HTTP'den HTTPS'ye Geçiş: Adım Adım Rehber

Bir zamanlar HTTPS, yalnızca ödeme alan sitelerin ihtiyacıydı. Bugün durum tersine döndü: HTTPS standart, HTTP ise istisna ve tarayıcılar bu istisnayı kullanıcıya açıkça bildiriyor. Sitesi hâlâ HTTP üzerinden yayın yapan bir işletme, ziyaretçisini daha içeriği görmeden "güvenli değil" uyarısıyla karşılıyor.

Bu yazıda HTTPS'nin neden zorunlu hâle geldiğini, geçişin nasıl planlanması gerektiğini ve en sık yapılan hataları anlatıyoruz.

HTTPS nedir, ne işe yarar?

HTTPS, tarayıcı ile sunucu arasındaki trafiğin şifrelenmesini sağlar. Bu şifreleme üç şeyi güvence altına alır: verinin yolda okunamaması, değiştirilememesi ve karşı tarafın gerçekten iddia ettiği site olması.

Şifreleme olmadığında, aynı ağdaki biri form verilerini görebilir ya da sayfaya kendi içeriğini enjekte edebilir. Halka açık kablosuz ağların yaygınlığı düşünüldüğünde bu teorik bir risk değil.

Neden artık tercih değil zorunluluk?

Tarayıcı uyarıları. Modern tarayıcılar HTTP sayfaları için adres çubuğunda güvenlik uyarısı gösteriyor; form içeren sayfalarda uyarı daha da belirgin hâle geliyor. Bu uyarı, dönüşüm oranını doğrudan düşüren bir unsur.

Sıralama sinyali. Google HTTPS'yi uzun süredir hafif bir sıralama sinyali olarak kullanıyor. Tek başına belirleyici değil ama eşit koşullarda fark yaratabiliyor.

Veri kaybı. HTTPS bir siteden HTTP bir siteye geçişte yönlendiren bilgisi aktarılmıyor. Yani HTTP kullanıyorsanız, size gelen trafiğin bir bölümünü "doğrudan" olarak görürsünüz ve gerçek kaynağını kaybedersiniz.

Modern özellikler. Konum bilgisi, bildirimler, kamera erişimi ve servis çalışanları gibi tarayıcı özellikleri yalnızca HTTPS üzerinde çalışıyor.

Sertifika seçimi

SSL/TLS sertifikaları doğrulama düzeyine göre ayrılıyor. Alan adı doğrulamalı (DV) sertifikalar alan adının size ait olduğunu doğrular ve dakikalar içinde alınabilir. Kuruluş doğrulamalı (OV) ve genişletilmiş doğrulamalı (EV) sertifikalar şirket bilgilerinin de doğrulanmasını gerektirir.

Pratikte çoğu site için DV yeterli. Let's Encrypt gibi ücretsiz sertifika sağlayıcıları, çoğu barındırma panelinde tek tıkla kurulabiliyor ve otomatik yenileniyor. Alt alan adlarınız varsa (blog.site.com, shop.site.com gibi) wildcard sertifika tercih edin; her alt alan için ayrı sertifika yönetmek gereksiz iş çıkarır.

Hangi sertifikayı seçerseniz seçin, süresinin dolmasına izin vermeyin. Süresi geçmiş sertifika, sitenin tamamen erişilemez görünmesine yol açar ve bu, HTTP'de kalmaktan daha kötü bir durumdur.

Geçiş adımları

HTTPS geçişi teknik olarak bir adres değişikliğidir; yani her sayfanın adresi değişir. Bu yüzden dikkatli planlanması gerekir.

1. Sertifikayı kurun ve test edin. Geçişten önce HTTPS sürümünün sorunsuz açıldığını doğrulayın.
2. Tüm siteyi taşıyın. Yalnızca ödeme ya da iletişim sayfasını HTTPS yapmak yarım çözümdür; karışık yapı hem kullanıcıyı hem arama motorunu şaşırtır.
3. 301 yönlendirmelerini kurun. Her HTTP adresi, karşılığı olan HTTPS adresine kalıcı olarak yönlendirilmeli. Tüm trafiği ana sayfaya yönlendirmek en sık yapılan ve en zararlı hatadır.
4. Karışık içeriği (mixed content) temizleyin. Sayfa HTTPS ama içindeki görsel, stil dosyası ya da script HTTP ise tarayıcı yine uyarı verir. İçerikteki sabit yazılmış HTTP bağlantılarını veritabanı üzerinde toplu olarak güncelleyin.
5. İç bağlantıları güncelleyin. Menüler, içerik içi bağlantılar ve görsel yolları HTTPS'ye çevrilmeli; yönlendirmeye bel bağlamak gereksiz zincir yaratır.
6. Canonical etiketlerini güncelleyin. Canonical hâlâ HTTP adresi gösteriyorsa, arama motoruna asıl sürümün eski adres olduğunu söylemiş olursunuz. Ayrıntı için canonical URL yazımıza bakın.
7. Site haritası ve robots.txt dosyasını yenileyin. Site haritasındaki adresler HTTPS olmalı ve robots.txt içindeki site haritası adresi de güncellenmeli.
8. Search Console'a HTTPS mülkünü ekleyin. Search Console HTTP ve HTTPS sürümlerini ayrı mülk sayar; yeni sürümü eklemezseniz veri göremezsiniz.
9. Analitik ayarlarını kontrol edin. Varsayılan site adresi alanını HTTPS olarak güncelleyin.
10. Reklam ve üçüncü taraf entegrasyonlarını gözden geçirin. Reklam açılış sayfaları, e-posta şablonlarındaki bağlantılar ve ödeme sağlayıcı ayarları eski adresi işaret ediyor olabilir.

Geçiş öncesi hazırlık listesi

Geçişi bir bakım işi gibi planlayın. Yayına almadan önce şunları hazırlamış olun:

• Tam yedek. Dosyalar ve veritabanı; bir sorun çıktığında dönebileceğiniz nokta.
• Adres envanteri. Sitenizdeki tüm adreslerin listesi. Bir tarama aracıyla çıkarabilirsiniz; geçiş sonrası karşılaştırma için bu liste altın değerinde.
• Sabit yazılmış bağlantıların tespiti. İçerik içinde, tema dosyalarında ve veritabanında geçen HTTP bağlantıları.
• Üçüncü taraf envanteri. Reklam hesapları, e-posta pazarlama araçları, ödeme sağlayıcıları ve entegrasyonların hangi adresi kullandığı.
• Düşük trafikli bir zaman dilimi. Geçişi hafta ortası gece saatlerinde yapmak, olası sorunların etkisini sınırlar.

Bu hazırlık yapıldığında geçişin kendisi genellikle kısa sürer. Sorun çıkaran geçişlerin neredeyse tamamında ortak nokta, adres envanterinin hiç çıkarılmamış olmasıdır: neyin yönlendirilmesi gerektiği bilinmediği için eksikler ancak trafik düştüğünde fark edilir.

Geçiş sonrası ne izlenmeli?

İlk birkaç hafta tarama hatalarını ve dizine ekleme durumunu yakından takip edin. Search Console'un sayfa raporunda HTTPS adreslerinin dizine eklenmeye başladığını görmelisiniz. Sıralamalarda kısa süreli dalgalanma normaldir; adres değişikliğinin sindirilmesi zaman alır.

Trafikte kalıcı bir düşüş görüyorsanız, ilk bakılacak yer yönlendirmelerdir: zincir oluşmuş olabilir, bazı sayfalar yanlış hedefe gidiyor olabilir ya da bir bölüm hiç yönlendirilmemiş olabilir. Yönlendirme kurgusunu doğru yapmak için URL yönlendirmeleri rehberimiz yol gösterir.

Geçiş tamamlandıktan ve kararlı hâle geldikten sonra HSTS başlığını değerlendirebilirsiniz. Bu başlık, tarayıcıya siteye yalnızca HTTPS üzerinden bağlanmasını söyler ve ilk yönlendirme adımını da ortadan kaldırır. Ancak yanlış yapılandırıldığında geri dönüşü zor sorunlar çıkarabileceği için aceleye getirmeyin.

www ve HTTPS birlikte düşünülmeli

Bir sitenin dört farklı sürümü olabilir: www’lu ve www’suz, HTTP ve HTTPS. Bunların dördü de açık kalırsa arama motoru aynı içeriği dört ayrı adreste görür ve hangisinin asıl sürüm olduğuna kendisi karar vermek zorunda kalır.

Doğru kurgu şu: bir tanesini asıl sürüm seçin ve diğer üçünü tek adımda ona yönlendirin. Ardından canonical etiketlerinin de aynı sürümü işaret ettiğinden emin olun. Bu düzenleme, HTTPS geçişiyle birlikte yapılması gereken ve sıklıkla atlanan bir adımdır.

Sık yapılan hatalar

• Yarım geçiş. Sitenin bir bölümünün HTTP kalması, karışık içerik uyarılarını sürekli hâle getirir.
• Toplu ana sayfa yönlendirmesi. Tüm eski adresleri ana sayfaya göndermek, sayfaların biriktirdiği değeri yok eder.
• Yönlendirme zinciri. HTTP'den HTTPS'ye, oradan www sürümüne giden çok adımlı zincirler tarama verimini düşürür; tek adımda hedefe gidin.
• Search Console mülkünü eklememek. Veri akışı kesilir ve sorunları fark etmek imkânsızlaşır.
• Sertifika yenilemesini unutmak. Otomatik yenileme kurun ve hatırlatıcı bırakın.

Son bir not: barındırma firmanız geçişi sizin adınıza yapıyorsa bile, yönlendirmelerin ve canonical etiketlerinin doğruluğunu kendiniz kontrol edin. Sunucu tarafı geçişi tamamlanmış ama site içi bağlantıları hâlâ eski adresi gösteren siteler oldukça yaygın.

Özetle

HTTPS bugün bir SEO taktiği değil, sitenin çalışması için gereken temel bir koşul. Geçişi doğru planladığınızda birkaç saatlik bir iştir; yarım bırakıldığında ise aylarca sürünen sorunlar üretir.

Daha kapsamlı bir adres ya da altyapı değişikliği planlıyorsanız SEO migration rehberimize, sunucu tarafı değişikliklerinde kontrol listemize göz atın. Süreci uzmanla yürütmek isterseniz SEO hizmetlerimiz kapsamında bu geçişleri planlıyoruz.