Webmaster

SSL/TLS Sertifikası ve HTTPS Nedir?

Adres çubuğundaki kilit, bağlantının şifreli olduğunu ve sunucunun kimliğinin doğrulandığını söyler. Sitenin dürüst olduğunu söylemez; sertifika kuralları bunu açıkça yazar.

Yazar

Yayınlanma
Okuma
yaklaşık 4 dk

Kısa cevap

HTTPS, web trafiğini TLS protokolüyle şifreleyen güvenli bağlantıdır. SSL/TLS sertifikası, sunucunun hangi alan adına ait olduğunu bir sertifika otoritesinin imzasıyla doğrular. Kilit simgesi gizlilik, bütünlük ve sunucu kimliği sağlar; sitenin güvenilir ya da dürüst olduğunu göstermez.

Öne çıkan bilgiler

  • TLS 1.3 Ağustos 2018'de RFC 8446 olarak yayımlandı; Temmuz 2026 tarihli RFC 9846 bu belgenin yerini almıştır.
  • TLS 1.0 ve 1.1, Mart 2021 tarihli RFC 8996 ile kullanım dışı bırakılmıştır: "TLS 1.0 KULLANILMAMALIDIR".
  • SSL 2.0 Mart 2011'de RFC 6176 ile yasaklanmış, SSL 3.0 Haziran 2015'te RFC 7568 ile kullanım dışı bırakılmıştır.
  • TLS 1.3'te statik RSA ve Diffie-Hellman şifre takımları kaldırıldı; tüm anahtar değişim yöntemleri ileri gizlilik sağlar.
  • TLS 1.3 el sıkışmasını tek gidiş-dönüşte tamamlar; 0-RTT seçeneği hız kazandırır ama tekrar saldırısına karşı garanti vermez.
  • Sertifika zinciri ve iptal listeleri Mayıs 2008 tarihli RFC 5280 ile tanımlanır; OCSP ise RFC 6960'tır.
  • Sertifika otoriteleri birliğinin kararına göre azami sertifika ömrü 15 Mart 2026'dan itibaren 200 gün, 2027'de 100 gün, 2029'da 47 gündür.

Adres çubuğundaki küçük kilit, internette en çok yanlış anlaşılan simgelerden biri. Ne söylediğini ve ne söylemediğini ayırmak, hem site sahibi hem kullanıcı için işe yarıyor.

HTTPS ve TLS: ne yapar?

HTTPS, web trafiğinin TLS protokolüyle şifrelenmiş hâlidir. TLS üç şey sağlar: içeriğin gizliliği, bütünlüğü (yolda değiştirilmediği) ve sunucunun kimliğinin doğrulanması. Sertifika bu üçüncü parçayı mümkün kılar: sunucunun hangi alan adına ait olduğunu, güvenilen bir sertifika otoritesinin imzasıyla belgeler.

El sıkışma kabaca şöyle işler: istemci bağlanır, sunucu sertifikasını sunar, istemci sertifikayı ve zincirini doğrular, taraflar oturum anahtarlarını üretir ve şifreli iletişim başlar.

Sürümler: hangisi geçerli?

Bu başlıkta durum sürekli değişiyor:

  • TLS 1.3: Ağustos 2018'de RFC 8446 olarak yayımlandı.[1] Temmuz 2026 tarihli RFC 9846, bu belgenin yerini almıştır ve aynı zamanda RFC 5246'yı da yürürlükten kaldırmıştır.[2][3] Yani "TLS 1.3 = RFC 8446" ifadesi artık eksiktir.
  • TLS 1.2: Ağustos 2008 tarihli RFC 5246; yerini RFC 8446 ve RFC 9846 almıştır.[3]
  • TLS 1.0 ve 1.1: Mart 2021 tarihli RFC 8996 (BCP 195) ile kullanım dışı bırakıldı. Belgenin ifadesi nettir: "TLS 1.0 KULLANILMAMALIDIR" ve herhangi bir TLS sürümünden TLS 1.0'a pazarlık yapılmasına izin verilmemelidir.[4]
  • SSL: SSL 2.0 Mart 2011'de RFC 6176 ile yasaklandı; SSL 3.0 Haziran 2015'te RFC 7568 ile kullanım dışı bırakıldı.[5][6] Günlük dilde "SSL sertifikası" denmeye devam ediyor ama protokol TLS'dir.

Güncel öneri çerçevesi de yayımlanmıştır: Kasım 2022 tarihli RFC 9325, TLS 1.0 ve 1.1 ile pazarlık yapılmamasını, TLS 1.2'nin desteklenmesini, TLS 1.3'ün desteklenmesi ve tercih edilmesini söyler; bu belge de sonradan güncellenmiştir.[7]

TLS 1.3'ün getirdikleri somut: statik RSA ve Diffie-Hellman şifre takımları kaldırıldığı için tüm anahtar değişim yöntemleri ileri gizlilik sağlar; ServerHello sonrasındaki tüm el sıkışma mesajları şifrelenir; yeniden pazarlık yasaklanmıştır; kalan simetrik şifrelerin tamamı AEAD türündedir. El sıkışma tek gidiş-dönüşte tamamlanır; 0-RTT seçeneği bazı veriler için bir gidiş-dönüş kazandırır ama belgenin kendi uyarısıyla "bağlantılar arasında tekrar yaşanmayacağına dair garanti yoktur".[1]

Sertifika zinciri ve doğrulama düzeyleri

Sertifikalar bir zincir hâlinde çalışır: kök sertifika, ara sertifika ve sitenin kendi (yaprak) sertifikası. Zincir ve iptal listeleri Mayıs 2008 tarihli RFC 5280 ile tanımlanır; belge iptal listesini (CRL) "bir sertifika otoritesi tarafından imzalanmış, iptal edilmiş sertifikaları gösteren zaman damgalı liste" olarak tanımlar.[8]

Doğrulama düzeyleri üçe ayrılır: DV (yalnızca alan adı denetimi), OV (kuruluş doğrulaması) ve EV (genişletilmiş doğrulama). Burada çok önemli bir ayrıntı var: EV kurallarının kendi metni, EV sertifikalarının "yalnızca sertifikada adı geçen öznenin kimliğine odaklandığını, öznenin davranışına odaklanmadığını" söyler ve öznenin yasalara uyduğu, "güvenilir, dürüst ya da itibarlı" olduğu veya iş yapmak için "güvenli" olduğu yönünde herhangi bir güvence vermediğini açıkça belirtir.[9]

Sertifika ömürleri hızla kısalıyor

Bu, site yöneticilerini doğrudan etkileyen bir değişim. Sertifika otoriteleri ve tarayıcı üreticilerinin birliğinde 11 Nisan 2025'te kabul edilen karar (SC081v3), azami ömrü kademeli olarak düşürüyor. Resmî takvim şöyledir:[10][11]

Azami sertifika geçerlilik süresi takvimi
Tarihten itibarenAzami süreDoğrulama verisinin yeniden kullanımı
15 Mart 2026200 gün200 gün
15 Mart 2027100 gün100 gün
15 Mart 202947 gün10 gün

Geçmişteki kademeler de benzer yönde ilerlemişti: 2015'te 39 ay, 2018'de 825 gün, 2020'de 398 gün.[12] "Kısa ömürlü sertifika" tanımı da değişiyor: 2024–2026 arasında düzenlenenler için 10 gün ve altı, 15 Mart 2026'dan itibaren 7 gün ve altı.[11]

Pratik sonuç açık: sertifika yenilemenin otomatikleştirilmesi artık tercih değil zorunluluk hâline geliyor. Otomasyonun standardı Mart 2019 tarihli RFC 8555 (ACME) belgesidir.[13]

İptal: OCSP'den CRL'e dönüş

Bir sertifika süresi dolmadan geçersiz kılınmak istenirse iptal mekanizmaları devreye girer. İki yöntem vardır: iptal listeleri (CRL) ve çevrimiçi durum sorgulama (OCSP, Haziran 2013 tarihli RFC 6960).[14] OCSP yanıtının sertifikayla birlikte sunucu tarafından iletilmesi (stapling) Ocak 2011 tarihli RFC 6066'da tanımlıdır ve "gidiş-dönüş ile kaynak tasarrufu" sağlar.[15]

Yön değişti: 14 Temmuz 2023'te kabul edilen karar OCSP'yi isteğe bağlı hâle getirip CRL'i zorunlu kıldı; 14 Ekim 2024'te kabul edilen bir başka karar OCSP şartlarını netleştirdi. 15 Ocak 2025'ten itibaren ise OCSP yanıtlarının sertifika düzenlenmesinden sonra 15 dakika içinde yayımlanması gerekiyor.[16][11]

Yardımcı mekanizmalar

  • Certificate Transparency: Düzenlenen sertifikaların herkese açık kayıtlara yazılması. Haziran 2013 tarihli RFC 6962 ile başlamış, Aralık 2021 tarihli RFC 9162 ile 2.0 sürümüne geçmiştir.[17][18]
  • HSTS: Kasım 2012 tarihli RFC 6797; bir sitenin "yalnızca güvenli bağlantılarla erişilebilir" olduğunu beyan etmesini sağlar, böylece tarayıcı HTTP denemesi yapmaz.[19]
  • Linting ve DNSSEC şartları: Sertifika kurallarına göre 15 Mart 2025'ten beri sertifikaların otomatik denetimden (linting) geçmesi, 15 Mart 2026'dan itibaren alan adı doğrulama sorgularında DNSSEC doğrulaması, 15 Eylül 2026'dan itibaren SHA-1 kullanımının tümüyle sonlandırılması öngörülmüştür.[11]

HTTPS neyi gizlemez?

Bir yanılgı daha: HTTPS hangi siteye gittiğinizi her durumda gizlemez. Bağlanılan sunucu adını taşıyan SNI uzantısı Ocak 2011 tarihli RFC 6066'da tanımlıdır ve ClientHello mesajında, yani el sıkışma şifrelenmeden önce gider.[15] TLS 1.3 yalnızca "ServerHello sonrasındaki" el sıkışma mesajlarını şifreler.[1] Dolayısıyla ek mekanizmalar olmadığı sürece alan adı ağ üzerinde görünür; şifrelenen şey sayfanın içeriğidir.

Site sahibi için kısa kontrol listesi

  • TLS 1.2 ve 1.3 desteklenmeli; TLS 1.0 ve 1.1 kapatılmalı.[4][7]
  • Sertifika yenileme otomatikleştirilmeli; ömürler 2026'dan itibaren 200 güne, 2029'da 47 güne iniyor.[11][13]
  • HSTS tanımlanmalı ve karışık içerik (sayfanın HTTPS, içindeki bazı kaynakların HTTP olması) giderilmeli.[19]
  • EV sertifikası satın almak oltalamaya karşı koruma sağlamaz; bütçe daha çok altyapı ve kimlik doğrulamaya ayrılmalıdır.[9]

İlgili içerikler

Sık sorulan sorular

Adres çubuğundaki kilit simgesi sitenin güvenli olduğunu mu gösterir?
Göstermez. Kilit, bağlantının şifreli olduğunu, yolda değiştirilmediğini ve sunucunun o alan adına ait olduğunu söyler. Sitenin dürüst ya da güvenilir olduğunu söylemez; en sıkı doğrulama düzeyi olan EV'nin kuralları bile sertifikanın öznenin davranışına dair bir güvence vermediğini, "güvenilir, dürüst ya da itibarlı" olduğunu göstermediğini açıkça yazar. Oltalama siteleri de geçerli sertifika alabilir; bu yüzden kilide değil alan adına bakmak gerekir.
DV, OV ve EV sertifika arasındaki fark nedir?
Fark doğrulamanın derinliğindedir. DV yalnızca alan adının denetimini doğrular, OV ayrıca kuruluşun varlığını, EV ise genişletilmiş kuruluş doğrulaması yapar. Şifreleme gücü üçünde de aynıdır. EV kurallarının kendi metni, sertifikanın yalnızca öznenin kimliğine odaklandığını ve davranışı hakkında güvence vermediğini belirtir; dolayısıyla EV oltalamayı engelleyen bir araç değildir.
Sertifikalar neden bu kadar kısa süreli oldu?
Sertifika otoriteleri ve tarayıcı üreticilerinin birliğinde 11 Nisan 2025'te kabul edilen karar, azami geçerlilik süresini kademeli olarak düşürüyor: 15 Mart 2026'dan itibaren 200 gün, 15 Mart 2027'den itibaren 100 gün, 15 Mart 2029'dan itibaren 47 gün. Doğrulama verisinin yeniden kullanım süresi de aynı tarihlerde 200, 100 ve 10 güne iniyor. Gerekçe, iptal mekanizmalarına daha az bağımlı kalmak ve otomasyonu teşvik etmektir; bu yüzden ACME (RFC 8555) gibi otomatik yenileme standartları önem kazandı.
TLS 1.2 hâlâ güvenli mi, TLS 1.3 şart mı?
Kasım 2022 tarihli öneri belgesi (RFC 9325), TLS 1.2'nin desteklenmesini zorunlu, TLS 1.3'ün desteklenmesini ve tercih edilmesini ise beklenen davranış olarak tanımlar. TLS 1.0 ve 1.1 ise Mart 2021 tarihli RFC 8996 ile kullanım dışı bırakılmıştır ve kullanılmamalıdır. TLS 1.3, ileri gizliliği tüm anahtar değişim yöntemlerinde zorunlu kılması, el sıkışmayı tek gidiş-dönüşe indirmesi ve yalnızca AEAD şifreleri bırakması nedeniyle tercih edilir.
HTTPS kullanırsam internet sağlayıcım hangi siteye girdiğimi görebilir mi?
Ek mekanizmalar yoksa görebilir. Bağlanılan sunucu adını taşıyan SNI uzantısı, el sıkışmanın şifrelenmemiş ilk mesajında (ClientHello) gider; TLS 1.3 yalnızca ServerHello sonrasındaki mesajları şifreler. Yani sayfanın içeriği şifrelidir ama alan adı ağ üzerinde görünebilir. DNS sorguları da ayrıca şifrelenmedikçe görünür.
Sertifika iptali nasıl çalışır, OCSP kalkıyor mu?
İki yöntem vardır: iptal listeleri (CRL, RFC 5280) ve çevrimiçi durum sorgulama (OCSP, RFC 6960). Yön değişti: 14 Temmuz 2023'te kabul edilen karar OCSP'yi isteğe bağlı hâle getirip CRL'i zorunlu kıldı, 14 Ekim 2024'teki karar şartları netleştirdi ve 15 Ocak 2025'ten itibaren OCSP yanıtlarının sertifika düzenlenmesinden sonra 15 dakika içinde yayımlanması gerekiyor. Eğilim, iptal sorgularına bağımlılığı azaltıp sertifika ömrünü kısaltmak yönünde.

Kaynaklar

  1. RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3 — IETF (erişim: 1 Kasım 2026)
  2. RFC 9846: The Transport Layer Security (TLS) Protocol Version 1.3 — IETF (erişim: 1 Kasım 2026)
  3. RFC 5246: The Transport Layer Security (TLS) Protocol Version 1.2 — IETF / RFC Editor (erişim: 1 Kasım 2026)
  4. RFC 8996: Deprecating TLS 1.0 and TLS 1.1 — IETF (erişim: 1 Kasım 2026)
  5. RFC 6176: Prohibiting Secure Sockets Layer (SSL) Version 2.0 — IETF (erişim: 1 Kasım 2026)
  6. RFC 7568: Deprecating Secure Sockets Layer Version 3.0 — IETF (erişim: 1 Kasım 2026)
  7. RFC 9325: Recommendations for Secure Use of TLS and DTLS — IETF (erişim: 1 Kasım 2026)
  8. RFC 5280: Internet X.509 Public Key Infrastructure Certificate and CRL Profile — IETF (erişim: 1 Kasım 2026)
  9. EV Guidelines v2.0.4 — CA/Browser Forum (erişim: 1 Kasım 2026)
  10. Ballot SC081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods — CA/Browser Forum (erişim: 1 Kasım 2026)
  11. Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates — CA/Browser Forum (erişim: 1 Kasım 2026)
  12. BR-SC081v3 redlined (değişiklik metni) — CA/Browser Forum (erişim: 1 Kasım 2026)
  13. RFC 8555: Automatic Certificate Management Environment (ACME) — IETF (erişim: 1 Kasım 2026)
  14. RFC 6960: X.509 Internet Public Key Infrastructure Online Certificate Status Protocol (OCSP) — IETF (erişim: 1 Kasım 2026)
  15. RFC 6066: TLS Extensions: Extension Definitions — IETF (erişim: 1 Kasım 2026)
  16. Server Certificate Working Group Ballots — CA/Browser Forum (erişim: 1 Kasım 2026)
  17. RFC 6962: Certificate Transparency — IETF (erişim: 1 Kasım 2026)
  18. RFC 9162: Certificate Transparency Version 2.0 — IETF (erişim: 1 Kasım 2026)
  19. RFC 6797: HTTP Strict Transport Security (HSTS) — IETF (erişim: 1 Kasım 2026)

Bu yazı yapay zekâ desteğiyle taslak olarak hazırlanmış; kaynakları ve bilgileri editörümüz tarafından kontrol edilmiştir. Yapay zekâ kullanım politikamız

İlgili yazılar

Webmaster

DNS Nedir? Nasıl Çalışır?

İnternette adresler isimle, yönlendirme ise sayıyla yapılır. DNS bu ikisi arasındaki çeviriyi, dünyaya dağılmış binlerce sunucudan oluşan bir…

REAL Editörlüğü