.png)
SSL ve TLS, internet üzerindeki verileri şifreleyen güvenlik protokolleridir. TLS, SSL'in daha yeni ve daha güvenli sürümüdür; bugün "SSL sertifikası" denildiğinde aslında TLS protokolüyle çalışan sertifikalar kastedilir. HTTPS ise HTTP'nin TLS ile şifrelenmiş halidir.
SSL Nedir?
SSL (Secure Sockets Layer), 1990'larda tarayıcı ile sunucu arasındaki veriyi şifrelemek için geliştirilen protokoldür. SSL 2.0 ve SSL 3.0 sürümlerinde ciddi güvenlik açıkları bulunduğu için bu sürümlerin kullanımı bırakılmıştır. Güncel tarayıcılar SSL protokolüyle bağlantı kurmaz.
TLS Nedir?
TLS (Transport Layer Security), SSL'in yerini alan ve onun geliştirilmiş hali olan protokoldür. TLS 1.0 ve 1.1 de artık güvenli kabul edilmez. Günümüzde kullanılması gereken sürümler TLS 1.2 ve TLS 1.3'tür. TLS 1.3 daha hızlı bağlantı kurar ve eski, zayıf şifreleme yöntemlerini tamamen kaldırır.
SSL ve TLS Karşılaştırması
| Özellik | SSL | TLS |
|---|---|---|
| Durum | Kullanımdan kalktı | Güncel standart |
| Sürümler | SSL 2.0, SSL 3.0 | TLS 1.0, 1.1, 1.2, 1.3 (güvenli olanlar 1.2 ve 1.3) |
| Güvenlik | Bilinen açıklar nedeniyle güvensiz | Güçlü şifreleme yöntemleri |
| Bağlantı hızı | Daha yavaş el sıkışma | TLS 1.3 ile daha hızlı el sıkışma |
| Tarayıcı desteği | Desteklenmiyor | Tüm güncel tarayıcılar |
SSL ve TLS'in Benzerlikleri
- Amaç: İkisi de tarayıcı ile sunucu arasındaki veriyi şifreler, verinin yolda değiştirilmediğini doğrular ve sunucunun kimliğini kanıtlar.
- Yöntem: İkisi de bağlantı başında açık anahtarlı şifreleme ile anlaşır, veri aktarımında ise daha hızlı olan simetrik şifrelemeyi kullanır.
- Kullanım alanı: İkisi de HTTPS'in yanı sıra e-posta (SMTP, IMAP, POP3) ve FTP bağlantılarını şifrelemek için kullanılır.
SSL/TLS El Sıkışması (Handshake) Nasıl İşler?
Bir HTTPS sitesine bağlandığınızda, veri aktarımı başlamadan önce tarayıcı ile sunucu arasında kısa bir anlaşma yapılır:
- Tarayıcı merhaba der: Desteklediği TLS sürümlerini ve şifreleme yöntemlerini sunucuya gönderir.
- Sunucu yanıt verir: Ortak bir TLS sürümü ve şifreleme yöntemi seçer, SSL sertifikasını tarayıcıya gönderir.
- Sertifika doğrulanır: Tarayıcı, sertifikanın süresinin dolmadığını, ziyaret edilen domain için alındığını ve güvenilir bir sağlayıcı tarafından imzalandığını kontrol eder.
- Oturum anahtarı oluşturulur: İki taraf, yalnızca bu bağlantıda kullanılacak ortak bir şifreleme anahtarı üzerinde anlaşır.
- Şifreli iletişim başlar: Bundan sonraki tüm veriler bu anahtarla şifrelenerek gönderilir.
TLS 1.2'de bu süreç iki gidiş-dönüş sürerken TLS 1.3'te bir gidiş-dönüşe iner. Bu yüzden TLS 1.3 kullanan siteler bağlantıyı daha hızlı kurar.
Sertifika Zinciri: Kök ve Ara Sertifika
Bir SSL sertifikasının güvenilir sayılması için, tarayıcının tanıdığı bir kök sertifikaya kadar uzanan bir zincir oluşturması gerekir. Zincir üç halkadan oluşur: sitenize ait sertifika, onu imzalayan ara sertifika (intermediate) ve tarayıcıda önceden yüklü olan kök sertifika (root). Sunucuda ara sertifika eksik kurulursa bazı tarayıcı ve cihazlar sertifikayı güvenilmez bulur ve uyarı gösterir.
Eski SSL ve TLS Sürümleri Neden Kapatıldı?
SSL 3.0'da 2014'te bulunan POODLE açığı, saldırganların şifreli trafiğin bir kısmını çözebilmesine olanak tanıdı. TLS 1.0 ve 1.1 de zamanla zayıf kalan şifreleme yöntemleri nedeniyle güvenli kabul edilmemeye başlandı ve büyük tarayıcılar 2020'de bu sürümlere desteği kaldırdı. Bu yüzden sunucunuzda yalnızca TLS 1.2 ve TLS 1.3'ün açık olması önerilir.
Neden Hâlâ "SSL Sertifikası" Deniyor?
"SSL" adı yıllar içinde yerleştiği için sektörde hâlâ kullanılıyor. Bugün satın aldığınız veya kurduğunuz bir "SSL sertifikası", teknik olarak TLS protokolüyle çalışır. Sertifika ile protokol farklı şeylerdir: sertifika sitenin kimliğini doğrular, TLS protokolü ise bağlantıyı şifreler.
HTTP ve HTTPS Arasındaki Fark
HTTP (Hypertext Transfer Protocol), tarayıcı ile web sitesi arasında verinin taşınmasını sağlayan protokoldür. HTTP'de veri şifrelenmeden gönderilir; aynı ağdaki biri bu veriyi okuyabilir veya değiştirebilir. HTTPS ise aynı verinin TLS ile şifrelenerek taşınmasıdır.
| Özellik | HTTP | HTTPS |
|---|---|---|
| Şifreleme | Yok | TLS ile şifreli |
| Varsayılan port | 80 | 443 |
| Tarayıcı görünümü | "Güvenli değil" uyarısı | Güvenli bağlantı göstergesi |
| Sertifika gereksinimi | Yok | Geçerli bir SSL/TLS sertifikası gerekir |
| SEO | Dezavantajlı | Google sıralama sinyallerinden biri |
Sitem Hangi TLS Sürümünü Kullanıyor?
Chrome'da siteyi açtıktan sonra geliştirici araçlarını (F12) açıp Güvenlik (Security) sekmesine bakarak bağlantının hangi TLS sürümünü kullandığını görebilirsiniz. Daha ayrıntılı rapor için çevrimiçi SSL test araçlarını kullanabilirsiniz.
Sık Sorulan Sorular
TLS için ayrı bir sertifika almam gerekir mi?
Hayır. "SSL sertifikası" olarak adlandırılan sertifikalar TLS ile çalışır. Ayrı bir TLS sertifikası yoktur.
HTTPS siteyi yavaşlatır mı?
Güncel sunucularda ve TLS 1.3 ile şifrelemenin hıza etkisi çok düşüktür. HTTP/2 gibi hızlandırıcı teknolojiler ise yalnızca HTTPS üzerinde çalıştığı için HTTPS çoğu zaman siteyi daha hızlı yapar.
HTTP'den HTTPS'e geçince ne yapmalıyım?
Tüm http:// adreslerini 301 yönlendirmesiyle https:// adresine taşıyın, sitedeki görsel ve dosya bağlantılarını https olarak güncelleyin ve Google Search Console'a HTTPS sürümünü ekleyin.
Sitemde eski TLS sürümleri açıksa ne olur?
Güncel tarayıcılar eski sürümleri zaten kullanmaz, ancak açık bırakılan eski sürümler güvenlik taramalarında risk olarak görünür. Sunucuda yalnızca TLS 1.2 ve 1.3'ün açık olması önerilir.
