- Konu sahibi
- #1
E-ticaret sitesinin HTTPS bağlantısı için, ek kuruluş doğrulaması şartı yoksa doğru kurulmuş alan adı doğrulamalı DV TLS sertifikası kullanılabilir. Bu seçim sitenin bütünüyle güvenli olduğunu veya ödeme altyapısının tüm koşulları karşıladığını göstermez. Sertifikanın ücretsiz veya ücretli olması tek başına güvenlik seviyesini belirlemez. Önemli olan sertifikanın alan adını doğru kapsaması, tarayıcılar tarafından güvenilir kabul edilmesi, otomatik yenilenmesi ve sunucuda güncel TLS yapılandırmasıyla kullanılmasıdır. “SSL” günlük kullanımda yaygın bir ifade olsa da güncel teknoloji TLS’dir.
DV sertifikasında sertifika otoritesi alan adı üzerindeki kontrolünüzü doğrular. Ziyaretçinin tarayıcıyla yaptığı bağlantıyı şifrelemek ve sunucunun ilgili alan adına ait olduğunu doğrulamak için temel gereksinim budur.
OV ve EV sertifikaları kuruluşla ilgili daha kapsamlı doğrulama süreçleri uygular; ancak bağlantıyı DV sertifikadan daha fazla şifrelemez. Tarayıcı arayüzünde geçmişte görülen belirgin EV şirket adı gösterimi de günümüzde satın alma güvenini tek başına sağlayan bir unsur değildir. Bu nedenle yalnızca “e-ticaret sitesi olduğu için EV almalıyım” yaklaşımı teknik olarak gerekli değildir.
Aşağıdaki karar, sertifika seçimini gereksiz yere karmaşıklaştırmadan yapmanıza yardımcı olur.
Teknik ve ticari açıdan çoğu küçük veya orta ölçekli mağaza için ilk satırdaki seçim yeterlidir. Ödeme işlemi başka bir sağlayıcının güvenli ödeme sayfasına yönlendiriliyorsa da kendi mağazanızın giriş, sepet ve sipariş sayfaları HTTPS üzerinden çalışmalıdır.
Kurulumdan sonra tarayıcının bağlantı/site bilgileri bölümünden sertifikanın alan adını ve geçerlilik durumunu kontrol edin. Sertifika doğru alan adını göstermiyor, süresi geçmiş veya güvenilmeyen bir otorite tarafından imzalanmış görünüyorsa sorun sertifika türünden çok yanlış kurulum, eksik alan adı veya yenileme yapılandırmasıdır.
Ücretli sertifikayı otomatik olarak daha güvenli sanmak, yalnızca ana alan adını kapsayan sertifikayla alt alan adlarını koruduğunu düşünmek ve yenilemeyi elle takip etmek kaçınılması gereken hatalardır. Ayrıca Cloudflare gibi bir proxy kullanılıyorsa yalnızca ziyaretçi ile CDN arasındaki sertifikayı kontrol etmek yeterli değildir; CDN ile origin bağlantısı da şifreli ve sertifika doğrulamalı olmalıdır. Cloudflare’da buna uygun örnek
HSTS’yi etkinleştirmeden önce ilgili hostta HTTPS’i doğrulayın.
Hayır. Yalnızca birkaç sabit alt alan adı kullanıyorsanız her adı açıkça kapsayan normal bir DV veya SAN sertifikası daha kontrollü olabilir. Çok sayıda birinci seviye alt alan adı oluşturuluyorsa wildcard tercih edilebilir.
Sertifika tarayıcılar tarafından güvenilir kabul ediliyor, alan adını doğru kapsıyor ve sunucu doğru yapılandırılıyorsa ücretsiz olması HTTPS kullanımına engel değildir. Ödeme sağlayıcınızın ayrıca istediği teknik veya sözleşmesel koşullar varsa onlar ayrıca kontrol edilmelidir.
DV, OV ve EV arasındaki gerçek fark
DV sertifikasında sertifika otoritesi alan adı üzerindeki kontrolünüzü doğrular. Ziyaretçinin tarayıcıyla yaptığı bağlantıyı şifrelemek ve sunucunun ilgili alan adına ait olduğunu doğrulamak için temel gereksinim budur.
OV ve EV sertifikaları kuruluşla ilgili daha kapsamlı doğrulama süreçleri uygular; ancak bağlantıyı DV sertifikadan daha fazla şifrelemez. Tarayıcı arayüzünde geçmişte görülen belirgin EV şirket adı gösterimi de günümüzde satın alma güvenini tek başına sağlayan bir unsur değildir. Bu nedenle yalnızca “e-ticaret sitesi olduğu için EV almalıyım” yaklaşımı teknik olarak gerekli değildir.
Hangi durumda hangi sertifika?
Aşağıdaki karar, sertifika seçimini gereksiz yere karmaşıklaştırmadan yapmanıza yardımcı olur.
| İhtiyaç | Uygun seçim | Dikkat edilecek nokta |
|---|---|---|
| Tek mağaza alan adı ve www sürümü | Otomatik yenilenen DV | example.com ve www.example.com kapsamda olmalı |
| Birden fazla alt alan adı | SAN veya wildcard DV | Wildcard, yalnızca bir alt seviye için geçerlidir |
| Cloudflare gibi CDN/proxy kullanımı | Ziyaretçiye sunulan edge sertifikası ve origin TLS | Origin sunucusu da HTTPS kabul edecek şekilde yapılandırılmalı |
| Kurumsal doğrulama zorunluluğu | OV, gerekiyorsa özel kurumsal sertifika | Bu, şifrelemeyi otomatik olarak güçlendirmez |
Teknik ve ticari açıdan çoğu küçük veya orta ölçekli mağaza için ilk satırdaki seçim yeterlidir. Ödeme işlemi başka bir sağlayıcının güvenli ödeme sayfasına yönlendiriliyorsa da kendi mağazanızın giriş, sepet ve sipariş sayfaları HTTPS üzerinden çalışmalıdır.
Kurulumda izlenecek yol
- Sertifikanın kapsayacağı adları belirleyin. Ana alan adını, www sürümünü ve kullandığınız ödeme, üyelik veya yönetim alt alan adlarını listeleyin. Örneğin yalnızca example.com için alınan sertifika, www.example.com adını otomatik olarak kapsamayabilir.
- Hosting panelinizde otomatik sertifika hizmeti varsa bunu tercih edin. Sunucuyu kendiniz yönetiyorsanız ACME uyumlu bir istemciyle DV sertifikası alın ve yenileme görevini etkinleştirin.
- HTTP ve HTTPS sürümlerini kontrol edin. Example Domain, Example Domain adresine yönlenmeli; www ve www olmayan sürümlerden hangisini kanonik kullanıyorsanız diğeri ona yönlendirilmelidir.
- Karma içerik bırakmayın. Görseller, JavaScript, CSS, yazı tipleri ve ödeme bileşenleri HTTPS üzerinden çağrılmalıdır. Aksi halde sayfa güvenli görünse bile bazı kaynaklar engellenebilir.
- Test siparişi verin. Ürün sayfasından sepete, girişten ödeme adımına ve sipariş onayına kadar sertifika uyarısı, yönlendirme döngüsü veya çalışmayan kaynak olup olmadığını kontrol edin.
- Yenileme bildirimini ve başarısız yenileme alarmını kurun. Sertifika süresinin dolması, ödeme sayfası dahil tüm HTTPS bağlantılarında tarayıcı uyarısına yol açabilir.
Kurulumdan sonra tarayıcının bağlantı/site bilgileri bölümünden sertifikanın alan adını ve geçerlilik durumunu kontrol edin. Sertifika doğru alan adını göstermiyor, süresi geçmiş veya güvenilmeyen bir otorite tarafından imzalanmış görünüyorsa sorun sertifika türünden çok yanlış kurulum, eksik alan adı veya yenileme yapılandırmasıdır.
Sık yapılan hatalar
Ücretli sertifikayı otomatik olarak daha güvenli sanmak, yalnızca ana alan adını kapsayan sertifikayla alt alan adlarını koruduğunu düşünmek ve yenilemeyi elle takip etmek kaçınılması gereken hatalardır. Ayrıca Cloudflare gibi bir proxy kullanılıyorsa yalnızca ziyaretçi ile CDN arasındaki sertifikayı kontrol etmek yeterli değildir; CDN ile origin bağlantısı da şifreli ve sertifika doğrulamalı olmalıdır. Cloudflare’da buna uygun örnek
Full (strict) modudur; origin sertifikasının güven ve hostname koşulları ayrıca sağlanır.HSTS’yi etkinleştirmeden önce ilgili hostta HTTPS’i doğrulayın.
includeSubDomains eklenecekse kapsama girecek alt alan adlarının da uygun HTTPS sunması gerekir. Hatalı bir sertifika veya HTTPS yapılandırması varken tarayıcıların bağlantıyı atlamasına izin vermemek doğru güvenlik davranışıdır.Sık sorulan sorular
Wildcard sertifika her e-ticaret sitesinde gerekli mi?
Hayır. Yalnızca birkaç sabit alt alan adı kullanıyorsanız her adı açıkça kapsayan normal bir DV veya SAN sertifikası daha kontrollü olabilir. Çok sayıda birinci seviye alt alan adı oluşturuluyorsa wildcard tercih edilebilir.
Ücretsiz sertifika ödeme sistemlerinde kullanılabilir mi?
Sertifika tarayıcılar tarafından güvenilir kabul ediliyor, alan adını doğru kapsıyor ve sunucu doğru yapılandırılıyorsa ücretsiz olması HTTPS kullanımına engel değildir. Ödeme sağlayıcınızın ayrıca istediği teknik veya sözleşmesel koşullar varsa onlar ayrıca kontrol edilmelidir.
