HTTPS ve SSL Sertifikası: SEO İçin Güvenlik

Selam arkadaşlar! Bugün web sitesi güvenliğinin SEO üzerindeki etkilerini, özellikle de HTTPS ve SSL sertifikalarının rolünü detaylıca inceleyeceğiz. Bir web sitesi yöneticisi olarak, sitenizin hem ziyaretçileriniz için güvenli hem de arama motorları tarafından daha iyi değerlendirilmesi için bu konuları anlamanız oldukça önemli.

Geçtiğimiz yıllarda birçok müşterimizle HTTPS’ye geçiş süreçlerini yönettik ve bu süreçte karşılaştığımız zorlukları, öğrendiğimiz dersleri sizlerle paylaşmak istiyoruz. Hazırsanız başlayalım!

1. HTTPS’nin SEO’ya Etkisi

HTTPS (Hypertext Transfer Protocol Secure), standart HTTP protokolünün güvenli versiyonudur. Peki neden bu kadar önemli ve SEO’yu nasıl etkiliyor?

2014 yılında Google, HTTPS’yi bir sıralama faktörü olarak duyurduğunda birçok site sahibi bunu görmezden geldi. Ancak günümüzde durum oldukça farklı. Artık HTTPS kullanımı, Google’ın dikkate aldığı 200’den fazla sıralama faktöründen biri.

HTTPS’nin SEO’ya etkilerini şöyle sıralayabiliriz:

• Sıralama sinyali olarak değerlendirilme: Google, güvenli siteleri ödüllendiriyor. İki benzer site arasında, diğer faktörler eşitse, HTTPS kullanan site daha üst sıralarda yer alıyor.

• Kullanıcı güveni: Chrome gibi tarayıcılar, HTTP sitelerini “güvenli değil” şeklinde işaretliyor. Bu uyarıyı gören kullanıcılar sitenizden hemen ayrılabilir, bu da hemen çıkma oranlarınızı (bounce rate) artırarak dolaylı yoldan SEO’nuzu olumsuz etkileyebilir.

• Referrer verilerinin korunması: HTTPS siteler, HTTP sitelere trafik gönderdiğinde referrer bilgisi kayboluyor. Yani HTTP kullanıyorsanız, HTTPS sitelerden gelen trafiğin kaynağını analitik araçlarınızda göremeyebilirsiniz.

• Hız ve performans: HTTPS, HTTP/2 protokolünü kullanmanıza olanak tanır, bu da site hızınızı artırabilir. Site hızı da bildiğiniz gibi önemli bir SEO faktörüdür.

Geçen yıl çalıştığımız bir e-ticaret sitesi, HTTPS’ye geçtikten sonraki ilk 3 ayda organik trafiğinde %12’lik bir artış yaşadı. Tabii ki bu artışın tek sebebi HTTPS değildi, ancak güvenlik sinyalinin güçlenmesi önemli bir faktördü.

2. SSL Sertifikası Türleri

SSL (Secure Sockets Layer) ve daha yeni versiyonu olan TLS (Transport Layer Security), HTTPS bağlantılarını mümkün kılan güvenlik protokolleridir. Bir SSL sertifikası edinmeden HTTPS’ye geçemezsiniz.

Farklı ihtiyaçlara yönelik çeşitli SSL sertifikası türleri bulunmaktadır:

Domain Validated (DV) Sertifikaları

• En temel ve uygun fiyatlı seçenek
• Sadece domain sahipliğini doğrular
• Genellikle birkaç dakika içinde alınabilir
• Küçük bloglar ve kişisel siteler için ideal

Organization Validated (OV) Sertifikaları

• Orta seviye güvenlik sağlar
• Domain sahipliğinin yanı sıra şirket bilgilerini de doğrular
• Alınması birkaç gün sürebilir
• Kurumsal web siteleri için uygundur

Extended Validation (EV) Sertifikaları

• En yüksek güvenlik seviyesi
• Kapsamlı bir şirket doğrulaması içerir
• Bazı tarayıcılarda adres çubuğunda şirket adını yeşil olarak gösterir
• Bankalar, e-ticaret siteleri gibi yüksek güvenlik gerektiren siteler için önerilir

Wildcard Sertifikaları

• Ana domain ve tüm alt domainleri kapsar (örn: *.example.com)
• Birden fazla alt domain için tek sertifika yeterlidir
• Maliyet açısından verimlidir

Multi-Domain (SAN) Sertifikaları

• Birden fazla farklı domaini tek bir sertifika altında toplar
• Farklı markalar veya projeler için ayrı domainler kullananlar için idealdir

Bir müşterimiz için orta ölçekli bir e-ticaret sitesinde çalışırken, başlangıçta DV sertifikası ile başlamıştık. Ancak kullanıcı güvenini artırmak için daha sonra OV sertifikasına geçiş yaptık ve dönüşüm oranlarında gözle görülür bir iyileşme yaşadık. Bu nedenle, sitenizin amacına ve bütçenize göre doğru sertifika türünü seçmenizi öneririz.

3. HTTPS Geçiş Planlaması

HTTPS’ye geçiş, dikkatli planlama gerektiren bir süreçtir. Hatalı bir geçiş, site trafiğinizi olumsuz etkileyebilir. İşte adım adım geçiş planlaması:

Geçiş Öncesi Hazırlık

1. Mevcut durumu analiz edin: Sitenizin haritasını çıkarın, tüm URL’leri, dahili ve harici bağlantıları belirleyin.

2. SSL sertifikası seçin: Yukarıda belirttiğimiz sertifika türlerinden sitenize uygun olanı seçin.

3. Hosting kontrolü: Hosting sağlayıcınızın HTTPS desteklediğinden emin olun. Bazı ucuz hosting hizmetleri SSL desteği sunmayabilir veya ek ücret talep edebilir.

4. Yedekleme yapın: Geçiş öncesi mutlaka sitenizin tam bir yedeğini alın. Sorun çıkması durumunda geri dönebilmeniz çok önemli.

5. Test ortamı kurun: Mümkünse, canlı sitenize dokunmadan önce bir test ortamında HTTPS geçişini deneyin.

Geçiş Süreci

1. SSL sertifikasını yükleyin: Hosting paneliniz veya sunucunuz üzerinden sertifikayı yükleyin ve yapılandırın.

2. Dahili bağlantıları güncelleyin: Sitenizdeki tüm dahili bağlantıları HTTP’den HTTPS’ye çevirin. Bu, HTML dosyalarınızdaki bağlantıları, CSS, JavaScript, resim yollarını ve diğer tüm kaynakları içerir.

3. CMS ayarlarını güncelleyin: WordPress gibi bir CMS kullanıyorsanız, site URL’sini ayarlardan HTTPS olarak değiştirin.

4. Üçüncü taraf entegrasyonlarını kontrol edin: Ödeme sistemleri, analitik araçları, reklam kodları gibi üçüncü taraf entegrasyonlarının HTTPS ile uyumlu olduğundan emin olun.

Geçenlerde bir haber sitesinin HTTPS’ye geçişini gerçekleştirirken, üçüncü taraf bir reklam ağının HTTP bağlantılar kullandığını fark ettik. Bu durum, mixed content hatalarına yol açıyordu ve çözümü biraz zaman aldı. Bu yüzden, tüm entegrasyonlarınızı önceden kontrol etmenizi şiddetle tavsiye ederim.

4. 301 Redirect Stratejisi

HTTP’den HTTPS’ye geçiş yaparken, eski URL’lerinizden yeni URL’lerinize doğru şekilde yönlendirme yapmanız gerekir. Bu, hem kullanıcı deneyimi hem de SEO açısından kritik öneme sahiptir. Redirect stratejinizi doğru planlamazsanız, arama motoru sıralamalarında ciddi düşüşler yaşayabilirsiniz.

.htaccess ile Yönlendirme (Apache Sunucular İçin)

Apache sunucular için .htaccess dosyanıza şu kodu ekleyebilirsiniz:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

web.config ile Yönlendirme (IIS Sunucular İçin)

IIS sunucular için web.config dosyanıza şu kodu ekleyebilirsiniz:

<rule name="HTTP to HTTPS redirect" stopProcessing="true">
  <match url="(.*)" />
  <conditions>
    <add input="{HTTPS}" pattern="off" ignoreCase="true" />
  </conditions>
  <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Permanent" />
</rule>

Nginx ile Yönlendirme

Nginx sunucular için server bloğunuza şu kodu ekleyebilirsiniz:

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

301 yönlendirmeler kalıcı yönlendirmelerdir ve arama motorlarına URL’in kalıcı olarak değiştiğini bildirir. Bu sayede, eski URL’inizin sahip olduğu SEO değeri yeni URL’e aktarılır. Ancak bazı durumlarda bu aktarımda yaklaşık %10-15’lik bir değer kaybı yaşanabilir, bu normal bir durumdur.

Bir e-ticaret müşterimizle çalışırken, kategori yapısı karmaşık olduğu için her URL’i tek tek yönlendirme yapmamız gerekti. Bu süreçte URL eşleştirme tablosu oluşturmak işimizi oldukça kolaylaştırdı. Büyük siteler için benzer bir yaklaşımı öneririm.

5. Mixed Content Sorunları

HTTPS’ye geçtikten sonra karşılaşabileceğiniz en yaygın sorunlardan biri “mixed content” (karma içerik) hatalarıdır. Bu, sayfanızın HTTPS üzerinden yüklenmesine rağmen, sayfadaki bazı kaynakların (resimler, scriptler, CSS dosyaları vb.) hala HTTP üzerinden çağrılması durumunda ortaya çıkar.

Mixed Content Türleri

1. Pasif Mixed Content: Resimler, videolar, ses dosyaları gibi içerikler. Bunlar tarayıcıda genellikle bir uyarı verir ancak içeriğin yüklenmesini engellemez.

2. Aktif Mixed Content: JavaScript dosyaları, iframe’ler, AJAX istekleri gibi içerikler. Modern tarayıcılar bu tür içerikleri varsayılan olarak engeller ve bu durum sitenizin işlevselliğini bozabilir.

Mixed Content Sorunlarını Tespit Etme

1. Tarayıcı Geliştirici Araçları: Chrome veya Firefox’un geliştirici araçlarını kullanarak karma içerik uyarılarını görebilirsiniz.

2. SSL Labs: SSL Labs gibi araçlar, sitenizin HTTPS yapılandırmasını ve olası sorunları kontrol edebilir.

3. Screaming Frog: Tüm sitenizi tarayarak HTTP kaynaklarını tespit edebilirsiniz.

Mixed Content Sorunlarını Çözme

1. Kaynakları Göreceli URL’ler ile Çağırma: Mutlak URL’ler yerine göreceli URL’ler kullanın.

<!-- Bunun yerine -->
<img src="http://example.com/image.jpg">

<!-- Bunu kullanın -->
<img src="/image.jpg">
<!-- veya -->
<img src="//example.com/image.jpg">

1. Content Security Policy (CSP) Kullanma: HTTP başlıklarında CSP tanımlayarak, tarayıcıya hangi kaynakların güvenli olduğunu bildirebilirsiniz.

Content-Security-Policy: upgrade-insecure-requests;

1. WordPress için Otomatik HTTPS Eklentileri: WordPress kullanıyorsanız, “Really Simple SSL” veya “SSL Insecure Content Fixer” gibi eklentiler yardımcı olabilir.

2. CDN Yapılandırması: CDN kullanıyorsanız, CDN ayarlarınızı HTTPS’yi destekleyecek şekilde güncelleyin.

Geçen yıl bir turizm sitesi için HTTPS geçişi yaptığımızda, haritalar ve hava durumu widget’ları HTTP kaynaklarına bağlı olduğu için zorlandık. Bu kaynakların HTTPS versiyonlarını bulmak veya alternatiflerini kullanmak zorunda kaldık. Bu yüzden, üçüncü taraf içeriklere özellikle dikkat etmenizi öneririm.

6. HSTS Implementasyonu

HTTP Strict Transport Security (HSTS), web sitelerinizin yalnızca HTTPS üzerinden erişilebilir olmasını sağlayan bir güvenlik mekanizmasıdır. HSTS, tarayıcıya “bu siteye sadece güvenli bağlantı üzerinden erişim sağla” talimatını verir.

HSTS’nin Faydaları

1. Man-in-the-middle Saldırılarına Karşı Koruma: Kullanıcılar HTTP üzerinden bağlantı kurmaya çalıştığında bile, tarayıcı otomatik olarak HTTPS’ye yönlendirir.

2. SSL Stripping Saldırılarını Önleme: Saldırganların HTTPS bağlantısını HTTP’ye düşürme girişimlerini engeller.

3. Performans İyileştirmesi: HTTP’den HTTPS’ye yönlendirme gecikmesini ortadan kaldırır.

HSTS Nasıl Uygulanır?

HSTS, sunucunuzun HTTP yanıtlarına bir başlık ekleyerek uygulanır:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Bu başlıktaki parametreler:

• max-age: HSTS politikasının tarayıcıda ne kadar süre saklanacağını belirtir (saniye cinsinden). Yukarıdaki örnekte 1 yıl.
• includeSubDomains: Politikanın tüm alt domainler için de geçerli olmasını sağlar.
• preload: Sitenizin tarayıcıların HSTS ön yükleme listesine dahil edilmesini sağlar.

HSTS Preload Listesi

Google, sitenizi tüm modern tarayıcılar tarafından kullanılan bir HSTS preload listesine eklemenize olanak tanır. Bu listeye eklenen siteler için, kullanıcılar ilk ziyaretlerinde bile doğrudan HTTPS üzerinden bağlantı kurarlar.

Sitenizi hstspreload.org adresinden bu listeye ekleyebilirsiniz.

Ancak dikkatli olun: HSTS preload listesine ekleme işlemi geri alınması zor bir karardır. Tüm alt domainlerinizin de HTTPS desteklemesi gerekir ve listeden çıkarılma işlemi aylar sürebilir.

Bir finans şirketi için yaptığımız HTTPS geçişinde, HSTS uyguladıktan sonra bazı eski sistemlerle uyumluluk sorunları yaşadık. Bu yüzden, önce düşük bir max-age değeri (örneğin bir gün: 86400 saniye) ile başlamanızı ve sorun yaşamadığınızdan emin olduktan sonra süreyi uzatmanızı öneririm.

7. Performans Etkileri

HTTPS’ye geçiş, site performansınızı çeşitli şekillerde etkileyebilir. Bu etkileri anlamak ve gerekli optimizasyonları yapmak önemlidir.

HTTPS’nin Performansa Olumlu Etkileri

1. HTTP/2 Desteği: HTTPS, modern ve daha hızlı olan HTTP/2 protokolünü kullanmanıza olanak tanır. HTTP/2, çoklu istek gönderme, sunucu push, başlık sıkıştırma gibi özellikleriyle site hızını artırır.

2. Brotli Sıkıştırma: Birçok modern sunucu, HTTPS siteler için Gzip’ten daha verimli olan Brotli sıkıştırma algoritmasını destekler.

3. Modern Tarayıcı Özellikleri: Bazı modern web özellikleri (Service Workers, Push Notifications gibi) yalnızca HTTPS üzerinde çalışır.

HTTPS’nin Performansa Olumsuz Etkileri

1. SSL Handshake Gecikmesi: HTTPS bağlantıları kurulurken SSL handshake işlemi gerçekleşir, bu da ekstra bir gecikme yaratabilir.

2. CPU Kullanımı: Şifreleme ve şifre çözme işlemleri, sunucu ve istemci tarafında ek CPU kullanımına neden olur.

Performans Optimizasyonu İçin İpuçları

1. OCSP Stapling Kullanımı: SSL sertifikalarının geçerliliğini kontrol eden OCSP sorgularını hızlandırır.

# Apache için
SSLUseStapling on
SSLStaplingCache "shmcb:logs/stapling-cache(150000)"

# Nginx için
ssl_stapling on;
ssl_stapling_verify on;

1. SSL Önbelleği: SSL oturumlarını önbelleğe alarak, tekrar ziyaret eden kullanıcılar için handshake süresini azaltın.

# Apache için
SSLSessionCache shmcb:/var/run/ssl_session_cache(512000)
SSLSessionCacheTimeout 300

# Nginx için
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

1. Uygun Şifreleme Paketleri: Modern ve hızlı şifreleme paketlerini kullanın, eski ve yavaş olanları devre dışı bırakın.

# Nginx için örnek
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;

1. CDN Kullanımı: Content Delivery Network kullanarak, SSL handshake işlemini kullanıcıya daha yakın sunucularda gerçekleştirin.

Büyük bir içerik sitesinin HTTPS’ye geçişinde, başlangıçta sayfa yükleme sürelerinde 300-400 ms’lik bir artış gözlemledik. Ancak HTTP/2’ye geçiş ve yukarıdaki optimizasyonları uyguladıktan sonra, performans HTTP döneminden bile daha iyi hale geldi. Bu nedenle, HTTPS’ye geçişten sonra mutlaka performans optimizasyonu yapmanızı öneririm.

8. Geçiş Sonrası Kontroller

HTTPS’ye geçişi tamamladıktan sonra, her şeyin düzgün çalıştığından emin olmak için kapsamlı kontroller yapmanız gerekir. İşte geçiş sonrası kontrol listemiz:

Teknik Kontroller

1. SSL Sertifikası Doğrulama: Sertifikanızın doğru yüklendiğinden ve yapılandırıldığından emin olun. SSL Labs gibi araçlarla test edin.

2. Yönlendirmeleri Kontrol Edin: Tüm HTTP URL’lerin düzgün şekilde HTTPS’ye yönlendirildiğini doğrulayın. Screaming Frog gibi araçlarla sitenizi tarayabilirsiniz.

3. Mixed Content Kontrolü: Tüm sayfalarınızı mixed content hatalarına karşı kontrol edin. Chrome DevTools’un Console sekmesinde bu uyarıları görebilirsiniz.

4. Canonical URL’leri Kontrol Edin: Canonical etiketlerinizin HTTPS URL’leri gösterdiğinden emin olun.

5. Sitemap Kontrolü: XML sitemap’inizin HTTPS URL’leri içerdiğini doğrulayın.

6. robots.txt Kontrolü: robots.txt dosyanızın HTTPS versiyonunu güncelleyin.

SEO Kontrolleri

1. Google Search Console’da Yeni Mülk Ekleyin: HTTPS versiyonu için yeni bir mülk ekleyin ve sitemap’inizi gönderin.

2. Indexlenme Durumunu İzleyin: Google Search Console’da indexlenen URL sayısını takip edin.

3. Sıralama Değişikliklerini İzleyin: Anahtar kelime sıralamalarınızdaki değişiklikleri takip edin. Geçici düşüşler normal olabilir.

4. Yapısal Veri Kontrolü: Yapısal verilerinizin (schema.org işaretlemeleri) HTTPS URL’leri içerdiğinden emin olun.

Üçüncü Taraf Entegrasyonları

1. Analitik Araçları: Google Analytics gibi analitik araçlarınızın HTTPS URL’leri izlediğinden emin olun.

2. Sosyal Medya Paylaşım Butonları: Sosyal medya paylaşım butonlarınızın HTTPS URL’leri paylaştığını kontrol edin.

3. Reklamlar ve Affiliate Linkler: Tüm reklam kodlarının ve affiliate linklerinin HTTPS ile uyumlu olduğunu doğrulayın.

4. Ödeme Sistemleri: E-ticaret sitelerinde, ödeme sistemlerinin HTTPS üzerinde düzgün çalıştığını test edin.

Geçiş Sonrası İzleme

HTTPS’ye geçişten sonra en az 1-2 ay boyunca şu metrikleri yakından takip etmenizi öneririm:

• Organik trafik değişimleri
• Sayfa yükleme süreleri
• Dönüşüm oranları
• Hemen çıkma oranları
• Arama motoru sıralamaları

Bir turizm sitesinin HTTPS’ye geçişinden sonra, ilk hafta organik trafikte %15’lik bir düşüş yaşadık. Bu panik yaratsa da, üç hafta sonra trafik eski seviyesine döndü ve sonraki ay %5 artış gösterdi. Bu nedenle, geçiş sonrası dalgalanmalara hazırlıklı olun ve acele sonuçlar çıkarmayın.

Sonuç

HTTPS ve SSL sertifikaları, modern web sitelerinin vazgeçilmez bir parçası haline geldi. Sadece SEO için değil, kullanıcı güveni ve site güvenliği için de kritik öneme sahipler. Bu rehberde anlattığımız adımları izleyerek, HTTP’den HTTPS’ye sorunsuz bir geçiş yapabilir ve bu geçişten maksimum SEO faydası sağlayabilirsiniz.

Unutmayın ki HTTPS’ye geçiş, bir kerelik bir proje değil, sürekli bakım ve izleme gerektiren bir süreçtir. SSL sertifikalarınızı düzenli olarak yenileyin, güvenlik yapılandırmanızı güncel tutun ve Google algoritma değişikliklerini takip edin.

Kendi deneyimlerimizden yola çıkarak söyleyebiliriz ki, HTTPS’ye geçiş sürecinde sabırlı olun ve acele etmeyin. İyi planlanmış bir geçiş, uzun vadede hem SEO hem de kullanıcı deneyimi açısından size büyük fayda sağlayacaktır.

Teknik SEO çalışmalarınızda başarılar dileriz! Sorularınız varsa, yorum bölümünden bize ulaşabilirsiniz.