Alanınızda HTTPS kullanma

Hypertext Aktarım Protokolü (HTTP), web'deki verilerin nasıl okunup aktarılacağını belirlemek için tarayıcıların kullandığı kurallar bütünüdür. Bir URL'de "http" ifadesi bulunuyorsa tarayıcı, bu protokolü takip edip web sayfasını başarıyla yükler.

HTTPS, HTTP ile aynıdır ancak tarayıcıya web sayfasıyla değiş tokuş yapılan verileri şifrelemesini bildirir. Şifreleme, verileri gizler ve bilgilerinizin görüntülenme ya da üzerinde oynanma olasılığını azaltır. Bir web sitesinde kişisel bilgileriniz veya finansal bilgileriniz gibi hassas veriler bulunuyorsa şifreleme önemlidir.

HTTPS'yi ayarlama

HTTPS'yi alan adınızla kullanmak için web sitenizde bir SSL veya TLS sertifikası yüklü olmalıdır. Web barındırıcınız (Web Barındırma Sağlayıcısı) HTTPS güvenliği sunabilir veya Sertifika Yetkililerinden SSL/TLS sertifikası isteyip sertifikayı kendiniz yükleyebilirsiniz. SSL/TLS sertifikalarının düzenli olarak yenilenmesi gerekebilir.

Farklı web sunucusu türleri vardır ve her bir web sunucusu türünün SSL/TLS sertifikalarını yükleme ve güncelleme süreçleri kendine özgüdür. Web sitenizin hangi web sunucusunu kullandığını öğrenmeniz ve sertifikanızı yükleme ve güncellemeyle ilgili talimatları izlemeniz gerekir.

Web barındırıcılarından HTTPS

Aşağıdaki Google hizmetleri, hiçbir ek ücret istemeden SSL/TLS sertifikalarını otomatik olarak yayınlar, yükler ve yeniler:

Birçok üçüncü taraf web barındırıcısı da SSL/TLS sertifikalarını yayınlar, yükler ve yeniler. Google Domains ile birlikte Bluehost, Shopify, Squarespace, Weebly ve Wix gibi web barındırıcılarını kullanabilirsiniz.

Web barındırıcılarına nasıl bağlanacağınızı ve HTTPS'yi nasıl ayarlayacağınızı öğrenin.

Sertifika yetkilisinden SSL/TLS sertifikası alma

Web barındırıcınız HTTPS güvenliği sunmuyorsa bir sertifika yetkilisinden alanınız için SSL/TLS sertifikası alabilirsiniz. Google'ın Google Trust Services adlı bir sertifika yetkilisi vardır. Google Domains müşterileri, alanlarının "Güvenlik sayfasındaki" talimatları uygulayarak Google Trust Services'den sertifika alabilir.

Let's Encrypt, internetin daha güvenli olmasını sağlamak için sertifikalar sunan popüler bir sertifika yetkilisidir.

Sertifika aldıktan sonra, yüklemek için web barındırıcınızla çalışmanız gerekir. Sitenizi kendi sunucularınızda barındırıyorsanız HTTPS'yi nasıl etkinleştireceğinizi öğrenin. Sertifikalarınızı Otomatik Sertifika Yönetimi Ortamı (ACME) protokolüyle yönetiyorsanız aşağıdaki adımları uygulayarak bu işlemi ACME ve DNS ile yapabilirsiniz.

Google Trust Services'den sertifika almak için:

Google Domains'de oturum açın.
Sertifika almak istediğiniz alanı seçin.
Sol üstte Menü Güvenlik'e dokunun.
"Alanınız için SSL/TLS Sertifikaları" bölümünde "Google Trust Services"ı genişletin.
EAB Anahtarı Al'ı tıklayın.
- "EAB Anahtar Kimliği" ve "EAB HMAC Anahtarı" değerlerini içeren bir iletişim kutusu açılır.
  - Bu değerleri, yanlarındaki Kopyala düğmelerine dokunarak kopyalayın.
  - Bu 2 değeri kullanarak Google Trust Services sertifika yetkilisi hesabı oluşturun. EAB'yi belirtme işlemi her ACME istemci uygulamasında biraz farklıdır. Kullanmak istediğiniz ACME istemcisinin belgelerini inceleyin.
    - Popüler Certbot ACME istemcisinin yapılandırma örneğini burada bulabilirsiniz.
      1. Hesap oluşturmak için:
        
        certbot register --email <İLETİŞİM_E-POSTASI> --no-eff-email --server "https://dv.acme-v02.api.pki.goog/directory" --eab-kid "<EAB_ANAHTAR_KİMLİĞİ>" --eab-hmac-key "<EAB_HMAC_ANAHTARI>"
      2. Hesabınızı oluşturduktan sonra şu kodu çalıştırarak sertifika oluşturabilirsiniz:
        
        certbot certonly -d <ALANINIZ> --server "https://dv.acme-v02.api.pki.goog/directory" --standalone

Sertifikaları ACME ve DNS ile yönetme

Otomatik Sertifika Yönetimi Ortamı (ACME), sertifika yetkilileri ile sunucular arasındaki yönetim sertifikalarını otomatikleştirmek için kullanılan yaygın bir protokoldür. Bu işlemin otomatikleştirilmesi sayesinde kullanıcıların HTTPS sertifikalarının yenilenmemesinden dolayı kesinti yaşama olasılıkları azalır.

ACME protokolü, bir alan adının kontrolüne sahip olduğunuzu sorgulamalarla kanıtlar. Google Domains, API jetonları kullanılarak DNS sunucularıyla DNS-01 sorgulama türünü destekler.

API jetonu oluşturmak için:

Google Domains'de oturum açın.
Kullanmak istediğiniz alanı seçin.
Sol üstte Menü Güvenlik'e dokunun.
"ACME DNS API" bölümünde Jeton oluştur'a dokunun.
ÖNEMLİ: Değer yalnızca bir kez gösterilir. İletişim kutusunu kapatırsanız API jetonuna tekrar erişemezsiniz. Jetona erişimi olan kullanıcılar alanınızın DNS kayıtlarından bazılarını değiştirebilir. Bu nedenle jetonunuzu güvenli bir yerde saklayın.
- "API jetonu"nun gösterildiği bir iletişim kutusu açılır.
  - ACME istemcinize girmek için bu API jetonunu kullanmanız gerekir.
  - API jetonunun yanındaki Kopyala düğmesine dokunarak değeri kopyalayın.
  - İletişim kutusunu kapatmadan önce değeri kaydetmeyi unuttuysanız kolayca silip yeni bir API jetonu oluşturabilirsiniz.
  - Alan başına aynı anda en fazla 10 API jetonu kullanılabilir.
  - İletişim kutusunu kapattığınızda listeye bir kayıt eklenir. Erişim yetkisini iptal etmek istediğinizde jetonu silebilirsiniz.
  - API jetonu, Google Domains ACME DNS API'yi destekleyen ACME istemcilerinde kullanılabilir. API jetonunu belirtme işlemi, her ACME uygulamasında biraz farklıdır. Kullanmak istediğiniz ACME istemcisinin belgelerini inceleyin.

ACME DNS API ile kullanılabilen ACME istemcileri

SSL/TLS sertifikalarınızı koruma

HTTPS, Ortadaki Adam (MitM) saldırılarının engellenmesine yardımcı olur ancak SSL/TLS sertifikanızın kimliğine bürünebilen kullanıcılar yine de bu saldırıları yapabilir. Web siteniz için yayınlanan, tanımadığınız sertifikaları gözden geçirerek bu saldırıları önleyebilirsiniz. Sertifika Yetkilisi Yetkilendirmesi (CAA) kaynak kayıtlarını kullanarak alanınız için sertifika yayınlayabilecek kişileri de kısıtlayabilirsiniz.

Alanınız için yayınlanan sertifikaları görüntüleme

Alanınız için yayınlanan sertifikaları incelemek için censys.io'da arama yapabilirsiniz.

Alanınıza CAA kaynak kayıtları ekleme

CAA kaynak kayıtları, web sitenize ilişkin SSL/TLS sertifikalarını kimlerin düzenleyebileceğini kontrol etmenizi sağlar. CAA kaynak kayıtları hakkında daha fazla bilgi edinin.

İlgili kaynaklar

Bu size yardımcı oldu mu?

Bunu nasıl iyileştirebiliriz?