HTTPS
HTTPS (HyperText Transfer Protocol Secure), web tarayıcısı ile sunucu arasındaki veri aktarımını TLS (Transport Layer Security) protokolüyle şifreleyen HTTP sürümüdür. Aktarılan verinin üçüncü kişilerce okunmasını ve değiştirilmesini önler, sunucunun kimliğini sertifikayla doğrular. Google, HTTPS kullanımını sayfa deneyimi sinyalleri arasında değerlendirir.
Çalışma prensibi
HTTP (HyperText Transfer Protocol), web sayfalarının tarayıcı ile sunucu arasında aktarılmasını sağlayan protokoldür ve veriyi düz metin olarak iletir. HTTPS, aynı protokolün TLS katmanı üzerinden çalışan biçimidir. Bağlantı kurulurken tarayıcı ile sunucu bir el sıkışma (TLS handshake) gerçekleştirir: sunucu dijital sertifikasını sunar, tarayıcı sertifikanın güvenilir bir sertifika otoritesi tarafından verildiğini ve alan adıyla eşleştiğini doğrular, ardından iki taraf oturum boyunca kullanılacak şifreleme anahtarlarını belirler.
Bu yapı üç güvence sağlar:
- Gizlilik: Aktarılan form verileri, oturum bilgileri ve ödeme bilgileri şifrelenir.
- Bütünlük: Verinin aktarım sırasında değiştirilmesi tespit edilir; ağ üzerinde içerik veya reklam enjeksiyonu engellenir.
- Kimlik doğrulama: Kullanıcının bağlandığı sunucunun gerçekten ilgili alan adına ait olduğu sertifikayla doğrulanır.
HTTPS bağlantıları varsayılan olarak 443 numaralı portu, HTTP bağlantıları ise 80 numaralı portu kullanır. http ve https adres şemaları, Haziran 2022’de yayımlanan RFC 9110 belgesinde tanımlanır. HTTPS aktarım sırasındaki bağlantıyı korur; sunucuda depolanan verilerin şifrelenmesi ise ayrı bir güvenlik önlemidir.
Arama motorları ve tarayıcılardaki yeri
Google, 2014’te HTTPS kullanımını hafif ağırlıklı bir sıralama sinyali olarak duyurmuştur ve bu sinyal bugün sayfa deneyimi değerlendirmesinin parçasıdır. Aynı içeriğin HTTP ve HTTPS sürümleri bulunduğunda Google, geçersiz sertifika veya çelişen kanonikleştirme sinyalleri gibi bir sorun yoksa kanonik adres olarak HTTPS sürümünü tercih eder. Chrome başta olmak üzere tarayıcılar, HTTP üzerinden sunulan sayfaları adres çubuğunda “Güvenli değil” uyarısıyla gösterir; bu uyarı form içeren sayfalarda kullanıcı güvenini doğrudan etkiler. HTTP/2 ve HTTP/3 gibi daha hızlı protokol sürümleri de tarayıcılarda yalnızca şifreli bağlantılar üzerinden kullanılır.
HTTPS’e geçiş
Bir sitenin HTTPS’e taşınması; geçerli bir sertifikanın kurulmasını, tüm HTTP adreslerinin karşılık gelen HTTPS adreslerine 301 yönlendirmeyle aktarılmasını, site içi bağlantıların, canonical etiketlerinin ve XML site haritasının HTTPS adresleriyle güncellenmesini kapsar. Sayfa HTTPS üzerinden açıldığı halde görsel, betik veya stil dosyalarının HTTP üzerinden yüklenmesi karma içerik (mixed content) olarak adlandırılır; tarayıcılar bu kaynakları engelleyebilir veya güvenlik uyarısı gösterebilir. HSTS (HTTP Strict Transport Security) üst bilgisi, tarayıcıya siteyle yalnızca HTTPS üzerinden iletişim kurmasını bildirerek HTTP’ye geri düşülmesini önler.
Ölçüm ve araçlar
Sertifikanın geçerliliği ve sunucunun TLS yapılandırması Qualys SSL Labs Server Test ile denetlenir. Tarayıcı geliştirici araçlarının Güvenlik paneli bağlantının durumunu ve karma içerik uyarılarını gösterir. Google Search Console’da HTTPS raporu, dizine eklenen sayfaların HTTPS üzerinden sunulup sunulmadığını izlemek için kullanılır.