyu gösteriyorsa bu adım başarısız olur.
3. Sertifika kurulur ve http adresleri yönlendirilir. http:// ile gelen ziyaretçiler kalıcı (301) yönlendirmeyle https:// adresine gönderilmelidir. Nasıl yapılacağını 301 yönlendirme rehberimizde anlattık.
4. Otomatik yenilemeyi kontrol edin. Panelde yenilemenin açık olduğunu ve son yenileme tarihini görün.

OV veya EV sertifika ise bir sertifika otoritesinden ya da bayisinden satın alınır; şirket bilgileriniz doğrulandıktan sonra verilir ve sunucuya kurulması gerekir.

Ücretsiz sertifika: Let's Encrypt

Let's Encrypt kâr amacı gütmeyen bir sertifika otoritesidir ve sertifikaları için ücret almaz. Yalnız DV sertifika verir; OV ve EV vermez, çünkü bunların verilmesi otomatikleştirilemez. Kendi SSS sayfasına göre bazı barındırma firmaları yönetim maliyetini karşılamak için küçük bir ücret alabilir.

Let's Encrypt sertifikaları varsayılan olarak 90 gün geçerlidir ve kuruluş her 60 günde bir yenilemeyi önerir. Bu kısa süre, yenilemenin elle değil otomatik yapılması için tasarlanmıştır. Sunucuda Certbot gibi bir ACME istemcisi (sertifikayı otomatik alıp yenileyen program) varsa yenilemeyi kendisi yapar:

sudo certbot renew --dry-run

Bu komut gerçek bir yenileme yapmadan yenileme sürecini dener; hata vermiyorsa otomatik yenileme çalışacak demektir.

Sertifika süreleri kısalıyor

CA/Browser Forum, Nisan 2025'te kabul ettiği SC-081 kararıyla herkese açık TLS sertifikalarının azami geçerlilik süresini kademeli olarak kısalttı. Temel gereksinimler belgesindeki takvim şöyledir:

Let's Encrypt de Aralık 2025'te duyurduğu plana göre varsayılan sertifika süresini 2028'e kadar 45 güne indiriyor. Yıllık satın alınan ücretli sertifikalar için de sonuç aynı: 200 günlük sınırla sertifikayı yılda bir elle değiştirme dönemi bitti; süre 47 güne indiğinde yenilemenin pratikte otomatik yapılması gerekecek.

"Güvenli değil" uyarısının sebepleri

• Sertifika hiç yok: Site yalnız http:// ile açılıyor.
• Sertifikanın süresi dolmuş: Otomatik yenileme çalışmamış. Sık görülen bir sebep, alan adının başka bir sunucuya taşınıp eski sunucudaki yenilemenin doğrulamayı geçememesidir.
• Ad uyuşmazlığı: Sertifika alanadiniz.com için alınmış, site www.alanadiniz.com ile açılıyor (ya da tersi). Sertifikanın her iki adı da kapsaması gerekir.
• Karışık içerik (mixed content): Sayfa https:// ile açılıyor ama içindeki bir görsel, betik veya stil dosyası http:// adresinden çağrılıyor.

Karışık içerik nasıl düzeltilir?

Mozilla'nın geliştirici belgelerine (MDN) göre tarayıcılar görsel, video ve ses gibi içeriklerin http isteklerini otomatik olarak https'e yükseltir; betik ve stil dosyası gibi diğer türleri ise engeller. Engellenen bir betik, menünün veya iletişim formunun çalışmamasına yol açabilir.

Bulmak için sayfayı açıp geliştirici araçlarının (F12) Konsol sekmesinde "Mixed Content" uyarılarına bakın. Çözüm, bu adresleri https:// ile değiştirmektir. WordPress sitelerde eski içeriklerde kalan http:// bağlantıları genellikle veritabanında arama-değiştirme ile güncellenir; bu işlemden önce yedek alın.

Kendiniz kontrol edin

Sitenizin sertifikasının kimin tarafından verildiğini ve ne zaman bittiğini domain analizi aracımızla görebilirsiniz. Araç aynı zamanda SPF, DKIM ve DMARC kayıtlarınızı da kontrol eder.

Barındırma panelinize erişiminiz yoksa ya da sertifika her yenileme döneminde sorun çıkarıyorsa, kurumsal hosting hizmetimizde site, SSL ve yedek tek yerde yönetilir; sertifika yenilemesi ve bitiş tarihi bizim takibimizdedir.

Sık Sorulan Sorular

Ücretsiz SSL sertifikası güvenli mi?

Evet. Let's Encrypt'in verdiği DV sertifika, ücretli bir DV sertifikayla aynı şifrelemeyi sağlar ve tarayıcılar tarafından tanınır. Fark, ücretli sertifikaların bazılarında OV veya EV doğrulaması ve satıcı desteği bulunmasıdır.

SSL sertifikası Google sıralamasını etkiler mi?

Google, sayfa deneyimi belgesinde HTTPS'i değerlendirilen konular arasında sayar, ancak HTTPS tek başına sıralamayı belirlemez. Asıl etkisi ziyaretçi tarafındadır: "Güvenli değil" uyarısı gören ziyaretçi formu doldurmadan çıkabilir.

SSL sertifikasının süresi dolarsa ne olur?

Tarayıcı siteyi açmadan önce bir güvenlik uyarısı gösterir. Sertifika yenilenip kurulduğunda uyarı kalkar.

Her alt alan adı için ayrı sertifika mı gerekir?

Sertifika, içinde adı geçen alan adlarını kapsar. Birkaç alt alan adı tek sertifikaya eklenebilir; çok sayıda alt alan adı varsa joker (wildcard) sertifika kullanılır. Let's Encrypt joker sertifikaları DNS doğrulamasıyla verir.

Sertifika kurdum ama hâlâ "Güvenli değil" yazıyor. Neden?

En sık iki sebep vardır: site hâlâ http:// adresinden açılıyordur ya da sayfada http:// ile çağrılan bir dosya (karışık içerik) vardır. Önce http adreslerini https'e yönlendirin, sonra konsolda karışık içerik uyarılarına bakın.

Kaynaklar

• CA/Browser Forum: TLS Baseline Requirements (sertifika türleri ve geçerlilik takvimi)
• CA/Browser Forum: Ballot SC-081v3, geçerlilik sürelerinin kısaltılması
• Let's Encrypt: Sık sorulan sorular (ücret, DV, 90 gün)
• Let's Encrypt: Sertifika sürelerinin 45 güne indirilmesi
• MDN Web Docs: Mixed content (karışık içerik)
• Chrome Yardım: Site bağlantılarının güvenli olup olmadığını kontrol etme
• Certbot belgeleri: Sertifika yenileme ve renew --dry-run
• Google Search Central: Sayfa deneyimi ve HTTPS