E-Ticaret Siteleri İçin Hosting Seçimi: SSL, PCI-DSS ve Performans

Sharing is caring!

E-ticaret projesi için doğru hosting neden bu kadar kritik?

E-ticaret tarafında danışmanlık verdiğim projelerde en sık gördüğüm hata, hosting kararının “tasarım bittiğinde” ya da “siteyi yayına alırken” düşünülmesi. Oysa SSL, PCI-DSS uyumluluğu ve performans gereksinimleri baştan planlanmadığında; ödeme servisleriyle entegrasyon, güvenlik testleri ve hız optimizasyonu sonradan büyük maliyete dönüşüyor. Kısacası: E-ticaret altyapınız ne kadar iyi olursa olsun, altında çalışan sunucu zayıfsa, tüm yatırımınız riskte.

Bu yazıda, bir sistem yöneticisi ve girişimci gözüyle, e-ticaret siteleri için hosting seçiminde hangi teknik kriterlere bakmanız gerektiğini adım adım anlatacağım. Odak noktamız üç ana başlık olacak: SSL (ve HTTPS mimarisi), PCI-DSS uyumluluğu (yani kart verisi güvenliği) ve performans (hız, ölçeklenebilirlik ve kararlılık). Eğer daha sonra ayrıntılı bir kontrol listesiyle ilerlemek isterseniz, İngilizce bir rehber arayanlar için hazırladığım ecommerce hosting gereksinimleri checklist’ine de göz atabilirsiniz.

Amacım seni marka ismi bombardımanına tutmak değil; tam tersine, hangi soruları sorman gerektiğini, hangi logları ve raporları talep edebileceğini göstermek. İstersen küçük bir butik mağaza, istersen yüksek trafikli bir pazar yeri kuruyor ol; bu temelleri doğru kurarsan ileride ölçeklenmek çok daha kolay olacak.

SSL sertifikası: Sadece adres çubuğundaki kilit değil

E-ticaret tarafında SSL konusu çoğu zaman “Let’s Encrypt mi, ücretli SSL mi?” seviyesinde tartışılıyor. Aslında mesele sadece sertifikanın kendisi değil; SSL’in nasıl kurulduğu, hangi protokol ve şifre paketleriyle çalıştığı ve HTTPS’e geçiş sürecinin SEO’ya zarar vermeden yönetilip yönetilmediği.

Hangi SSL türü e-ticaret için daha mantıklı?

Teknik olarak üç temel SSL türü var: DV (Domain Validation), OV (Organization Validation) ve EV (Extended Validation). Basitleştirirsek:

• DV SSL: Sadece alan adının kontrol edildiği, otomatik ve hızlı verilen sertifikalar. Let’s Encrypt bu kategoride.
• OV SSL: Firma bilgileri (ünvan, adres vb.) doğrulanır. Ticari işletmeler için daha kurumsal bir izlenim verir.
• EV SSL: Genişletilmiş doğrulama, daha kapsamlı şirket incelemesi. Tarayıcıların adres barını eskisi kadar yeşile boyamasa da, hukuki ve güven algısı açısından en üst seviye.

Küçük ölçekli, sadece sanal POS ve ödeme kuruluşu entegrasyonları kullanan bir e-ticaret sitesi için genelde iyi yapılandırılmış bir DV veya OV SSL yeterli oluyor. Ancak yüksek cirolu, B2B odaklı ya da kurumsal imajın çok önemli olduğu projelerde EV tercih edildiğini sık görüyorum.

SSL türleri arasındaki farklar hakkında daha teknik bir açıklama istersen, DV, OV, EV SSL farklarını anlattığım rehbere mutlaka göz at.

Let’s Encrypt mi, ücretli SSL mi?

Benim sahada gördüğüm, pek çok KOBİ e-ticaret sitesinin Let’s Encrypt ile gayet sağlıklı şekilde çalıştığı. Buradaki kritik nokta:

• Otomatik yenileme (cron veya panel üzerinden) sorunsuz mu?
• Staging / test ortamlarında da HTTPS tutarlı şekilde ayarlı mı?
• HTTP’den HTTPS’e redirect kuralları doğru mu?

Daha gelişmiş garanti ve destek istiyorsan, ücretli bir OV/EV sertifika mantıklı olabilir. Ücretsiz ve ücretli SSL’in artı-eksi taraflarını ayrıntılı anlattığım Let’s Encrypt vs ücretli SSL yazısına da göz atmanı öneririm.

HTTPS geçişi ve teknik ince ayarlar

SSL’i kurmak, işin sadece ilk adımı. E-ticaret özelinde şunlara dikkat etmelisin:

• Zorunlu HTTPS: Tüm trafiği HTTP’den HTTPS’e 301 yönlendirme ile taşı.
• TLS sürümü: En az TLS 1.2, tercihen TLS 1.3 aktif olmalı; TLS 1.0/1.1 kapalı olsun.
• Güvenli şifre paketleri: Eski, zayıf cipher’lar devre dışı bırakılmalı.
• HSTS: Tarayıcıya “bu siteye hep HTTPS üzerinden bağlan” demek için HSTS kullan.

SEO tarafında sorun yaşamadan HTTPS’e geçmek için daha önce detaylı bir rehber hazırlamıştım; adım adım ilerlemek istersen HTTP’den HTTPS’ye geçiş rehberine bakabilirsin.

PCI-DSS uyumluluğu: Ödeme tarafında sorumluluklar

PCI-DSS (Payment Card Industry Data Security Standard), kısaca kart verisiyle çalışan herkes için geçerli güvenlik standartları seti. Birçok kişi “Ödeme altyapısını X firmadan alıyorum, ben sorumlu değilim” diye düşünüyor; maalesef öyle değil. Hangi SAQ türüne (Self Assessment Questionnaire) girdiğine göre, hem e-ticaret sitenin hem de hosting ortamının uyması gereken kurallar var.

Ödeme akışı mimarisi PCI kapsamını değiştirir

Kabaca üç yaygın senaryo var:

1. Yönlendirmeli ödeme (redirect): Kullanıcı ödeme sayfasında ödeme kuruluşunun alan adına yönlenir. Kart verisi senin sunucuna dokunmaz. PCI kapsamın daha düşük.
2. iFrame / hosted fields: Kart alanı teknik olarak ödeme kuruluşunun sunucusundan gelir; senin sayfanda gömülü durur. Yine PCI kapsamı görece hafif.
3. On-site ödeme (tam entegrasyon): Kart formu tamamen senin sunucunda, genelde API ile ödeme kuruluşuna istek atarsın. Burada PCI sorumluluğun maksimum seviyede.

Çoğu KOBİ için redirect veya iFrame tabanlı çözümler yeterli ve daha düşük riskli. Kendi kart saklama altyapını kurmak, ciddi maliyet ve operasyon gerektiriyor; özellikle PCI-DSS’nin loglama, ağ segmentasyonu, zafiyet taramaları gibi maddeleri epey zahmetli.

Hosting tarafında aranması gereken PCI özellikleri

Eğer PCI-DSS kapsamın yüksekse veya bankalar senden regüler test raporları talep ediyorsa, hosting ortamında özellikle şunlara bakmalısın:

• Güvenli ağ mimarisi: Web sunucusu, veritabanı, admin panel ve yönetim erişimleri mantıklı şekilde segment edilmiş mi?
• WAF (Web Application Firewall): SQL injection, XSS, brute force gibi ataklara karşı uygulama katmanı güvenliği var mı?
• Loglama ve saklama: Erişim logları, hata logları ve güvenlik logları en az 1 yıl saklanıyor mu? Arşiv politikası net mi?
• Düzenli zafiyet taraması: İç ve dış ağlara yönelik otomatik vulnerability scan’ler yapılıyor mu?
• Yedekleme politikası: Yedekler şifreli mi, başka bir lokasyonda tutuluyor mu, geri dönüş testleri yapılıyor mu?

Burada sadece “PCI uyumlu sunucu” ibaresine kanmamak gerekiyor. Sunucu yönetimi senden sorumluyken, kağıt üzerinde PCI olan bir altyapı kullanman da tek başına yeterli değil. Özellikle VPS veya Dedicated Sunucu kullanıyorsan, işletim sistemi güncellemeleri, firewall kuralları, SSH güvenliği gibi başlıkların sorumluluğu da sende oluyor.

Performans gereksinimleri: Hız, ölçeklenebilirlik ve kararlılık

E-ticaret siteleri için performans, sadece “site hızlı açılsın” demek değil. Gerçek hayatta planlama yaparken üç şeye bakıyorum:

• İlk byte süresi (TTFB): Sunucunun isteğe cevap verme hızı.
• Eşzamanlı oturum kapasitesi: Aynı anda kaç kişi sorunsuz alışveriş yapabiliyor?
• Yoğun kampanya dönemleri: İndirimler, reklam kampanyaları, influencer işbirlikleri gibi ani trafik artışları.

Donanım kaynakları: CPU, RAM, disk ve ağ

Performans planlarken önce şunlara bakmak gerekiyor:

• CPU: PHP tabanlı e-ticaret altyapılarında (WooCommerce, OpenCart, Magento vb.) CPU çekirdeği sayısı ve saat hızı kritik. Tek çekirdeğe abanmış, kalabalık Paylaşımlı hosting’ler yoğunlukta boğulabiliyor.
• RAM: PHP-FPM, cache sistemleri (Redis, Memcached), veritabanı (MySQL/MariaDB) gibi bileşenler RAM yer. Yetersiz RAM, diske swap atılmasına ve ciddi yavaşlamaya neden olur.
• Disk: Tercihen NVMe SSD kullanmak büyük fark yaratıyor. Random I/O performansı, ürün listeleme ve sepet işlemlerinde çok hissediliyor.
• Ağ kapasitesi: Özellikle görsel ağırlıklı sitelerde outbound trafik yüksek olabilir; port kapasitesi ve network kalitesi önemli.

Yoğun trafikli projelerde ben genelde iyi optimize edilmiş bir VPS veya dedicated sunucu ile başlıyorum; yönetimli (managed) hizmet alındığında, izleme ve ölçeklendirme işi de büyük ölçüde kolaylaşıyor. Bu noktada DCHost gibi yönetimli VPS ve özel e-ticaret barındırma hizmeti sunan sağlayıcılar, teknik bilgin sınırlıysa işini ciddi anlamda hafifletebilir.

Web sunucusu ve protokoller: LiteSpeed, Nginx, HTTP/2, HTTP/3

“Aynı donanımda, farklı web sunucuları neden bu kadar farklı performans veriyor?” sorusunu sahada çok sık duyuyorum. Apache, Nginx ve LiteSpeed kıyaslamasını detaylı yaptığım LiteSpeed, Nginx ve Apache karşılaştırması yazısında gördüğün gibi, özellikle eşzamanlı bağlantı sayısı arttıkça fark açılıyor.

Modern bir e-ticaret projesi için şunları özellikle öneriyorum:

• HTTP/2 ve mümkünse HTTP/3 (QUIC) desteği: Tek bağlantı üzerinden birden çok isteğin paralel gitmesini sağlar, özellikle çok statik dosya (CSS, JS, görsel) yüklenen sayfalarda farkı hissedersin.
• HTTP/2 Push yerine HTTP/3 + iyi cache stratejisi: Artık birçok tarayıcı push’tan uzaklaşırken, HTTP/3 desteği öne çıkıyor.

HTTP/2 ve HTTP/3 hakkında daha teknik bilgiye ihtiyacın varsa, detayları HTTP/2 ve HTTP/3 desteği rehberinde anlattım.

CDN ve cache stratejileri

Statik içeriklerin (CSS, JS, görsel, font vb.) kullanıcıya daha yakın bir noktadan sunulması için bir CDN (Content Delivery Network) kullanmak e-ticaret tarafında neredeyse zorunlu hale geldi diyebilirim. Özellikle ulusal veya global satış yapıyorsan, tek bir veri merkezinden her yere yayın yapmak yerine, CDN üzerinden dağıtım büyük hız kazandırıyor.

CDN’in çalışma mantığını ve paylaşımlı hosting’de bile nasıl ciddi hız kazandırabildiğini CDN ile web sitesi hızlandırma rehberimde adım adım anlattım.

Buna ek olarak sunucu tarafında da şu cache katmanlarını kurgulamak önemli:

• OPcache: PHP kodunun bytecode seviyesinde önbelleğe alınması.
• Object cache: Redis veya Memcached ile sorgu sonuçlarını ve oturum verilerini tutma.
• Full-page cache: Kategori ve ürün listeleme sayfalarının, sepet ve checkout hariç, statik olarak önbelleğe alınması.

Doğru kurgulanmış bir CDN + cache mimarisi, zaman zaman CPU ve RAM yükseltmesinden bile daha fazla performans kazancı sağlayabiliyor.

E-ticaret için uygun hosting türleri: Paylaşımlı, VPS, dedicated

Buraya kadar SSL, PCI-DSS ve performans gereksinimlerini konuştuk. Peki hangi hosting türü senin için daha mantıklı?

Paylaşımlı hosting: Küçük projeler için başlangıç noktası

Yeni başlayan, az ürünlü ve düşük trafikli bir e-ticaret sitesi için iyi yapılandırılmış bir paylaşımlı hosting başlangıçta yeterli olabilir. Özellikle:

• Stoklu fiziksel ürün yerine dijital ürün satıyorsan,
• Yoğun kampanya planların yoksa,
• PCI kapsamın yalnızca yönlendirmeli ödeme ile sınırlıysa,

kaynak paylaşımının getirdiği kısıtlar seni hemen rahatsız etmeyebilir. Ancak burada hosting sağlayıcının güvenlik (izolasyon, güncelleme, WAF) ve performans (I/O, CPU limiti, bellek) politikaları kritik.

VPS / Bulut sunucu: Büyüyen projeler için kontrol + esneklik

Trafik arttıkça, özelleştirilmiş ayarlar gerektikçe ve PCI gereksinimleri ağırlaştıkça, bir noktada VPS veya bulut sunucuya geçiş kaçınılmaz oluyor. Paylaşımlı hosting’den ne zaman ayrılman gerektiğini, gerçek senaryolarla paylaşımlı hosting’den VPS’e geçiş rehberinde detaylı anlattım.

VPS tarafında karar vermen gereken iki kritik konu var:

• Managed (yönetimli) mi, unmanaged (yönetimsiz) mi? Teknik bilgin sınırlıysa veya ekipte sistem yöneticisi yoksa, yönetimli hizmet almak hem güvenlikte hem performansta çok fark ettiriyor.
• Veri merkezi ve lokasyon seçimi: Hedef kitlene en yakın veri merkezini seçmek, hem hız hem SEO’da avantaj sağlıyor.

Bu noktada DCHost gibi yönetimli VPS ve özel e-ticaret altyapısı sunan sağlayıcılar, patch yönetimi, izleme, yedekleme ve güvenlik duvarı gibi işleri üstlenerek senin daha çok işine ve pazarlamana odaklanmanı sağlayabilir. Teknik ekibin güçlüyse ve sunucu yönetimini kendin yapmak istiyorsan, unmanaged VPS de mantıklı; ama sorumluluğun büyük kısmının sende olacağını unutmamalısın.

Dedicated / fiziksel sunucu: Yüksek hacimli ve kurumsal projeler

Aşırı yüksek trafik, yoğun entegrasyon (ERP, muhasebe, depo, OMS vb.) ve sıkı regülasyon gerektiren projelerde, izole bir fiziksel sunucu veya cluster mimarisi tercih edilebiliyor. Burada:

• Donanım tamamen sana ait olduğu için tam izolasyon avantajın var.
• PCI kapsamı, ağ mimarisine göre daha net çizilebiliyor.
• Ancak donanım yönetimi ve bakım maliyeti yükseliyor.

Çoğu KOBİ için iyi optimize edilmiş, ölçeklendirilebilir bir VPS veya bulut mimarisi yeterli oluyor. Dedicated genelde “artık gerçekten ihtiyaç var” noktasında devreye giriyor.

Güvenlik ve izleme: Sadece donanım değil, operasyon

Şunu net söyleyeyim: Ne kadar iyi donanım alırsan al, üzerine doğru operasyonu kurmadıysan güvenlik ve performans sorunları yaşamaya devam edersin. E-Ticaret Hosting seçiminde şu operasyonel başlıkları özellikle sorgulamanı öneririm:

• WAF ve saldırı önleme: ModSecurity gibi WAF kuralları, bruteforce koruması, rate limiting, admin panel koruması.
• Güncelleme politikası: İşletim sistemi, web sunucusu, PHP, veritabanı, panel yazılımları ne sıklıkla güncelleniyor?
• İzleme ve alarmlar: CPU, RAM, disk, I/O, HTTP hata kodları, SSL süresi vb. için proaktif izleme var mı?
• Yedekleme ve geri dönüş testleri: Sadece yedek almak değil, geri dönüş senaryolarının düzenli test edilmesi.
• Günlük (log) yönetimi: Log rotasyonu, saklama süresi, merkezi loglama (gerekirse SIEM entegrasyonu).

Bu noktada, eğer VPS veya dedicated sunucu kullanacaksan mutlaka temel sunucu güvenliği konularına hakim olmanı öneririm. Başlangıç seviyesinden ileri seviyeye doğru adım adım ilerlemek için blogda yer alan VPS sunucu yönetimi rehberi sana iyi bir temel sağlayacaktır.

Adım adım e-ticaret hosting seçimi için checklist

Tüm bu bilgiler arasından “Ben şimdi pratikte ne yapacağım?” diye soruyorsan, aşağıdaki kontrol listesiyle kendi projen üzerinde ilerleyebilirsin:

1. İhtiyaç analizi yap: Beklenen aylık ziyaretçi sayısı, eşzamanlı kullanıcı, ürün sayısı, kampanya sıklığı, entegrasyonlar (ERP, kargo, muhasebe vb.).
2. Ödeme mimarini belirle: Redirect, iFrame veya on-site ödeme mi kullanacaksın? Buna göre PCI kapsamını kabaca çıkar.
3. Hosting türünü seç: Küçük projeler için paylaşımlı, büyüyen ve özelleştirme isteyen projeler için VPS, çok yüksek hacim için dedicated düşün.
4. SSL stratejini belirle: DV/OV/EV tercihini yap, Let’s Encrypt mi ücretli sertifika mı karar ver. Yenileme ve HSTS ayarlarını netleştir.
5. Performans bileşenlerini sorgula: CPU, RAM, NVMe SSD, HTTP/2/HTTP/3 desteği, web sunucusu türü (LiteSpeed/Nginx/Apache), cache ve CDN imkanları.
6. Güvenliği netleştir: WAF, firewall, güncelleme politikası, zafiyet taramaları, loglama ve yedekleme süreçlerini hosting sağlayıcınla detaylı konuş.
7. İzleme ve ölçeklendirme planı yap: Trafik arttığında (kampanyalar, reklam dönemleri) kaynakları nasıl hızlı artırabileceğini önceden planla.
8. Sözleşme ve SLA incele: Çalışacağın firmanın SLA (uptime garantisi), destek kanalları ve yanıt sürelerini mutlaka yazılı olarak incele.

Eğer tüm bu adımları doldururken takıldığın bir nokta olursa, blogda hem Türkçe hem İngilizce olarak yayınladığım e-ticaret hosting gereksinimleri yazısını da referans olarak kullanabilirsin.

Sonuç: Doğru hosting, e-ticaret büyümenizin sessiz ortağı

E-ticaret sitesi kurarken çoğu ekip tasarım, ürün, reklam ve pazarlamaya odaklanıyor; altyapı kararı ise “hızlıca bir hosting alalım” seviyesinde kalıyor. Aslında SSL yapısından PCI-DSS uyumluluğuna, HTTP/2/HTTP/3 desteğinden CDN ve cache mimarisine kadar verdiğin her teknik karar, dönüşüm oranlarını ve müşteri deneyimini doğrudan etkiliyor.

Benim yaklaşımım şu: Hosting ve sunucuyu bir maliyet kalemi değil, gelirini koruyan ve büyüten bir yatırım gibi görmek. Doğru planlanmış bir altyapı, yoğun kampanyalarda sitenin ayakta kalmasını, ödeme adımında sepet terk oranlarının düşmesini ve güven algısının artmasını sağlıyor. Özellikle DCHost gibi yönetimli çözümler sunan sağlayıcılarla çalıştığında, operasyonel yükün önemli bir kısmı üzerinden kalkıyor; sen de enerjini ürün ve pazarlamaya ayırabiliyorsun.

Eğer yeni başlıyorsan, bu yazıdaki checklist ile ihtiyaçlarını netleştir; mevcut bir e-ticaret siten varsa da bugünkü hosting ortamını bu kriterlere göre gözden geçir. Gerekirse küçük adımlarla başlayıp, trafiğin ve ciron büyüdükçe mimarini parça parça güçlendir. Altyapıyı doğru kurduğunda, geriye sadece daha fazla müşteri kazanmak ve deneyimi iyileştirmek kalıyor.