Türk sitelerinde HTTPS ve sertifika 2026: Chrome’un uyarısına ve kısalan sertifika ömrüne kaç site hazır?

Kısa sonuç

• Chrome 154’te uyarıyla açılacak site oranı (HTTPS’i çalışmayan ya da sertifikası tarayıcıda geçersiz olan) — büyük siteler %1 · ihracatçılar %2 · rastgele .com.tr %8.
• http adresi hâlâ https’e yönlenmeyen site oranı — büyük siteler %9 · ihracatçılar %18 · rastgele .com.tr %22.
• 100 günden uzun sertifika kullanan site oranı — 15 Mart 2027’den sonra bu uzunlukta sertifika düzenlenemeyecek — büyük siteler %65 · ihracatçılar %41 · rastgele .com.tr %13.
• Sertifika ömrünün medyanı (gün) — büyük siteler 199 · ihracatçılar 90 · rastgele .com.tr 90.
• HSTS başlığı olan site oranı — büyük siteler %53 · ihracatçılar %34 · rastgele .com.tr %23.

Üç grup iki ayrı riske ayrılıyor. Rastgele .com.tr sitelerinde uyarıyla açılacak site oranı en yüksek, 100 günden uzun sertifika oranı en düşük: bu sitelerde en yaygın sertifika Let’s Encrypt’in 90 günlük sertifikası. En çok ziyaret edilen sitelerde tablo tersine: bugün uyarıyla açılacak site az, yenileme düzeni 15 Mart 2027’de değişecek sertifika çok.

Örneklem ve yöntem

Üç listeyi ölçtük. Birincisi Türkiye’nin en çok ziyaret edilen 500 .tr alan adı: Tranco listesinin 6 Ekim 2026 sürümünde .tr ile biten ilk 500 ad (Makine Okunurluk Endeksi’nin listesi). İkincisi Türkiye’nin büyük ihracatçıları: TİM’in «Türkiye’nin İlk 1000 İhracatçısı 2025» listesinden il ve sektör bazında seçtiğimiz, sitesini firmanın kendi sitesi olarak doğruladığımız 154 alan adı. Üçüncüsü rastgele .com.tr siteleri: Common Crawl’un Ekim 2026 taramasının URL dizininden rastgele bloklar seçtik, bu bloklardaki .com.tr alan adlarından ilk iki listede olmayanlar arasından sabit bir tohumla 500 alan adı çektik. Ölçüm 8 Kasım 2026’da, her sitede tek kez yapıldı.

Her siteye üç istek attık, tarayıcı açmadan:

• Sitenin http adresine bir istek; yönlendirmeleri tek tek izleyip zincirin https’te mi bittiğine baktık.
• Sitenin sunduğu TLS sertifikasını okuduk: tarayıcıların güvendiği bir kuruluş zincirine bağlanıyor mu, adı siteyle uyuşuyor mu, süresi dolmuş mu, kaç gün geçerli ve kim vermiş.
• Sitenin https adresine tek bir istek; tarayıcıya siteyi yalnız HTTPS ile açmasını söyleyen HSTS başlığını aradık.

Sonuç toplu ve isimsiz; hiçbir siteyi adıyla yazmıyoruz. Oranların tabanı ulaşılabilen sitelerdir: ne http ne https isteğine yanıt vermeyen alan adları ayrıca sayıldı.

Sonuçlar

Ulaşabildiğimiz site sayısı büyük sitelerde 479, ihracatçılarda 151, rastgele .com.tr sitelerinde 492; ne http ne https isteğine yanıt vermeyen 21, 3 ve 8 alan adı oranlara girmedi.

http isteği. http isteğine yanıt veren sitelerden zinciri https’te bitenler büyük sitelerde 402 / 441, ihracatçılarda 118 / 144, rastgele .com.tr sitelerinde 368 / 470. http’de kalan sitelerin çoğunda HTTPS de çalışıyor — HTTPS’i de çalışmayan site sayısı 4, 3 ve 31. Chrome bu sitelerin adresini kendiliğinden https ile açtığı için ziyaretçi çoğunlukla uyarı görmez; ama başka tarayıcılar, eski bağlantılar ve botlar http’de kalabilir.

Uyarıyla açılacak siteler. HTTPS’i hiç kurulamayan ya da sertifikası tarayıcıda uyarı verecek biçimde geçersiz olan site sayısı büyük sitelerde 6, ihracatçılarda 3, rastgele .com.tr sitelerinde 40. Sebepler süresi dolmuş sertifika, başka bir ada ait sertifika, kendinden imzalı sertifika ve el sıkışmanın hiç kurulamaması. Chrome 154 bu sitelerin http adresini açmadan önce ziyaretçiye soruyor; https adresine gelen ziyaretçi ise «Bağlantınız gizli değil» ekranını görüyor.

Eksik ara sertifika. Bir kusur ayrıca sayılmalı: sunucunun ara sertifikayı göndermemesi. Büyük sitelerde 13, ihracatçılarda 5, rastgele .com.tr sitelerinde 5 sitede böyleydi. Chrome ve Firefox eksik ara sertifikayı çoğunlukla kendisi tamamladığı için ziyaretçi bir şey görmeyebilir; ama tamamlamayan istemciler — birçok uygulama, komut satırı aracı ve bazı botlar — bu siteye güvenli bağlantı kuramaz.

Sertifika ömrü. 100 günden uzun sertifika kullanan site sayısı büyük sitelerde 298, ihracatçılarda 58, rastgele .com.tr sitelerinde 56; bunların içinde 15 Mart 2026’dan önce düzenlenmiş, 200 günden de uzun sertifikalar 100, 26 ve 21. 15 Mart 2027’den sonra bu uzunlukta sertifika düzenlenemeyecek: bu sitelerin yenilemesi ya otomatiğe bağlanacak ya da yılda en az dört kez elle yapılacak.

Sertifikayı kim veriyor. Ücretsiz ve 90 günlük sertifika veren Let’s Encrypt’in sertifikasını kullanan site sayısı büyük sitelerde 59, ihracatçılarda 54, rastgele .com.tr sitelerinde 277. Büyük sitelerden 11 tanesinin sertifikasını TÜBİTAK Kamu Sertifikasyon Merkezi vermiş; bunların hemen hepsi kamu alan adı.

Bitmek üzere olanlar. Ölçüm günü sertifikasının bitmesine 30 günden az kalan site sayısı büyük sitelerde 46, ihracatçılarda 14, rastgele .com.tr sitelerinde 13. Otomatik yenileme çalışıyorsa bu sıradan bir durum; çalışmıyorsa bir sonraki «bağlantınız gizli değil» ekranı.

HSTS. Tarayıcıya siteyi yalnız HTTPS ile açmasını söyleyen başlık, https isteğine yanıt veren sitelerden büyük sitelerde 242, ihracatçılarda 49, rastgele .com.tr sitelerinde 100 tanesinde var.

Ölçümün sınırları

• Tek bir ölçüm anı: bir sertifika ertesi gün yenilenmiş ya da süresi dolmuş olabilir; oranlar bir dağılım değil, 8 Kasım’ın fotoğrafı.
• Ölçüm tek bir yerden yapıldı; bazı siteler ağ katmanında ülkeye ya da isteğe göre farklı yanıt verebilir. Yanıt vermeyen siteler oranlara girmedi.
• Sertifika doğrulamasını tarayıcı değil, Node.js’in TLS katmanı yaptı. Eksik ara sertifikayı Chrome ve Firefox çoğunlukla kendisi tamamlar; bu yüzden eksik zinciri tarayıcı uyarısı saymadık, ayrı yazdık — botlar, uygulamalar ve komut satırı araçları için gerçek bir kusur.
• Sertifika ömrü, sertifikanın düzenlenme ve bitiş tarihinden hesaplandı; yenilemenin otomatik mi elle mi yapıldığını dışarıdan göremeyiz. «100 günden uzun» bir sertifika, yenilemenin elle yapıldığını değil, 15 Mart 2027’den sonra o uzunlukta düzenlenemeyeceğini gösterir.
• Rastgele .com.tr örneklemi Common Crawl’un taradığı sitelerle sınırlı; hiç taranmamış siteler örneklemde yok. Sitelerin ölçeğine ya da sektörüne tek tek bakmadık.

Kendi siteniz için

Bu ölçümün kendi sitenizdeki karşılığı beş soruya iniyor; ayrıntısı siteniz «güvenli değil» diyorsa rehberinde.

• http adresiniz tek adımda https’e gidiyor mu?
• Sertifikanız kaç gün geçerli ve ne zaman bitiyor? 100 günden uzunsa 15 Mart 2027’den sonra yenileme düzeni değişecek.
• Yenilemeyi kim yapıyor, otomatik mi, başarısız olursa kim haberdar oluyor?
• Sunucunuz ara sertifikayı da gönderiyor mu?
• HSTS başlığı var mı?