HTTPS ve Kilit Simgesi Ne Anlama Gelir? Kilit Varsa Site Güvenli midir

Yıllarca şu öğüt tekrarlandı: "Adres çubuğunda kilit varsa site güvenlidir." Bu cümle, sitelerin çoğunun şifrelenmemiş bağlantı kullandığı dönemde bir anlam taşıyordu; kilit, özen gösteren bir site sahibinin işaretiydi. Bugün ise neredeyse her site HTTPS kullanıyor ve sertifika almak birkaç dakikalık, çoğu zaman ücretsiz bir iş. Kilit artık istisna değil, standart. Bu yüzden eski öğüt, dolandırıcıların işine yarayan bir yanılgıya dönüştü.

Bu yazıda kilidin gerçekte neyi söylediğini, neyi söylemediğini ve tarayıcınızda sertifika bilgilerine nasıl bakacağınızı anlatıyoruz. Terimlerin kısa açıklamaları için internet terimleri sözlüğümüze bakabilirsiniz.

HTTPS nedir?

HTTP, tarayıcınızın web sitelerinden sayfa isterken kullandığı dildir. HTTPS ise bu dilin şifreli halidir. Sondaki "S", İngilizcede "secure" (güvenli) kelimesinden gelir. HTTPS bağlantısında trafik TLS adı verilen bir yöntemle şifrelenir; bu yöntemin eski adı SSL olduğu için hâlâ "SSL sertifikası" denir.

HTTPS iki iş yapar:

1. Şifreleme: Siz ile site arasındaki veriler, yol üzerindeki kişiler (aynı kafe Wi-Fi'sindeki biri, ağ cihazları) tarafından okunamaz ve fark edilmeden değiştirilemez.
2. Alan adı doğrulaması: Site, adres çubuğundaki alan adı için bir sertifika kuruluşu tarafından verilmiş geçerli bir sertifika sunmak zorundadır. Böylece ornek.com yazdığınızda gerçekten ornek.com alan adının sahibinin sunucusuyla konuştuğunuzdan emin olursunuz.

Yol üzerindeki biri bağlantıya girmeye çalışırsa sertifika tutmaz ve tarayıcı sizi uyarır. Bu tür saldırıların nasıl işlediğini ortadaki adam saldırıları yazımızda anlattık.

Kilit simgesi neyi garanti eder, neyi etmez?

Kısacası kilit, "bu mektubu yolda kimse açamaz" der; "mektubu gönderdiğiniz kişi güvenilirdir" demez. Sahte bir banka sayfası ornek-banka-giris.net gibi kendi alan adı için bir sertifika alabilir. Tarayıcı kilidi gösterir, çünkü sertifika gerçekten o alan adına aittir. Sorun, alan adının kendisindedir.

Sahte siteler neden kilitli görünür?

Sertifika kuruluşlarının çoğu, bir sertifika verirken yalnızca başvuranın o alan adını kontrol ettiğini doğrular. Buna alan adı doğrulamalı (DV) sertifika denir. Alan adını satın alan herkes, kısa sürede ve çoğu zaman ücretsiz olarak böyle bir sertifika alabilir. Kuruluş, başvuranın bir banka olup olmadığını sormaz.

Bazı sertifikalar şirketin kimliğini de doğrular (OV ve EV sertifikalar). Ancak güncel tarayıcılar bu farkı adres çubuğunda artık belirgin biçimde göstermiyor; eskiden görülen yeşil şirket adı çubuğu kaldırıldı. Sıradan bir kullanıcının adres çubuğuna bakarak bu farkı anlaması zordur.

Bu yüzden asıl koruma, alan adını doğru okumaktır. Nasıl yapılacağını oltalama linki nasıl anlaşılır yazımızda, şüpheli bir adresi araçlarla incelemeyi ise şüpheli link kontrolü rehberimizde anlattık.

Kilit simgesi değişti mi?

Bazı tarayıcılar, kullanıcıların kilidi "güvenilir site" diye yorumlamasının önüne geçmek için kilit simgesini adres çubuğundan kaldırdı ve yerine bağlantı ve site ayarlarını açan nötr bir simge koydu. Chrome'da bu simge, iki küçük ayar çubuğunu andırır. Simgenin biçimi değişse de işlevi aynıdır: tıkladığınızda bağlantının güvenli olup olmadığını ve sertifika bilgilerini görebilirsiniz.

HTTPS kullanmayan sayfalarda ise tarayıcılar adres çubuğunda Güvenli değil ibaresi veya üstü çizili bir kilit gösterir. Böyle bir sayfaya şifre, kart bilgisi veya kişisel bilgi yazmayın.

Sertifika bilgilerine nasıl bakılır?

Bir sitenin sertifikasının kime verildiğini, hangi kuruluşun verdiğini ve ne zaman sona erdiğini tarayıcıdan görebilirsiniz.

Chrome ve Edge (bilgisayar)

1. Adres çubuğunun solundaki simgeye (kilit veya ayar simgesi) tıklayın.
2. Açılan pencerede Bağlantı güvenli satırına tıklayın.
3. Sertifika geçerli seçeneğine tıklayın. Açılan pencerede sertifikanın verildiği ad, veren kuruluş ve geçerlilik tarihleri yer alır.

Firefox (bilgisayar)

1. Adres çubuğundaki kilit simgesine tıklayın.
2. Bağlantı güvenli satırının yanındaki oka tıklayın, ardından Daha fazla bilgi'yi seçin.
3. Açılan pencerede Sertifikayı göster düğmesine tıklayın.

Telefonda

Mobil tarayıcılarda sertifika ayrıntıları çoğu zaman sınırlı gösterilir. Adres çubuğundaki simgeye dokunarak bağlantının güvenli olup olmadığını görebilirsiniz; ayrıntılı bilgi için bilgisayar veya aşağıdaki aracımız daha pratiktir.

Tarayıcı açmadan: SSL sertifika kontrolü aracımız

Bir sitenin sertifikasını siteyi açmadan görmek isterseniz SSL sertifika kontrolü aracımıza alan adını yazın. Araç, sertifikanın geçerliliğini, bitiş tarihini, veren kuruluşu ve kapsadığı alan adlarını gösterir. Sitenin HTTP'den HTTPS'e yönlendirip yönlendirmediğini ve tarayıcıyı yalnızca HTTPS kullanmaya zorlayan güvenlik başlıklarını ise HTTP başlıkları aracımızla görebilirsiniz.

Sertifikada neye bakmalısınız?

• Verildiği ad: Adres çubuğundaki alan adıyla eşleşmeli. Tarayıcı zaten bunu kontrol eder; eşleşmezse uyarı gösterir.
• Geçerlilik tarihleri: Süresi dolmuş bir sertifika tarayıcı uyarısına yol açar. Çok yeni bir sertifika tek başına sorun değildir, çünkü sertifikalar düzenli olarak yenilenir.
• Kuruluş adı: Varsa sitenin sahibi olan şirketin adını gösterir. Yoksa bu normaldir; çoğu sertifika yalnızca alan adı doğrulamalıdır.

Ne zaman gerçekten endişelenmelisiniz?

• Tarayıcı tam sayfa uyarı gösteriyorsa: "Bağlantınız gizli değil" gibi bir uyarı, sertifikanın geçersiz, süresi dolmuş veya başka bir alan adına ait olduğunu söyler. Sebeplerini ve güvenli çözümleri "Bağlantınız gizli değil" hatası rehberimizde anlattık.
• Halka açık bir ağda birçok sitede uyarı görüyorsanız: Ağ bağlantıya müdahale ediyor olabilir. O ağda şifre girmeyin; ayrıntılar halka açık Wi-Fi güvenliği yazımızda.
• Kilit var ama alan adı tanıdık değilse: Kilit burada size yardımcı olmaz. Alan adını okuyun ve emin değilseniz adresi kendiniz yazarak gerçek siteye gidin.

Özetle: kilidin olmaması bir uyarıdır, ama kilidin olması bir güvence değildir. Karar verirken her zaman alan adına bakın.