Güvenlik ve Gizlilik 28 Eylül 2026

HTTPS Nedir? Kilit Simgesi Ne Anlama Gelir?

Şifreli bağlantının kapsamı ve kilit simgesinin sitenin güvenilir olduğu anlamına gelmediği.

HTTPS, tarayıcınızla site arasındaki bağlantının şifreli olduğunu gösterir. Adres çubuğundaki kilit simgesi de bunu anlatır.

Ama en yaygın yanlış anlama tam burada: kilit simgesi sitenin güvenilir olduğu anlamına gelmiyor. Yalnızca bağlantının şifreli olduğunu söylüyor. Dolandırıcı bir sitede de kilit çıkar.

Kilit tam olarak neyi garanti eder?

• Şifreleme. Araya giren biri veriyi görür ama okuyamaz.
• Kimlik doğrulama. Adres çubuğunda yazan alan adına gerçekten bağlandığınız doğrulanır.
• Bütünlük. İçerik yolda değiştirilirse fark edilir.

İkinci maddeye dikkat: doğrulanan şey alan adı. Yani guvenli-banka-giris.com adresine bağlandığınızda kilit çıkar — çünkü gerçekten o adrese bağlandınız. Sitenin dürüst olup olmadığı hakkında hiçbir şey söylemez.

Neden dolandırıcı sitelerde de kilit var?

Sertifikalar 2016’dan beri ücretsiz ve otomatik alınabiliyor. Bu, web’in tamamının şifrelenmesini sağladığı için büyük bir kazanım — ama yan etkisi şu: sertifika almak artık bir güvenilirlik göstergesi değil.

Bugün internetteki sitelerin neredeyse tamamı HTTPS kullanıyor. Dolayısıyla kilit simgesi bir ayırt edici değil, standart.

Eskiden "yeşil adres çubuğu" gösteren genişletilmiş doğrulama sertifikaları vardı; tarayıcılar bunları kullanıcıların ayırt edemediği için kaldırdı.

Öyleyse neye bakmalı?

Kilit yerine alan adının kendisine bakın. Dolandırıcılık neredeyse her zaman adres üzerinden yapılıyor:

Üçüncü satır en sinsi olanı: adres banka.com ile başlıyor ama gerçek alan adı dolandirici.net. Okurken son noktadan önceki kısma bakmak gerekiyor.

Pratik kural: bankanıza ve önemli hesaplarınıza bağlantıya tıklayarak değil, adresi kendiniz yazarak girin. Bu tek alışkanlık kimlik avı saldırılarının büyük kısmını etkisiz kılıyor.

Kilit yoksa ne olur?

"Güvenli değil" uyarısı gördüğünüz bir sayfada veri girmeyin. O sayfada yazdığınız her şey — şifre, kart numarası, mesaj — düz metin olarak gidiyor ve yol üzerindeki herkes okuyabiliyor.

Sertifika uyarısını da asla geçmeyin. Uyarıyı geçip devam etmek, HTTPS’in sağladığı korumayı kendi elinizle iptal etmek demek. Halka açık bir ağdaysanız ve bankacılık sayfasındaysanız bağlantıyı kesin.

Uyarının teknik nedenleri ve araya girme senaryoları için ortadaki adam saldırısı yazımıza bakabilirsiniz.

HTTPS neyi gizlemiyor?

Şifreleme içeriği korur ama bağlantının kendisini gizlemez.

Yani operatörünüz hangi siteye girdiğinizi görmeye devam ediyor, sayfada ne yaptığınızı göremiyor. Bunu da gizlemek istiyorsanız VPN gerekiyor. Kimin neyi görebildiğini ayrı bir yazıda tabloladık.

Nasıl çalışıyor: kısaca

Bağlantı kurulurken üç adım oluyor:

1. Site sertifikasını gönderiyor.
2. Tarayıcı sertifikayı doğruluyor — tanınan bir kurum tarafından mı düzenlenmiş, süresi dolmuş mu, adres eşleşiyor mu.
3. İki taraf ortak bir şifreleme anahtarında anlaşıyor ve trafik başlıyor.

Bir sitenin sertifika ayrıntılarını SSL kontrol aracımızla inceleyebilirsiniz — düzenleyen kurum, geçerlilik süresi ve kapsadığı alan adları görünüyor.

Site sahibiyseniz

• 80 portunu kapatmayın. Protokol yazmadan adres giren ziyaretçiler siteye ulaşamaz ve ücretsiz sertifika yenilenemez — ayrıntısı burada.
• HSTS açın. Tarayıcıya "bu siteye her zaman şifreli bağlan" der ve ilk şifresiz isteği ortadan kaldırır. HTTP başlık kontrol aracıyla açık olup olmadığını görebilirsiniz.
• Sertifika süresini takip edin. Otomatik yenileme kurulmuşsa bile ara sıra kontrol edin; sessizce bozulabiliyor.

Sıkça sorulan sorular