İçeriğe atla
Bilgi Merkezi/Makale
Makale

SSL Sertifikası Nedir? SSL, TLS ve HTTPS Farkı

Sertifikanın nasıl doğrulandığını, TLS sürümlerini, DV, OV ve EV farkını, 47 güne inecek sertifika ömrünü ve yenilemenin otomasyonunu anlattık.

Oğuzhan Gerçek··8 dk okuma
SSL Sertifikası Nedir? SSL, TLS ve HTTPS Farkı

Kısa cevap: SSL sertifikası, bir alan adını bir açık anahtara bağlayan ve bir sertifika otoritesinin (CA) imzaladığı dijital belgedir; tarayıcı onunla doğru sunucuya bağlandığını doğrular ve şifreli bağlantıyı kurar. SSL, TLS'in temelini oluşturan eski protokolün adı; bugün kullanılan protokol TLS'in 1.2 ve 1.3 sürümleri. HTTPS, HTTP'nin TLS ile korunan biçimidir. Sertifikaların en uzun ömrü 15 Mart 2026'dan beri 200 gün, Mart 2029'da 47 güne inecek; yenileme bu yüzden otomatik olmalı.

SSL ve TLS nedir?

SSL (Secure Sockets Layer) ve yerini alan TLS (Transport Layer Security), istemci ile sunucu arasındaki trafiği dinlenmeye, değiştirilmeye ve sahte mesaja karşı korur. RFC 6101'e göre TLS'in temeli, son metni 18 Kasım 1996 tarihli SSL 3.0. Eski sürümler sırayla kapatıldı:

  • SSL 2.0 ve 3.0: RFC 6176 (Mart 2011) ve RFC 7568 (Haziran 2015) ile yasaklandı.
  • TLS 1.0 ve 1.1: RFC 8996 (Mart 2021) ile, güncel algoritmaları desteklemedikleri için kullanımdan kalktı.
  • TLS 1.2 ve 1.3: TLS 1.3'ün güncel tanımı Temmuz 2026 tarihli RFC 9846. Belge, TLS 1.3'ün ilk tanımı RFC 8446'yı ve TLS 1.2'yi tanımlayan RFC 5246'yı geçersiz kılıyor, TLS 1.2 uygulamalarına da yeni şartlar getiriyor.

Aynı ay yayımlanan RFC 9852, TLS kullanan yeni protokollerde TLS 1.3'ü zorunlu kılıyor. SSL adı ise sertifikalarda ve SSL VPN gibi ürünlerde (VPN yazımız) yaşıyor; kısa tanımı sözlüğümüzde var.

TLS nasıl çalışır?

Bağlantı bir handshake (el sıkışma) ile başlar. RFC 9846'ya göre taraflar bu aşamada sürümde anlaşır, algoritmaları seçer, birbirinin kimliğini doğrular ve ortak gizli anahtarı oluşturur; sunucunun kimliği her zaman, istemcininki isteğe bağlı olarak doğrulanır. Ardından trafik bu anahtarlarla korunur: veriyi yalnızca iki uç okuyabilir, yolda değiştirilen veri de fark edilir. TLS 1.3'ü TLS 1.2'den ayıran başlıca farklar şunlar:

  • Eski algoritmalar ile statik RSA ve Diffie-Hellman şifre takımları (cipher suite) çıkarıldı.
  • Açık anahtarlı bütün anahtar değişimleri forward secrecy sağlıyor: NIST'in tanımıyla uzun ömürlü özel anahtar sonradan ele geçse bile, onunla önceden kurulan oturum anahtarı açığa çıkmaz.
  • ServerHello'dan sonraki bütün handshake mesajları şifreli.

HTTPS nedir?

HTTPS, HTTP'nin TLS üzerinden çalışan biçimidir. Eski RFC 2818'in yerini alan RFC 9110 (Haziran 2022), https adreslerinin varsayılan portunu TCP 443 olarak belirliyor (port yazımız). RFC'ye göre istemci, sertifikadaki kimliğin adresteki alan adıyla eşleştiğini doğrulamak zorunda; eşleşmezse tarayıcı ya kullanıcıdan onay ister ya da bağlantıyı keser. Site, yalnızca güvenli bağlantı kabul ettiğini HSTS başlığıyla (RFC 6797) bildirebilir; RFC 9325 bunu web sunucularına öneriyor.

Google'a göre Chrome'da HTTPS'li gezinmelerin payı 2020 civarında %95-99 aralığına ulaştı. Google, Chrome'un Ekim 2026'da 154 sürümüyle HTTPS'siz herkese açık sitelere ilk girişten önce kullanıcıdan izin istemeye başlayacağını duyurdu. Terimin kısa tanımı sözlüğümüzde var.

SSL sertifikası nedir? X.509, CA ve zincir

Web sertifikaları X.509 biçimindedir ve internetteki profilini RFC 5280 (Mayıs 2008) tanımlar. RFC'ye göre sertifika, açık anahtarı bir özneye, örneğin bir alan adına bağlayan veri yapısıdır; bu bağa sertifikayı imzalayan CA kefil olur. Sertifikanın ömrü sınırlıdır ve notBefore ile notAfter alanlarında yazar.

Tarayıcı ve işletim sistemi, güvendiği kök CA'ları bir güven deposunda (trust store) taşır. AWS'nin anlatımıyla istemci, sunucu sertifikasından ara (subordinate) CA'lar üzerinden bu depodaki bir köke uzanan zinciri kurmaya çalışır; RFC 5280 buna sertifika yolu diyor. Zincir kurulamazsa bağlantı hata verir. Alan adınıza hangi CA'ların sertifika verebileceğini DNS'teki CAA kaydıyla (RFC 8659) sınırlayabilirsiniz; kayıt türlerini DNS yazımızda anlattık.

Sertifika türleri: DV, OV, EV, wildcard ve SAN

CA/Browser Forum'un nesne kaydı sertifikaları, CA'nın neyi doğruladığına göre ayırıyor:

  • DV (domain validated): Kimlik beyan edilmez; CA yalnızca alan adının denetimini, örneğin DNS'e eklenen bir kayıtla doğrular (Baseline Requirements).
  • OV ve IV: Sertifika kurumun ya da kişinin kimliğini de beyan eder.
  • EV (extended validation): Kimlik, ayrı EV Guidelines belgesine göre doğrulanır.

Cloudflare'e göre her türdeki sertifika aynı düzeyde TLS şifrelemesi sağlar; fark, kimlik beyanında. RFC 9525 (Kasım 2023), sunucu kimliğinin subjectAltName (SAN) alanından okunmasını istiyor ve bir sertifikanın birden fazla ad taşımasına izin veriyor. Wildcard sertifikada yıldız yalnızca en soldaki etiketin yerini tutar: *.ornek.com, www.ornek.com adresini kapsar ama a.b.ornek.com adresini kapsamaz. RFC'ye göre wildcard, alan adındaki sahte ya da hatalı bir sunucuya da kefil olabilir; çok adlı bir sertifikada ise her adın güvenliği, o adları sunan en zayıf sunucu kadardır.

Sertifika ömrü kısalıyor: 200, 100 ve 47 gün

Herkese açık TLS sertifikalarının kurallarını Baseline Requirements ile koyan CA/Browser Forum, oylaması 11 Nisan 2025'te biten SC-081v3 ile en uzun geçerliliği 398 günden 47 güne indiren takvimi kabul etti; oylamada hayır oyu çıkmadı. 4 Ekim 2026'da yürürlüğe giren 2.3.1 sürümündeki takvim şöyle:

  • 15 Mart 2026: En uzun geçerlilik ve alan adı doğrulamasının yeniden kullanım süresi 200 gün.
  • 15 Mart 2027: İkisi de 100 gün.
  • 15 Mart 2029: Geçerlilik 47 gün, doğrulamanın yeniden kullanımı 10 gün.

EV sertifikalar da Temmuz 2026'daki SC102 oylamasıyla aynı takvime bağlandı. Gerekçeler arasında sertifikanın gerçeğin belli bir andaki durumunu yansıtması ve CRL, OCSP gibi iptal (revocation) hizmetlerinin bugünkü internet ölçeğinde yeterli koruma sağlamaması var.

ACME ile otomasyon ve süresi dolan sertifika

Bu sıklıkta yenilemeyi elle yürütmek zorlaşır. RFC 8555 (Mart 2019) ile standartlaşan ACME, alan adı doğrulamasını ve sertifika verilmesini CA ile istemci arasında otomatikleştirir; yazarların gayriresmî testlerine göre elle sertifika alıp kurmak çoğu zaman 1-3 saat sürüyordu. Alan adının denetimi, web sunucusunda (http-01) ya da DNS'te (dns-01) yapılan bir değişiklikle kanıtlanır. RFC 9773 (Haziran 2025) ise CA'nın istemciye yenileme zamanı önermesini sağlıyor.

NIST'in SP 1800-16 rehberine (Haziran 2020) göre süresi dolan sertifika, sunucudaki uygulamayı erişilemez kılar ve neredeyse her kurum bu yüzden bir kesinti yaşamıştır. Rehber, birçok kurumda eksiksiz bir sertifika envanteri olmadığını belirtiyor; kayıttan değiştirmeye kadar her adımda mümkün olduğunca otomasyon öneriyor.

TLS yapılandırması ve TLS sonlandırma

NIST'in ABD federal kurumları için yazdığı SP 800-52 Rev. 2 (Ağustos 2019), dışa hizmet veren sunucularda TLS 1.2'yi zorunlu tutuyor ve 1 Ocak 2024'ten itibaren TLS 1.3 desteğini de şart koşuyor. Rehber, SSL 2.0 ve 3.0'a izin verilmemesini, geçici (ephemeral) anahtarların tercih edilmesini istiyor. RFC 9325'e göre TLS 1.0 ve 1.1 ile hiç bağlantı kurulmamalı; RFC 10015 (Temmuz 2026) ise TLS 1.2'de RSA ve sonlu alan Diffie-Hellman anahtar değişimini kullanımdan kaldırıyor. Web sunucusundaki bu ayarları system hardening ve security baseline yönetimi hizmetimizde ele alıyoruz.

TLS'in nerede açıldığı da bir tasarım kararı. AWS'ye göre Application Load Balancer, istemci bağlantısını sertifikasıyla sonlandırıp istekleri çözerek arkaya iletir; şifreli trafik, TCP dinleyicili bir Network Load Balancer ile hiç çözülmeden de geçirilebilir. Arkadaki sunucuya giden bağlantı yeniden şifrelenebilir, ama load balancer bu sunucuların sertifikalarını doğrulamaz. TLS'in açıldığı nokta, load balancer'ın içeriğe göre yönlendirme yaptığı ve WAF'ın isteği okuyabildiği yerdir; CDN kullanılırsa sağlayıcının kenar sunucusuna taşınır. TLS sonlandırmayı ağ ve trafik mühendisliği, uygulama katmanı korumasını uygulama güvenliği (WAF) hizmetimizde ele alıyoruz.

Sık sorulan sorular

SSL nedir? Secure Sockets Layer'ın kısaltması: TLS'in temelini oluşturan, artık kullanılmayan şifreleme protokolü. Sertifikalar ise hâlâ SSL sertifikası diye anılıyor.

TLS nedir, SSL'den farkı ne? TLS, SSL'in yerini alan şifreleme protokolüdür. SSL'in bütün sürümleri ile TLS 1.0 ve 1.1 kullanımdan kalktı; bugün TLS 1.2 ve 1.3 kullanılıyor.

HTTPS nedir? HTTP trafiğinin TLS ile şifrelenmiş hâlidir: tarayıcı sunucunun sertifikasını doğrular, trafik yolda okunamaz ve fark edilmeden değiştirilemez.

SSL sertifikası ne işe yarar? Tarayıcının doğru siteye bağlandığını doğrulamasını ve şifreli bağlantı kurmasını sağlar. OV ve EV sertifikalar kurumun kimliğini de beyan eder.

Wildcard SSL sertifikası nedir? Bir alan adının tek düzeydeki bütün alt adlarını kapsayan sertifikadır: *.ornek.com, www.ornek.com için geçerlidir, a.b.ornek.com için değildir.

SSL sertifikasının süresi dolarsa ne olur? Tarayıcı uyarı verip onay ister ya da bağlantıyı keser; otomatik istemciler de genellikle bağlantıyı keser. Bu yüzden sertifikalar izlenmeli, yenileme otomatik olmalı.

Kaynaklar