HTTPS, tarayıcınızın web sitelerini yüklemek için kullandığı protokol olan HTTP'nin güvenli sürümüdür. "S" harfi, bağlantının TLS (Transport Layer Security, SSL'in halefi olan Aktarım Katmanı Güvenliği) ile şifrelendiği anlamına gelir. Bugün neredeyse her site bunu kullanır ve kullanmayan bir sitede tarayıcılar sizi uyarır.
HTTPS neleri korur?
- Gizlilik: ağdaki hiç kimse, örneğin bir herkese açık Wi-Fi işletmecisi ya da internet sağlayıcınız, açtığınız sayfaları, parolaları ya da gönderdiğiniz formları okuyamaz.
- Bütünlük: hiç kimse sayfayı yolda değiştiremez; örneğin reklam ya da kötü amaçlı yazılım ekleyemez.
- Kimlik doğrulama: sertifika, sunucunun o alan adını kullanmaya yetkili olduğunu kanıtlar.
Asma kilit neyi kanıtlamaz?
Asma kilit "bu alan adıyla bağlantınız şifreli" anlamına gelir. Sitenin dürüst olduğu anlamına gelmez. Kimlik avı siteleri de ücretsiz sertifika alır. Adres çubuğundaki alan adını her zaman kontrol edin: paypal.com.secure-login.example PayPal değildir.
HTTPS neleri gizlemez?
| HTTPS'in gizledikleri | İnternet sağlayıcınızın ya da ağın yine görebildikleri |
|---|---|
| Sitede açtığınız sayfalar | Sitenin IP adresi |
| Form verileri ve parolalar | Genellikle alan adı (DNS ve TLS el sıkışması üzerinden) |
| Çerezler ve içerik | Ne zaman ve ne kadar veri aktardığınız |
Alan adlarını da gizlemek için şifreli DNS ve bir VPN kullanın.
Bir TLS bağlantısı nasıl başlar?
- Tarayıcınız sunucuya bağlanır ve hangi TLS sürümlerini desteklediğini söyler.
- Sunucu, tarayıcınızın güvendiği bir sertifika yetkilisi (CA) tarafından imzalanmış sertifikasını gönderir.
- Tarayıcı imzayı, alan adını ve son kullanma tarihini kontrol eder.
- İki taraf şifreleme anahtarları üzerinde anlaşır ve sayfa şifreli olarak gönderilir.
TLS 1.3 ile bu birkaç milisaniye sürer.
Sertifikalar
- Alan Adı Doğrulamalı (DV): alan adının kontrolünü kanıtlar. Let's Encrypt'ten ve çoğu barındırma firmasından ücretsiz alınabilir. Sitelerin çoğu bunu kullanır.
- Kurum / Genişletilmiş Doğrulamalı (OV/EV): CA şirketi de kontrol eder. Tarayıcılar bunu artık belirgin şekilde göstermiyor.
Alan adı sahipleri, hangi CA'ların sertifika verebileceğini bir CAA kaydıyla sınırlayabilir. Bunu DNS Sorgulama aracımızla kontrol edin.
Bir sitenin güvenlik başlıklarını kontrol edin
HTTPS yalnızca başlangıçtır. HSTS ve Content-Security-Policy gibi başlıklar ek koruma sağlar. Herhangi bir sitenin başlıklarını ve notunu HTTP Başlıkları ve Yönlendirme Kontrolü aracıyla görün.
Sertifika uyarıları
Tarayıcınız "Bağlantınız gizli değil" uyarısı gösteriyorsa:
- Sertifikanın süresi dolmuş olabilir ya da sertifika alan adıyla eşleşmiyor olabilir.
- Herkese açık Wi-Fi'da bir giriş portalı (captive portal) ya da bir saldırgan bağlantıya müdahale ediyor olabilir.
- Bilgisayarınızın saati yanlış olabilir.
Sertifika uyarısı olan bir sayfaya parola girmeyin.
Sıkça sorulan sorular
SSL ile TLS aynı şey mi?
TLS, 1999'da SSL'in yerini aldı. İnsanlar hâlâ "SSL sertifikası" der, ama her modern site TLS kullanır.
HTTPS bir siteyi güvenli yapar mı?
Bağlantıyı güvenli yapar. Sitenin içeriği ve niyetleri ayrı bir konudur.
HTTPS arama sıralamasını etkiler mi?
Google, HTTPS'i küçük bir sıralama sinyali olarak kullanır ve Chrome, HTTP sitelerini "Güvenli değil" olarak işaretler.