Siteniz «güvenli değil» diyorsa: HTTP, süresi dolan sertifika ve kısalan sertifika ömrü.

Tarayıcının «güvenli değil» ya da «bağlantınız gizli değil» uyarısı, sitenin ya HTTPS sunmadığını ya da sunduğu sertifikanın süresinin dolduğunu, başka bir ada ait olduğunu veya tarayıcının güvendiği bir kuruluşça imzalanmadığını gösterir.

Tarayıcı neden «güvenli değil» diyor?

Uyarının iki ailesi var ve ikisinin çözümü farklı. Birincisinde site HTTPS sunmuyor: bağlantı şifresiz kuruluyor ve tarayıcı adres çubuğunda «Güvenli değil» yazıyor. İkincisinde site HTTPS sunuyor ama sertifikasında bir sorun var: tarayıcı sayfayı hiç açmıyor, «Bağlantınız gizli değil» diye tam sayfa bir uyarı gösteriyor ve altına bir hata kodu yazıyor.

• NET::ERR_CERT_DATE_INVALID — sertifikanın süresi dolmuş. Nadiren de ziyaretçinin cihaz saati yanlıştır; birden çok cihazda görülüyorsa sorun sitededir.
• NET::ERR_CERT_COMMON_NAME_INVALID — sertifika başka bir ada ait. En sık sebep, www’li ve www’siz adreslerden birinin sertifikada olmamasıdır.
• NET::ERR_CERT_AUTHORITY_INVALID — sertifikayı tarayıcının güvendiği bir kuruluş imzalamamış: kendinden imzalı bir sertifika ya da sunucuda eksik bırakılmış ara sertifika.
• Karışık içerik — sayfa HTTPS ile açılıyor ama içindeki bir görsel ya da betik HTTP’den geliyor. Tarayıcı bunları ya HTTPS’e yükseltir ya da engeller; sayfa bozuk görünebilir.

Ziyaretçi için iki aile de aynı anlama gelir: bu siteye bilgi bırakma. Bir teklif formu ya da yabancı bir alıcının ilk ziyareti bu ekranda biter.

Chrome 154 HTTP siteler için ne değiştirdi?

Chrome 154, 22 Eylül 2026’da kararlı sürüme çıktı ve «Her zaman güvenli bağlantı kullan» ayarını varsayılan olarak açtı. Google’ın açıklamasına göre Chrome artık HTTPS sunmayan herkese açık bir siteye ilk kez girilirken, sayfayı açmadan önce kullanıcıdan izin istiyor. Mekanizma 2023’ten beri yerinde: Chrome bir http adresini önce kendiliğinden https ile açmayı dener, HTTPS çalışmazsa (sertifika geçersizse ya da sunucu HTTPS sunmuyorsa) http’ye döner; Chrome 154 bu dönüşün önüne izin sorusunu koydu. Kullanıcı devam edebilir; düzenli ziyaret ettiği bir sitede uyarı tekrarlanmaz, yeni ya da uzun süredir ziyaret edilmemiş sitede çıkar. Yerel ağ adresleri ve tek kelimelik iç adresler kapsam dışında; kurumlar bu davranışı yönetim politikasıyla değiştirebilir.

Site sahibi için sonucu şudur: HTTPS’i hiç çalışmayan ya da sertifikası geçersiz olan bir site, her yeni ziyaretçisini bir uyarı ekranıyla karşılıyor. Yeni ziyaretçi, bir sitenin en çok kaybedemeyeceği ziyaretçidir: teklif isteyecek alıcı, sizi ilk kez arayan müşteri.

Sertifika ömrü neden kısalıyor?

Tarayıcı üreticileri ile sertifika kuruluşlarının ortak kurulu CA/Browser Forum, Nisan 2025’te kabul ettiği bir kuralla bir TLS sertifikasının en uzun geçerlilik süresini adım adım kısaltıyor. Takvim sertifikanın düzenlendiği güne göre işliyor:

• 15 Mart 2026’dan önce düzenlenen sertifika — en çok 398 gün (yaklaşık 13 ay).
• 15 Mart 2026’dan itibaren — en çok 200 gün.
• 15 Mart 2027’den itibaren — en çok 100 gün.
• 15 Mart 2029’dan itibaren — en çok 47 gün.

Bir TLS sertifikasının en uzun geçerlilik süresi

1. 0115 Mart 2026 öncesi · 398 gün
2. 0215 Mart 2026 · 200 gün
3. 0315 Mart 2027 · 100 gün
4. 0415 Mart 2029 · 47 gün
5. LELet’s Encrypt varsayılanı: bugün 90 · 10 Şubat 2027’den 64 · 16 Şubat 2028’den 45 gün

Aynı kural, alan adının size ait olduğunu kanıtlayan doğrulamanın tekrar kullanılabileceği süreyi de kısaltıyor; 2029’da bu süre 10 güne iniyor. Yani yenileme yalnız bir dosyayı değiştirmek değil, alan adının denetimini sık sık yeniden kanıtlamak demek. Ücretsiz sertifika veren Let’s Encrypt de kendi varsayılanını ayrıca kısaltıyor: bugün 90 gün geçerli olan sertifikaları 10 Şubat 2027’den itibaren 64 gün, 16 Şubat 2028’den itibaren 45 gün geçerli olacak.

«Yıllık SSL sertifikası» almak hâlâ işe yarar mı?

Bir yıllık ya da çok yıllık bir SSL ürünü satın almak hâlâ mümkün; ama 15 Mart 2026’dan beri tek bir sertifika en çok 200 gün geçerli. Satın alınan «yıllık» ürün yıl içinde en az iki kez yeniden düzenlenip sunucuya kurulmalı; 15 Mart 2027’den sonra en az dört kez, 2029’dan sonra yılda en az sekiz kez. Elle yapılan her kurulum, unutulduğu gün süresi dolmuş bir sertifika ve «bağlantınız gizli değil» ekranı demek.

Bu yüzden asıl soru sertifikanın fiyatı değil, yenilemenin kimde ve nasıl yapıldığı. Kısalan ömür, elle yenilemeyi pratik olarak bitiriyor.

Otomatik yenileme nasıl kurulur?

Sertifikayı otomatik yenilemenin standart yolu ACME protokolü: sunucudaki bir yazılım sertifikayı süresi dolmadan ister, alan adını doğrular ve yenisini kurar. Let’s Encrypt, ZeroSSL ve Google Trust Services bu yolla ücretsiz sertifika veriyor; birçok barındırma panelinde bu iş otomatik sertifika özelliğiyle hazır geliyor, Cloudflare gibi içerik dağıtım ağları da kendi kenar sertifikalarını kendileri yeniliyor.

• Sertifikayı kim yeniliyor? Barındırma şirketi, içerik dağıtım ağı, siteyi yapan ajans ya da siz — tek bir cevap yazılı olmalı.
• Yenileme otomatik mi? Otomatik değilse 2027 takviminde yılda en az dört el işi demek.
• Yenileme başarısız olursa kim haberdar oluyor? Uyarı e-postası kimsenin okumadığı bir adrese gidiyorsa otomatik yenileme sessizce durabilir.
• Sertifika bütün adları kapsıyor mu? www’li ve www’siz adres ile kullanılan alt alan adları sertifikada olmalı.
• Bitiş tarihini dışarıdan izleyen biri var mı? Sertifikanın kalan gününü düzenli kontrol etmek, ziyaretçiden önce fark etmenin tek yolu.

HTTP adresi HTTPS’e yönleniyor mu?

Sertifika geçerli olsa bile sitenin http adresi https adresine tek adımda yönlenmeli ve tarayıcıya siteyi yalnız HTTPS ile açmasını söyleyen HSTS başlığı gönderilmeli. Chrome bir http adresini kendisi https’e yükseltmeyi dener; ama eski bağlantılar, başka tarayıcılar ve arama motorları için yönlendirme şart. Yönlendirmenin sunucuda nasıl yazılacağı HTTPS ve www yönlendirmesi rehberinde.

Türk sitelerinde durum ne?

8 Kasım 2026’da Türkiye’nin en çok ziyaret edilen 500 .tr sitesini, büyük ihracatçıların sitelerini ve rastgele seçilen .com.tr sitelerini ölçtük. Chrome 154’te uyarıyla açılacak site oranı bu üç grupta %1, %2 ve %8; http adresi https’e yönlenmeyen site oranı %9, %18 ve %22. Asıl iş 15 Mart 2027’de: bugün 100 günden uzun sertifika kullanan site oranı %65, %41 ve %13. Yöntem ve bütün sayılar ölçüm yazısında.

Teklifte ve sözleşmede ne yazmalı?

Sertifika bir kez kurulup unutulan bir kalem değil, sitenin yıllık işletme maliyetinin parçası (web sitesi fiyatını ne belirler). Bir web sitesi teklifinde yenilemenin kimin sorumluluğunda olduğu, otomatik olup olmadığı ve süresi dolmadan kimin haberdar olacağı yazılı olmalı (web tasarım teklifi nasıl okunur). Sitenin bütün güvenlik başlıkları için web sitesi güvenliği rehberi.

Kontrol listesi

• Site adres çubuğunda «Güvenli değil» gösteriyor mu? Gösteriyorsa önce HTTPS kurulmalı.
• «Bağlantınız gizli değil» ekranında hangi hata kodu var? Süre, ad ya da kuruluş — çözüm koda göre değişir.
• Sertifikanın bitiş tarihi ve ömrü ne? 100 günden uzunsa 15 Mart 2027’den sonra yenileme düzeni değişecek.
• Yenileme otomatik mi, kim yapıyor, başarısız olursa kim haberdar oluyor?
• www’li ve www’siz adres ile alt alan adları sertifikada mı?
• http adresi tek adımda https’e gidiyor mu, HSTS başlığı var mı?

Bu kontroller bir sitenin teslim listesinde yer alır; web tasarım ve geliştirme işinde sertifika ve yönlendirme yayından önce ölçülür.

Bu soruların cevabını kendi sitenizde görmek isterseniz kurumsal web tasarım tasarımı, kodu ve teknik SEO’yu aynı elden, ölçülebilir bir bütçeyle teslim eder.