SSL Ne İşe Yarar? Cpanel CSR Oluşturma ve SSL Kurulumu

Adres çubuğundaki kilit simgesi bugün o kadar sıradanlaştı ki, çoğumuz arkasında ne döndüğünü düşünmüyoruz. Oysa o kilidin olmadığı bir tarayıcı, ziyaretçinize büyük puntolarla “Güvenli değil” diye uyarı veriyor, arama sıralamanız düşüyor, kredi kartı bilgisi giren kullanıcı duraksıyor. SSL artık teknik bir ayrıntıdan çok, sitenizin ilk izlenimiyle ilgili bir konu.

Bu rehberde SSL sertifikasının gerçekte ne yaptığını, türleri arasındaki farkları ve cPanel üzerinde adım adım CSR oluşturup CRT yüklemeyi anlatacağım. Plesk ve DirectAdmin’de de mantık aynıdır; sadece menü isimleri değişir. Yıllardır barındırma tarafında çalışan biri olarak en sık yapılan hataları da yeri geldikçe işaretleyeceğim.

SSL sertifikası ne işe yarar?

SSL’in açılımı Secure Sockets Layer (Güvenli Soket Katmanı). Aslında bugün kullandığımız protokolün adı teknik olarak TLS (Transport Layer Security); SSL ismi sektörde yerleşik kaldığı için herkes hâlâ “SSL sertifikası” diyor. İşlevi tek cümleyle şu: tarayıcı ile sunucu arasında gidip gelen veriyi şifreleyerek, araya giren birinin (kafe Wi-Fi’sindeki bir saldırgan, ISP’deki bir dinleyici, kötü niyetli bir ağ cihazı) bu veriyi okumasını ya da değiştirmesini engellemek.

Şifreleme tek başına değil; SSL aynı zamanda üç işi birden yapar:

• Gizlilik: Parolanız, kredi kartı numaranız, form verileriniz ağ üzerinde okunamaz hale gelir.
• Bütünlük: Veri yolda değiştirilirse bağlantı bozulur; manipülasyon fark edilir.
• Kimlik doğrulama: Karşıdaki sunucunun gerçekten o alan adına ait olduğunu, ortadaki sahte bir kopya olmadığını teyit eder.

Google Chrome 2018’den bu yana HTTPS kullanmayan sayfalarda “Güvenli değil” uyarısını standart hale getirdi. Üstelik HTTPS, Google’ın açıkça doğruladığı bir sıralama sinyali. Yani SSL artık sadece güvenlik değil, aynı zamanda SEO ve dönüşüm meselesi. Ödeme sayfasında kilit görünmüyorsa, sepetin terk edilme ihtimali ciddi biçimde artar.

HTTP ile HTTPS arasındaki fark

Pratikte fark net: HTTP’de tarayıcı ile sunucu arasındaki her şey düz metin olarak gider. HTTPS’te ise aynı trafik TLS ile şifrelenir. Aşağıdaki karşılaştırma, neden 2026’da HTTP’nin artık savunulamaz olduğunu özetliyor.

SSL sertifikası türleri: DV, OV ve EV

Bütün SSL sertifikaları aynı gücde şifreleme sağlar; aradaki fark şifrelemenin gücünde değil, kimlik doğrulamanın derinliğinde. Yani DV bir sertifika ile EV bir sertifika trafiği aynı şekilde şifreler. Değişen şey, sertifika makamının (CA) “bu alan adının arkasında kim var” sorusunu ne kadar derinden sorgulamasıdır.

Çoğu site için DV sertifika fazlasıyla yeterlidir; özellikle Let’s Encrypt benzeri ücretsiz DV sertifikalar standart haline geldi. Birden fazla alt alan adını (mail.siteniz.com, blog.siteniz.com gibi) tek sertifikayla korumak isterseniz Wildcard, birden çok ayrı alan adını toplamak içinse SAN/Multi-Domain sertifikalar kullanılır. Küçük bir not: EV wildcard diye bir şey yoktur, bu kombinasyon kurallarca yasaktır.

TLS 1.2 ile TLS 1.3 farkı

Arka planda bağlantıyı kuran protokolün sürümü de önemli. Bugün geçerli iki sürüm TLS 1.2 ve TLS 1.3. TLS 1.3, el sıkışmayı (handshake) iki tur yerine tek tura indirerek bağlantıyı hızlandırır, RC4/MD5/SHA1 gibi eskimiş algoritmaları kaldırır ve forward secrecy özelliğini zorunlu kılar. Size düşen, sunucunuzun TLS 1.3’ü desteklediğinden emin olmak. Alastyr’da kullanılan LiteSpeed web sunucusu güncel TLS sürümlerini varsayılan destekler; bu konuda ekstra bir ayar yapmanız çoğu zaman gerekmez.

Önemli güncelleme: Sertifika ömürleri 2026’da kısaldı

Bu, sektörü yakından takip etmeyenlerin gözünden kaçan ama herkesi ilgilendiren bir değişiklik. CA/Browser Forum’un kararıyla SSL sertifikalarının azami geçerlilik süresi adım adım kısaltılıyor:

• 15 Mart 2026’dan itibaren: azami 200 gün (uygulamada birçok CA 199 günle başladı)
• 15 Mart 2027’den itibaren: azami 100 gün
• 15 Mart 2029’dan itibaren: azami 47 gün

Bunun pratik anlamı şu: artık bir sertifikayı kurup yıllarca unutamazsınız. Yenileme döngüsü kısaldıkça otomatik yenileme ve düzgün bir hosting altyapısı kritik hale geliyor. İyi haber, Alastyr paketlerinde gelen ücretsiz SSL sertifikalarının yenilenmesi sizin için arka planda otomatik yönetilir; her birkaç ayda bir CSR uğraşına girmenize gerek kalmaz. Manuel kurulum bilgisi yine de değerli, çünkü ticari/EV gibi özel sertifikalarda süreci kendiniz yürütmeniz gerekebilir. Aşağıdaki adımlar tam da bunun için.

cPanel’de CSR oluşturma ve CRT yükleme

cPanel hosting hesabınıza 2083 portu (SSL’li giriş) üzerinden bağlanarak başlayalım. Bazı sağlayıcılar 2082 (SSL’siz) portunu da açık bırakır ama her zaman 2083’ü tercih edin. Tarayıcıya alanadiniz.com:2083 şeklinde yazarak panele ulaşabilirsiniz.

Panele girince “SSL/TLS” menüsüne tıklayın. Bulamazsanız sağ üstteki arama kutusuna “SSL” yazmanız yeterli. Buradan sırasıyla CSR oluşturup, satın aldığınız sertifikayı alıp, CRT dosyasını yükleyeceğiz.

Adım 1: CSR (Sertifika İmzalama İsteği) oluşturma

SSL/TLS ekranında “SSL sertifika imzalama istekleri oluşturun, görüntüleyin veya silin” bağlantısına tıklayın. Açılan sayfadaki “Yeni bir Sertifika İmza İsteği (CSR) Oluştur” formunu doldurun. Örnek değerlerle gösteriyorum:

• Anahtar: “Generate a new RSA, 2048-bit key” seçili kalsın. (RSA şifreleme algoritması, 2048 bit ise anahtar uzunluğudur. 2048 bit bugün için yeterli ve güvenli kabul edilir.)
• Etki Alanları: alastyr.com (Sertifikayı www’lu mu www’suz mu kuracağınıza burada karar verirsiniz. İkisini de kapsamak için ya iki alan adı girin ya da Wildcard tercih edin.)
• Şehir: İzmir
• Eyalet/Bölge: İzmir (Türkiye için il adını yazabilirsiniz.)
• Ülke: TR (Türkiye için iki harfli ülke kodu.)
• Şirket: Alastyr (İşletmenizin yasal kayıtlı adını girin. Şahıs siteniz varsa alan adınızı yazıp geçebilirsiniz. Nokta ve virgül dışındaki sembollerden kaçının; CA’nız kabul etmeyebilir.)

Yıldızlı olmayan alanlar opsiyoneldir, boş bırakabilirsiniz. En alttaki “Oluştur” butonuna bastığınızda iki çıktı görürsünüz: CSR kodu (sertifikayı satın alırken yapıştıracağınız blok) ve Private Key (özel anahtar).

Kritik uyarı: Private Key’i mutlaka güvenli bir yere kaydedin ve kimseyle paylaşmayın. Bu anahtar sertifikanızın kalbidir; başkasının eline geçerse şifreli trafiğiniz açığa çıkabilir. cPanel anahtarı kendi içinde saklar ama bazı harici servisler ayrıca özel anahtar isteyebilir, o yüzden yedeği elinizde olsun.

Adım 2: Sertifikayı alma ve domain doğrulaması

Satın aldığınız sertifikayı aktifleştirmek için şu akışı izleyin:

• 1. Müşteri paneline giriş yapın ve ilgili SSL hizmetini açın.
• 2. Açılan sayfada satın aldığınız SSL sertifikasını göreceksiniz; yapılandırma alanına geçin.
• 3. cPanel’de oluşturduğunuz CSR kodunu bu alana yapıştırın. Ardından doğrulama (DCV) yöntemini seçeceksiniz. DV sertifikalarda en yaygın yöntem e-posta doğrulamasıdır; alan adınıza ait admin@, webmaster@ gibi bir adrese onay e-postası gider.
• 4. Seçtiğiniz e-posta hesabına giriş yapın ve CA’dan gelen doğrulama e-postasını açın.
• 5. E-postadaki bağlantıya tıklayıp içindeki doğrulama kodunu yapıştırın, “Next” ile onaylayın.
• 6. Onaydan sonra genelde yarım saat içinde sertifika dosyalarını içeren e-posta gelir. “Your … Certificate” başlıklı e-postadaki ekten sertifika paketini bilgisayarınıza indirin.
• 7. İndirdiğiniz arşivi (genelde .zip ya da .rar) bir klasöre çıkarın.
• 8. Çıkan dosyalar arasında sitenizinadi.crt dosyasını bulun. Sağ tıklayıp “Birlikte aç” yoluyla Not Defteri’nde açın ve içindeki CRT kodunu görün.

İpucu: Pakette genelde bir de CA Bundle (ara sertifika / intermediate) dosyası bulunur. Bazı tarayıcı ve mobil cihazların “sertifika zinciri tamamlanmadı” hatası vermemesi için bu dosyayı da kuruluma eklemeniz önemlidir. cPanel’in otomatik doldurma özelliği bunu çoğu zaman halleder, ama vermezse CA Bundle alanını elle doldurun.

Adım 3: CRT dosyasını cPanel’e yükleme

• 9. CRT kodunu kopyalayın. cPanel’de SSL/TLS bölümündeki “SSL sitelerini yönetin” alanına gidin.
• 10. Listede ilgili alan adını bulun ve “Sertifikayı Güncelle” butonuna tıklayın.
• 11. Kopyaladığınız CRT kodunu ilk kutuya yapıştırıp “Sertifikaya Göre Otomatik Doldur” butonuna basın. Bu işlem eşleşen Private Key ve CA Bundle alanlarını otomatik doldurur.
• 12. Son olarak “Sertifika Yükle” butonuna basarak kurulumu tamamlayın.

Bu kadar. Birkaç dakika içinde sitenize https:// ile eriştiğinizde tarayıcıda kilit simgesini görmeniz gerekir.

Kurulumdan sonra hâlâ “Güvenli değil” görünüyorsa

Sertifikayı doğru kurdunuz ama tarayıcı yine de kilidi göstermiyor mu? Neredeyse her zaman sebebi karışık içerik (mixed content) hatasıdır: sayfanız https üzerinden açılıyor ama içindeki bazı görseller, CSS, JS dosyaları hâlâ http:// ile çağrılıyor. Tek bir http kaynak bile kilidi kırmaya yeter.

En temiz çözüm, gelen tüm http isteklerini https’e yönlendirmektir. Sitenizin kök dizinindeki .htaccess dosyasına aşağıdaki kuralı ekleyin:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

WordPress kullanıyorsanız ayrıca Ayarlar > Genel bölümünden site adresini https olarak güncellemeyi ve veritabanındaki eski http bağlantılarını “Better Search Replace” gibi bir eklentiyle https’e çevirmeyi unutmayın. Bu iki adım, mixed content vakalarının büyük kısmını çözer.

Yönlendirmeyi 301 (kalıcı) yapmanız SEO açısından önemli; arama motorları https sürümünü asıl adres kabul eder ve eski http sıralamalarınızı yeni adrese taşır.

Hangi durumda ücretsiz, hangi durumda ücretli SSL?

Net konuşalım. Ücretsiz DV sertifikalar (Let’s Encrypt gibi) blogunuz, tanıtım siteniz veya küçük e-ticaretiniz için fazlasıyla iş görür; şifreleme gücü ücretli muadilleriyle aynıdır. Ücretli OV/EV sertifikalar ise kurumsal kimliğinizi sertifika detayında göstermek istediğinizde, bankacılık/finans gibi yüksek güven gerektiren alanlarda mantıklıdır. Alastyr hosting paketleri ücretsiz SSL ile gelir ve kurulumu sizin yerinize otomatik yapılır; ticari bir sertifikaya ihtiyacınız olursa onu da panelden temin edebilirsiniz.

Sıkça Sorulan Sorular

SSL sertifikası tam olarak ne işe yarar?

SSL sertifikası, tarayıcı ile web sunucusu arasındaki veriyi şifreleyerek araya giren birinin bu veriyi okumasını veya değiştirmesini engeller. Aynı zamanda sunucunun kimliğini doğrular ve verinin yolda bozulmadığını garanti eder. Parola, kredi kartı ve form verilerinizin güvenliği bu sayede sağlanır.

SSL ile TLS arasındaki fark nedir?

Aslında ikisi aynı amaca hizmet eder. SSL eski protokolün adıdır ve artık kullanımdan kalkmıştır; bugün gerçekte kullanılan protokol TLS’tir. Ancak SSL ismi sektörde yerleştiği için herkes hâlâ SSL sertifikası demeye devam ediyor. Yani modern bir SSL sertifikası dediğimiz şey teknik olarak TLS ile çalışır.

CSR nedir ve neden gerekir?

CSR, Certificate Signing Request yani Sertifika İmzalama İsteği demektir. İçinde alan adınız, kuruluş bilgileriniz ve açık anahtarınız bulunan şifreli bir metin bloğudur. Sertifika makamı bu bilgileri kullanarak size özel sertifikayı üretir. cPanel üzerinden birkaç dakikada oluşturabilirsiniz.

DV, OV ve EV sertifika arasındaki fark nedir?

Üçü de aynı güçte şifreleme sağlar; fark kimlik doğrulamanın derinliğindedir. DV yalnızca alan adı sahipliğini doğrular ve dakikalar içinde kurulur. OV ek olarak şirket kaydını doğrular. EV ise en kapsamlı tüzel kişilik incelemesini içerir ve genellikle banka ile finans siteleri tarafından tercih edilir.

Ücretsiz SSL sertifikası güvenli mi?

Evet. Let’s Encrypt gibi ücretsiz DV sertifikalar, ücretli sertifikalarla birebir aynı güçte şifreleme sunar. Aradaki fark kimlik doğrulama düzeyi ve bazı ticari garanti koşullarıdır. Blog, tanıtım sitesi ve küçük e-ticaret için ücretsiz SSL çoğu zaman fazlasıyla yeterlidir.

SSL sertifikasının geçerlilik süresi ne kadar?

CA/Browser Forum kararıyla sertifika ömürleri kısalıyor. 15 Mart 2026’dan itibaren azami süre 200 gün, 2027’den itibaren 100 gün, 2029’dan itibaren ise 47 gün olacak. Bu yüzden otomatik yenileme artık çok daha önemli. Alastyr paketlerindeki ücretsiz SSL’in yenilenmesi arka planda otomatik yönetilir.

Sertifikayı kurdum ama site hâlâ güvenli değil diyor, neden?

Bunun en yaygın sebebi karışık içerik hatasıdır. Sayfanız https ile açılsa bile içindeki görsel, CSS veya JS dosyaları hâlâ http ile çağrılıyorsa tarayıcı kilidi göstermez. Çözüm, .htaccess ile tüm http isteklerini https’e 301 yönlendirmesiyle taşımak ve WordPress’te site adresini https yapmaktır.

cPanel yerine Plesk veya DirectAdmin kullanıyorum, adımlar değişir mi?

Mantık aynıdır, yalnızca menü isimleri farklıdır. Her üç panelde de önce CSR oluşturur, sertifikayı doğrularsınız, ardından CRT ve CA Bundle dosyalarını ilgili SSL bölümüne yüklersiniz. Bu rehberdeki sıralamayı izleyerek hangi panelde olursanız olun kurulumu tamamlayabilirsiniz.

www’lu ve www’suz adresimi tek sertifikayla koruyabilir miyim?

Evet. CSR oluştururken her iki alan adını da girebilir ya da çok sayıda alt alan adını kapsamak için Wildcard sertifika tercih edebilirsiniz. Wildcard, mail.siteniz.com ve blog.siteniz.com gibi tüm alt alan adlarını tek sertifikayla korur.