SSL/HTTPS, tarayıcı ile web sunucusu arasında aktarılan her veriyi şifreleyen bir güvenlik katmanıdır; adres çubuğunda kilit simgesi olarak görünür. Sertifikası olmayan bir site tarayıcıda 'Güvenli değil' uyarısıyla açılır, ziyaretçi formu doldurmadan çıkar ve Google aramalarında rakiplerinin gerisinde kalır. Bu yüzden 2026'da SSL, bir web sitesi projesinde pazarlık konusu yapılabilecek bir madde değil, en baştan olması gereken bir zorunluluktur.
Bu yazıda müşterilerimizle teklif aşamasında konuştuğumuz güvenlik başlıklarını - SSL, yedekleme, güncelleme, parola politikası - ve bir site hacklendiğinde gerçekte neler yaşandığını, kurtarmanın kaça mal olduğunu anlatıyoruz. Amaç, sitenizi yaptırırken ya da yeniliyorken hangi soruları sormanız gerektiğini net biçimde ortaya koymak.
SSL/HTTPS nedir, neden pazarlık konusu olmamalı?
SSL (Secure Sockets Layer) ve onun güncel sürümü TLS, sitenize giren birinin girdiği bilgileri (iletişim formu, ödeme bilgisi, giriş şifresi) şifreleyerek üçüncü bir kişinin bu veriyi okumasını engeller. HTTPS ise bu şifrelemenin tarayıcıda görünen halidir - adres çubuğundaki kilit simgesi. Bugün Chrome, Safari ve Firefox gibi tüm büyük tarayıcılar SSL'siz siteleri açıkça uyarıyor; bazı formlarda kullanıcı devam etmeden önce ek bir onay ekranıyla karşılaşıyor.
Bir ajans olarak teklif hazırlarken SSL sertifikasını ayrı bir kalem gibi sunan firmalara dikkat etmenizi öneririz. Çoğu barındırma paketinde ücretsiz Let's Encrypt sertifikası standarttır ve kurulumu birkaç dakika sürer; bunun için ekstra ücret istenmesi ya modası geçmiş bir altyapıya ya da fırsatçı bir fiyatlandırmaya işaret eder.
Piyasada üç tür SSL sertifikası dolaşır: alan adı doğrulamalı (DV), kurum doğrulamalı (OV) ve genişletilmiş doğrulamalı (EV). Kurumsal bir tanıtım sitesi ya da klinik sitesi için ücretsiz DV sertifikası fazlasıyla yeterlidir; şifreleme seviyesi aynıdır. OV ve EV sertifikaları genellikle bankacılık ya da büyük ölçekli ödeme sistemleri için tercih edilir ve yıllık birkaç bin TL'ye mal olabilir. Bir ajansın küçük bir işletmeye 'güvenlik için EV sertifika şart' diyerek ek ücret çıkarması, çoğu zaman gereksiz bir maliyettir.
'Güvenli değil' uyarısı müşteri kaçırır
'Güvenli değil' uyarısı, ziyaretçinin siteden hemen çıkmasına neden olan en güçlü sinyallerden biridir. Özellikle iletişim formu, randevu ya da ödeme adımı olan sayfalarda bu uyarıyı gören kullanıcıların büyük bölümü işlemi tamamlamadan sekmeyi kapatır. Bir imalatçı firmanın teklif formu SSL olmadığı için üç ay boyunca hiç doldurulmamış, sorun fark edildiğinde de kaç potansiyel müşterinin kaybedildiği bilinemez hale gelmiştir - çünkü bu tür bir sızıntı, analitik verisinde bile görünmeyen bir kayıptır.
Kadıköy'de küçük bir kafe işletmesi düşünün: menü ve rezervasyon sayfası SSL'siz yayınlanırsa, telefonundan bakan müşteri uyarıyı görüp Google'a geri döner ve bir sonraki sonucu tıklar. Bu, tek bir teknik eksiğin doğrudan ciroya yansıyan somut bir örneğidir. Mobil ziyaretçi oranı yüksek işletmelerde bu kayıp daha da büyür, çünkü mobil tarayıcılar uyarıyı masaüstünden daha göz önünde gösterir.
Google sıralamasında HTTPS etkisi
Google, 2014'ten beri HTTPS'i bir sıralama sinyali olarak kullandığını açıkça belirtiyor; eşit koşullardaki iki sitede HTTPS olanı hafif bir avantajla öne çıkar. Bu tek başına belirleyici bir faktör değildir ama SSL olmayan bir sitenin arama sonuçlarında ek bir dezavantajla başladığı kesindir. Ayrıca modern tarayıcı davranışı - uyarı ekranı, artan çıkma oranı, kısalan oturum süresi - dolaylı yoldan sıralamayı olumsuz etkileyen sinyaller üretir. Teknik SEO tarafında bu konuyu daha geniş ele aldığımız teknik SEO kontrol listesi yazımızda SSL'i de bir denetim maddesi olarak işliyoruz.
Düzenli yedekleme: sigortanız olmadan yola çıkmayın
Düzenli yedekleme, bir site sorunla karşılaştığında kaybı saatler içine indiren tek güvencedir. Günlük otomatik yedek alan bir site, hackleme ya da sunucu hatası durumunda birkaç saat içinde eski haline döndürülebilirken, yedeği olmayan bir site için tek çözüm sıfırdan yeniden kurulumdur - bu da genellikle günler sürer ve içeriğin bir kısmı geri gelmez.
Teklif alırken sormanız gereken soru nettir: yedekleme ne sıklıkla alınıyor, kaç günlük geçmiş tutuluyor ve yedekten geri dönüş kaç dakika sürüyor? 'Yedekliyoruz' cevabı yeterli değildir; hangi sıklıkta ve nereye yedeklendiği somut olarak belirtilmelidir. İyi bir uygulama, yedeklerin sitenin kendi sunucusu dışında ayrı bir depoda tutulmasıdır; çünkü sunucunun tamamı ele geçirilirse aynı yerdeki yedek de saldırganın eline geçebilir. En az yedi günlük, tercihen otuz günlük bir geçmiş tutulması, bir sorunun fark edilmesi gecikse bile temiz bir noktaya dönebilmenizi sağlar.
Yazılım ve eklenti güncellemeleri neden ihmal edilmemeli
WordPress gibi CMS tabanlı sitelerde güvenlik açıklarının büyük bölümü, güncel olmayan çekirdek yazılım ya da eklentilerden kaynaklanır. Bir eklentide bulunan açık, güncelleme yayınlandıktan sonra haftalar içinde kötü niyetli botlar tarafından taranmaya başlar; güncellemeyi geciktiren her site bu tarama listesine girer. Otuzdan fazla eklenti kullanan bir kurumsal site gördüğümüzde ilk yaptığımız şey, hangilerinin gerçekten kullanıldığını, hangilerinin unutulup güncellenmeden bırakıldığını tespit etmektir - çünkü kullanılmayan her eklenti, faydası olmayan ama riski devam eden bir açık kapı demektir.
Ajans ya da barındırma firması ile anlaşırken güncellemelerin kim tarafından, ne sıklıkla yapılacağını netleştirmek, sonradan 'kimse dokunmuyordu' diye bir siteyle karşılaşmamak için şarttır. WordPress mi özel yazılım mı sorusunu değerlendirirken güncelleme yükü de karar kriterlerinden biri olmalı; özel yazılımda saldırı yüzeyi farklı yönetilir ama bakım ihtiyacı ortadan kalkmaz.
Güçlü parola ve iki adımlı doğrulama (2FA)
Yönetim paneline giriş için zayıf ya da paylaşılan bir parola kullanmak, sitenizin kapısını aralık bırakmakla eşdeğerdir. Otomatik saldırı botları, en sık kullanılan parola kalıplarını dakikalar içinde binlerce kez dener; '123456', firma adı ya da doğum yılı gibi tahmin edilebilir kombinasyonlar ilk denenenler arasındadır. İki adımlı doğrulama (2FA) açıkken, parola ele geçirilse bile telefon onayı olmadan girişe izin verilmez - bu tek ayar, hackleme riskinin büyük bölümünü tek başına ortadan kaldırır.
Küçük işletmelerde sık görülen bir başka hata, birden fazla çalışanın aynı yönetici hesabını paylaşmasıdır. Her kullanıcıya kendi hesabını tanımlamak, hem kimin ne zaman değişiklik yaptığını izlenebilir kılar hem de işten ayrılan bir çalışanın erişimini tek bir hesabı kapatarak değil, doğrudan kendi hesabını silerek kesmenizi sağlar. Bir parola yöneticisi kullanmak, her hesap için farklı ve güçlü parola üretmeyi kolaylaştırır.
Siteniz hacklenirse gerçekte ne olur?
Bir site ele geçirildiğinde ilk fark edilen şey genellikle sitenin çökmesi değildir; tam tersine site normal görünmeye devam eder ve asıl hasar arka planda birikir.
Spam içerik enjeksiyonu
Saldırganların en yaygın yöntemi, sitenize görünmeyen sayfalar ya da linkler eklemektir: ilaç satışı, kumar siteleri ya da sahte ürün sayfaları gibi içerikler ana sayfanızın kaynak koduna gömülür. Site sahibi haftalarca fark etmeyebilir çünkü bu içerik normal ziyaretçiye değil, arama motoru botlarına gösterilecek şekilde gizlenir.
Google'dan düşme ve kara liste
Google bu spam içeriği fark ettiğinde siteyi arama sonuçlarından tamamen kaldırabilir ya da tarayıcıda 'Bu site tehlikeli içerik barındırabilir' uyarısıyla işaretleyebilir. Bu kara liste durumuna girmiş bir site için normal trafik neredeyse sıfıra iner; markanın adı arandığında bile uyarı ekranı çıkar. Bursa'da bir imalatçının kurumsal sitesi tam bu senaryoyu yaşamış, iki hafta boyunca Google aramalarında 'güvenli olmayabilir' etiketiyle görünmüş ve bu süre boyunca gelen tüm form başvuruları durmuştu.
E-ticaret siteleri için risk daha da büyür: eski, güncellenmemiş bir eklenti üzerinden sisteme sızan saldırgan, sipariş formundaki müşteri bilgilerini ya da ödeme akışını hedef alabilir. Bu durumda sadece Google sıralaması değil, müşterilerin firmaya olan güveni de zarar görür; KVKK kapsamında veri ihlali bildirimi yükümlülüğü de doğabilir.
Kurtarma maliyeti ne kadar tutar?
Hacklenmiş bir sitenin temizlenmesi, güncel yedeği olan bir site için genellikle 3.000-8.000 TL aralığında bir müdahale ve birkaç saatlik kesintiyle çözülür. Yedeği olmayan, aylarca güncellenmemiş bir sitede ise durum farklıdır: kod satır satır incelenmeli, enjekte edilen zararlı parçalar temizlenmeli, Google'a kara listeden çıkma başvurusu yapılmalı - bu süreç 15.000 TL'yi aşabilir ve iki-üç haftaya yayılabilir. Maliyet genellikle şu kalemlerden oluşur:
- Kod incelemesi ve zararlı içeriğin temizlenmesi
- Sunucu ve veritabanı güvenlik taraması
- Google'a kara listeden çıkma başvurusu ve bekleme süresi
- SSL, parola ve 2FA gibi eksik önlemlerin sonradan kurulması
Üstelik bu rakamlara, kesinti süresince kaybedilen randevu, sipariş ya da form başvurusunun karşılığı dahil değildir. Bir siteyi SSL, yedekleme ve güncelleme konusunda baştan doğru kurmanın maliyeti, bu kurtarma sürecinin çoğu zaman onda biri kadardır.
SSL kurulduktan sonra kontrol etmeniz gerekenler
SSL sertifikası kurulduktan sonra iş bitmiş sayılmaz; sık yapılan bir hata, sitenin hem http hem https adresinden erişilebilir kalmasıdır. Bu durumda arama motorları aynı içeriği iki farklı adreste görür ve sıralama gücü bölünür; doğrusu, http adresine gelen her isteği otomatik olarak https adresine yönlendirmektir. Bir diğer sık görülen sorun 'karma içerik' (mixed content) uyarısıdır: sayfa https üzerinden açılsa bile içindeki bir görsel ya da betik hâlâ http adresinden çekiliyorsa tarayıcı kilit simgesini kaldırır ya da kısmi uyarı gösterir. Site tesliminde bu iki kontrolü yapmak, SSL kurulumunun gerçekten tamamlandığından emin olmanın en pratik yoludur.
Sertifikanın süresi de gözden kaçırılmamalı; ücretsiz sertifikalar genellikle doksan günde bir otomatik yenilenir, ancak yenileme otomasyonu bozulursa site aniden 'süresi dolmuş sertifika' uyarısıyla karşılaşabilir. Barındırma firmanızın bu yenilemeyi otomatik yaptığını teyit etmek, yılda bir kez yaşanabilecek gereksiz bir kesintiyi baştan önler.
Site yaptırırken ajansa sorulacak güvenlik soruları
Teklif aşamasında aşağıdaki soruları sormak, ilerideki sürprizlerin çoğunu baştan eler:
- SSL sertifikası pakete dahil mi, yoksa ayrı bir ücret mi?
- Yedekleme ne sıklıkla alınıyor, kaç günlük geçmiş tutuluyor ve geri yükleme süresi ne kadar?
- CMS ve eklenti güncellemelerini kim, ne sıklıkla yapıyor?
- Yönetim paneli için 2FA destekleniyor mu, kullanıcı bazlı erişim var mı?
- Site hacklenirse müdahale süreci, tahmini süre ve maliyeti nasıl işliyor?
Bu soruların net ve somut cevaplanamadığı bir teklif, muhtemelen güvenliği düşünülmemiş bir site anlamına gelir. Sitenizi yaptırmadan önce sormanız gereken diğer başlıkları web sitesi yaptırmadan önce sorulacak sorular yazımızda topladık; doğru ajansı seçme süreci için de web tasarım ajansı nasıl seçilir rehberimize göz atabilirsiniz.
Welda'da her web tasarım ve geliştirme projesine SSL, düzenli yedekleme ve güncel güvenlik altyapısı standart olarak dahildir; bunlar sonradan eklenen opsiyonlar değil, projenin başlangıç noktasıdır. Sitenizin güvenlik durumunu birlikte değerlendirmek isterseniz iletişim sayfamızdan ücretsiz ön görüşme talep edebilirsiniz.