SSL Sertifikası Nedir? DV, OV, EV Farkları ve Doğru Seçim Rehberi

SSL Sertifikası Nedir?

Bir web sitesine girdiğinizde adres çubuğunda gördüğünüz https ifadesi ve kilit ikonu aslında arka planda çalışan bir güvenlik mekanizmasının sonucu: SSL/TLS sertifikası. Teknik adıyla TLS, ama yıllardır alıştığımız isimle SSL diyoruz ve sektörde hâlâ böyle anılıyor. Temel olarak SSL sertifikası, tarayıcınız ile sunucu arasında giden gelen verileri şifreleyen, aynı zamanda bağlandığınız alan adının gerçekten doğru sunucuya işaret ettiğini kanıtlayan dijital bir kimlik kartıdır.

Bugün basit bir kişisel blogdan kurumsal web sitelerine, e-ticaret projelerinden SaaS platformlarına kadar SSL sertifikası olmayan bir siteyi ciddiye almak neredeyse imkânsız. Tarayıcı uyarıları, SEO etkisi, KVKK ve ödeme güvenliği gibi konular işin içine girdiğinde, doğru SSL türünü seçmek kritik bir karar haline geliyor. Bu yazıda, sistem yöneticisi ve girişimci olarak kendi projelerimde kullandığım yaklaşımı baz alarak, SSL sertifikasının ne olduğunu, DV/OV/EV türleri arasındaki farkları ve hangi senaryoda hangisini tercih etmeniz gerektiğini adım adım anlatacağım.

SSL Sertifikası Temel Mantığı: Ne Yapar, Nasıl Çalışır?

SSL sertifikasını anlamanın en basit yolu, onu sunucunuzun kimlik kartı ve şifreli tünel anahtarı gibi düşünmek. Tarayıcı siteye bağlandığında şu adımlar özetle gerçekleşir:

Tarayıcı, alan adınız için tanımlı SSL sertifikasını sunucudan ister.
Sertifikada, alan adınız (veya alan adlarınız), sertifikayı veren kurum ve sertifikanın geçerlilik süresi gibi bilgiler yer alır.
Tarayıcı bu sertifikanın güvenilir bir otorite tarafından imzalanıp imzalanmadığını kontrol eder.
Her şey doğruysa tarayıcı ve sunucu arasında şifreli bir oturum anahtarı oluşturulur.
Bundan sonrası için girilen parolalar, kredi kartı bilgileri ve formlardaki tüm veriler bu tünel üzerinden şifreli gider gelir.

Özetle SSL sertifikası iki kritik işi birden yapar: kimlik doğrulama (doğru sunucuya bağlandığınızdan emin olursunuz) ve veri şifreleme (aradaki trafiği birinin okumasını neredeyse imkânsız hale getirir).

Alan adınızın güvenli mimarideki rolünü daha geniş bir çerçevede görmek isterseniz, daha önce detaylandırdığım alan adı ve hosting ilişkisi yazısına da göz atmanızı öneririm; SSL bu ilişkinin güvenlik ayağını tamamlayan parça gibi düşünebilirsiniz.

SSL Sertifikası Neden Bu Kadar Önemli?

SSL sertifikası artık yalnızca e-ticaret siteleri için bir “opsiyonel güvenlik katmanı” değil, neredeyse her site için bir zorunluluk haline geldi. Bunun birkaç temel sebebi var:

Tarayıcı uyarıları: Chrome, Firefox gibi modern tarayıcılar SSL olmayan siteleri “Güvenli değil” diye işaretliyor. Bu uyarı kullanıcı güvenini çok ciddi düşürüyor.
SEO etkisi: Google yıllardır https kullanan sitelere küçük de olsa bir sıralama avantajı verdiğini açıkça söylüyor. Yani SSL doğrudan SEO faktörlerinden biri.
KVKK ve veri gizliliği: Kullanıcıdan e-posta, telefon, adres gibi kişisel veri alıyorsanız, bu veriyi şifrelemeden iletmek KVKK açısından ciddi risk yaratıyor.
Ödeme ve üyelik sistemleri: Kredi kartı, üyelik formu, giriş paneli gibi alanların mutlaka SSL ile korunması gerekiyor.
Marka algısı: Kilit ikonu, kurumsal siteler için güven ve profesyonellik sinyali veriyor. Özellikle kurumsal müşteriler buna dikkat ediyor.

Güvenlik tarafını ciddiye alıyorsanız, SSL sertifikasını; güçlü parola politikaları, güncel yazılım ve doğru yapılandırılmış bir sunucuyla birlikte düşünmek gerekiyor. Bu noktada web hosting güvenliği için paylaştığım öneriler ve sunucu güvenliğiyle ilgili rehberler iyi bir tamamlayıcı olabilir.

DV, OV ve EV SSL Sertifika Türleri Arasındaki Farklar

Piyasada birçok farklı SSL sertifikası var ama çekirdekte üç ana doğrulama tipi üzerinden ilerliyoruz: DV (Domain Validated), OV (Organization Validated) ve EV (Extended Validation). Aralarındaki fark, sertifikayı veren kurumun sizi ne kadar detaylı doğruladığıyla ilgili.

DV (Domain Validated) SSL Nedir?

DV SSL, en temel ve en hızlı alınabilen sertifika türü. Burada sertifika otoritesi şuna bakar: “Bu alan adının kontrolü gerçekten sizde mi?”

Genelde alan adına ait e-posta adresine gelen bir onay maili,
Veya DNS kaydına eklenen bir doğrulama kaydı,
Veya web dizinine yüklenen küçük bir dosya

ile kontrol sağlanır. Hiç kimlik veya şirket evrakı istenmez. Bu yüzden DV sertifikalar:

Daha ucuz (hatta bazı sağlayıcılarda ücretsiz),
Çok daha hızlı (çoğu zaman birkaç dakika içinde),
Otomasyona çok uygun (örneğin otomatik yenileme sistemleriyle)

bir yapı sunar. Kişisel bloglar, portföy siteleri, test ortamları, küçük projeler için DV çoğu durumda yeterlidir. Önemli nokta şu: DV sertifika, yalnızca alan adının size ait olduğunu doğrular; arkasındaki şirketin kim olduğu hakkında tarayıcıya ekstra bir güven sinyali vermez.

OV (Organization Validated) SSL Nedir?

OV SSL sertifikasında doğrulama seviyesi bir kademe yukarı çıkar. Burada sertifika otoritesi sadece alan adının size ait olduğunu değil, aynı zamanda arkasındaki organizasyonun gerçekten var olduğunu da doğrular. Genelde istenenler:

Şirket unvanı ve vergi numarası,
Ticaret sicil kaydı veya resmi evraklar,
Whois ve resmi kayıtlarla çapraz kontrol,
Gerektiğinde telefonla doğrulama

OV sertifikalar tarayıcıda şirket ismini sertifika detaylarında gösterir. Eskiden adres çubuğunda daha belirgin görsel farklar vardı; modern tarayıcılar bunları sadeleştirdi ama arka planda OV hâlâ ek bir kurumsal güven katmanı demek. Kurumsal web siteleri, B2B platformlar ve resmi kurum siteleri için minimum önerim genelde OV SSL oluyor.

EV (Extended Validation) SSL Nedir?

EV SSL, doğrulamanın en sıkı yapıldığı sertifika türü. Burada amaç, özellikle finans, ödeme ve yüksek riskli alanlarda çalışan siteler için maksimum güven sinyali üretmek. EV sertifika almak için:

Detaylı şirket incelemesi,
Resmi kayıtların çoklu kaynaklardan doğrulanması,
Adres, telefon, yetkili kişi bilgisi teyidi,
Genellikle telefonla ve yazılı onay süreçleri

gibi adımlar devreye girer. Eskiden EV sertifikalarda tarayıcı adres çubuğunda şirket adını yeşil olarak gösteren bir şerit vardı; bugün bu kadar görünür olmasa da özellikle bankalar, büyük e-ticaret siteleri ve ödeme sağlayıcıları EV kullanarak hem regülasyonlara hem de kullanıcı beklentilerine cevap veriyor.

Özetlersek; DV teknik olarak şifreleme açısından yeterli olsa da, OV ve EV kimlik doğrulama seviyesini yükselterek itibar ve güven inşa etmenize yardımcı olur.

Tek Alan Adı, Wildcard ve Multi-Domain (SAN) Sertifikalar

DV–OV–EV ayrımı doğrulama seviyesiyle ilgiliyken, bir de hangi alan adlarını kapsadığına göre farklı SSL türleri var:

Single Domain SSL: Sadece tek bir alan adını veya alt alan adını kapsar. Örneğin sadece www.ornek.com veya sadece blog.ornek.com.
Wildcard SSL: Belirli bir alan adının tüm alt alanlarını kapsar. Örneğin *.ornek.com şeklinde bir wildcard sertifika ile www.ornek.com, api.ornek.com, panel.ornek.com gibi tüm birinci seviye subdomain’leri koruyabilirsiniz.
Multi-Domain (SAN/UCC) SSL: Birden fazla farklı alan adını tek sertifikada toplar. Örneğin ornek.com, ornek.net, ornek.org ve shop.ornek.com gibi.

Bu yapıların her biri DV, OV veya EV seviyesinde alınabilir. Çok sayıda alt alan adı kullanan projelerde wildcard; birden fazla markayı veya alan adını yöneten yapılarda multi-domain sertifikalar ciddi yönetim kolaylığı sağlar.

Hangi Tür SSL Sertifikası Sizin İçin Uygun?

Şimdi işin en çok sorulan kısmına gelelim: “Benim projem için hangi SSL türü mantıklı?” Kendi projelerimde ve müşterilerimde izlediğim yaklaşımı, senaryolar üzerinden paylaşayım.

Kişisel Blog, Portföy ve Küçük Projeler

Eğer basit bir kişisel blog, portföy sitesi veya giriş seviyesinde bir içerik sitesi yönetiyorsanız, genelde DV SSL sertifikası fazlasıyla yeterli olur. Burada amaç:

Tarayıcıda “Güvenli değil” uyarısından kurtulmak,
Okuyucuların verilerini (iletişim formları, yorumlar) korumak,
Temel SEO avantajını yakalamak.

Pek çok DCHost.com/tr/web-hosting”>Hosting paneli ve DCHost gibi sağlayıcılar, Let’s Encrypt veya benzeri ücretsiz DV sertifikalarını tek tıkla kurup otomatik yenileyebiliyor. Özellikle WordPress kullanıyorsanız, SSL kurulumunu tamamladıktan sonra WordPress güvenliğini artırmak için paylaştığım ipuçları ile birlikte düşünmeniz daha sağlıklı bir yapı oluşturur.

Küçük ve Orta Ölçekli İşletmeler

Eğer şirketinizin kurumsal web sitesini yönetiyorsanız ve sitede; iletişim formları, referanslar, hizmet detayları, teklif talep alanları gibi bölümler varsa, burada tavsiyem genelde en azından OV SSL kullanmanız yönünde oluyor. Neden?

Şirketinizin gerçekten var olduğunun tarayıcıya ve kullanıcılara ispatı,
Kurumsal imaj ve profesyonellik algısına katkı,
B2B ilişkilerde, özellikle teknik ekiplerin dikkat ettiği bir detay olması.

Tabii bütçe kısıtlıysa, DV ile başlamak da bir çözümdür; fakat uzun vadede kurumsal yapıyı güçlendirmek için OV’ye geçiş mantıklı bir yatırım olur.

E-Ticaret Siteleri ve Ödeme Alan Platformlar

İş kredi kartına, online ödeme sistemlerine ve hassas müşteri verilerine geldiğinde çıtayı biraz daha yükseltmek gerekiyor. E-ticaret projeleri, rezervasyon sistemleri, abonelik tabanlı ödeme alan SaaS platformları için ideal senaryo genelde:

En az OV SSL,
Bütçe ve regülasyon izin veriyorsa EV SSL.

Burada SSL tek başına mucize yaratmıyor; PCI-DSS uyumluluğu, güvenli yazılım geliştirme süreçleri ve doğru sunucu yapılandırması da şart. Fakat kullanıcı gözünde adres çubuğundaki kilidin arkasında bir şirket adı görmek, özellikle yeni markalar için ciddi bir güven sinyali oluyor.

SaaS, API ve Çok Sayıda Alt Alan Adı Kullanan Projeler

Bir SaaS ürünü geliştiriyor, müşteri başına alt alan adı açıyor veya mikro servis mimarisiyle çalışan çok sayıda subdomain yönetiyorsanız, burada genelde wildcard veya multi-domain sertifika kullanmak daha mantıklı:

Wildcard SSL: müşteri1.ornek.com, musteri2.ornek.com, api.ornek.com gibi yapılarınız varsa yönetim maliyetini ciddi azaltır.
Multi-domain SSL: farklı markalara veya ürünlere ait alan adlarını tek sertifikada toplamanıza izin verir.

Altyapınızda ters proxy, yük dengeleme veya mikro servis mimarisi varsa, wildcard ve SAN sertifikaların avantaj/dezavantajlarını iyi analiz etmek gerekir. Bu noktada veri merkezi mimarisi tarafında anlattığım veri merkezlerinde yedeklilik yaklaşımıyla birlikte düşünmek, tasarımı daha bütüncül kurmanıza yardım eder.

SSL Kurulumu ve Yönetimi: Pratik İpuçları

SSL türünü seçtiniz, peki iş burada bitiyor mu? Maalesef hayır. Yanlış yapılandırılmış bir SSL, hiç olmamasından bile kötü sonuçlar doğurabiliyor. Kendi projelerimde izlediğim pratik adımları özetleyeyim.

CSR, Özel Anahtar ve Panel İşlemleri

Çoğu zaman süreç şu şekilde ilerler:

Sunucunuzda veya hosting panelinizde bir CSR (Certificate Signing Request) oluşturursunuz.
Bu işlem sırasında özel bir anahtar (private key) üretilir; bu dosyayı çok iyi korumanız gerekir.
CSR’ı sertifika sağlayıcınıza iletir, sertifika doğrulamasını tamamlarsınız.
Size dönen sertifika dosyalarını panelinize veya sunucunuza yükleyerek kurulumu tamamlarsınız.

DCHost gibi yönetilebilir paneller sunan sağlayıcılarda bu süreç genelde birkaç tıklama ile otomatikleştirilebiliyor. Özellikle Let’s Encrypt veya benzeri ücretsiz sertifikalarda, otomatik yenileme cron’larının çalıştığından emin olmak işleri çok rahatlatıyor.

HTTP’den HTTPS’e Yönlendirme ve HSTS

SSL’i kurduktan sonra yapılması gereken en kritik adım, tüm trafiği HTTPS’e zorunlu yönlendirmek:

Web sunucunuzda (Apache, Nginx vb.) 80 numaralı porttan gelen tüm istekleri 301 ile https’e yönlendirin.
Uygulamayı https:// tabanlı URL’lerle çalışacak şekilde yapılandırın.
Güvenlik seviyesini artırmak için HSTS (HTTP Strict Transport Security) başlığını etkinleştirmeyi düşünün; böylece tarayıcı siteye her zaman sadece https üzerinden bağlanmayı öğrenir.

Otomatik Yenileme ve İzleme

Gerçek hayatta en sık gördüğüm problem şu: Sertifika süresi doluyor, kimsenin haberi olmuyor, site bir anda “Güvenli değil” uyarısı vermeye başlıyor. Bunu yaşamamak için:

SSL bitiş tarihini takip eden basit bir izleme (monitoring) sistemi kurun.
Otomatik yenileme sunan sistemleri (özellikle DV sertifikalarda) tercih edin.
Yenileme sürecini mutlaka dökümante edin; ekip değişse bile bilgi kaybolmasın.

Sunucu tarafında güvenliği bir bütün olarak ele almak için, SSL yapılandırmasını sunucu güvenliği rehberleri ile birlikte değerlendirmenizi öneririm.

SSL ile İlgili Sık Yapılan Hatalar

Sahada gördüğüm ve zaman zaman müşterilerin başını ağrıtan hataları da kısaca listelemek istiyorum; belki siz de birini fark edip erkenden önlem alırsınız.

Yalnızca giriş sayfasına SSL koymak: Tüm siteyi https’e geçirmeden, sadece giriş veya ödeme sayfasını korumak eskide kaldı. Modern tarayıcılar artık tüm siteyi değerlendiriyor.
Karışık içerik (mixed content): Sayfa https ile açılıyor ama içindeki görsel, JS veya CSS dosyalarından bazıları http üzerinden çağrılıyorsa, tarayıcı uyarı gösteriyor. Tema ve eklentileri kontrol etmek şart.
Eski protokol ve şifre paketleri: TLS 1.0/1.1 gibi eski sürümleri açık bırakmak, zayıf şifre paketlerini devre dışı bırakmamak güvenlik taramalarında kırmızı bayrak olarak karşınıza çıkar.
Self-signed sertifika ile canlıya çıkmak: Test ortamında sorun değil ama canlı sitede kendi imzaladığınız sertifikayı kullanırsanız, tarayıcı kullanıcıyı sert şekilde uyarır.
Sertifika yenilemeyi unutmak: Otomatik yenileme veya takvime işlenmiş manuel bir süreç olmadan, günün birinde sertifikanın bitmesi neredeyse garanti.

Bu tür hataları minimize etmek için genel hosting altyapısını planlarken, daha önce paylaştığım hosting uzmanlarından pratik tavsiyeler yazısındaki yaklaşımı da göz önünde bulundurabilirsiniz.

Sonuç: Doğru SSL Sertifikasını Seçmek İçin Yol Haritası

Özetlemek gerekirse SSL sertifikası, hem kullanıcı güveni hem de teknik gereklilikler açısından bugün neredeyse her proje için standart bir ihtiyaç. DV, OV ve EV ayrımını; “hangi alan adları kapsanacak” sorusunu da single, wildcard ve multi-domain seçenekleriyle birlikte düşündüğünüzde, elinizde oldukça net bir karar şeması oluşuyor.

Kendi projelerimde genelde şu basit akışı kullanıyorum:

Basit blog veya kişisel site: DV SSL (mümkünse otomatik yenilemeli).
Kurumsal web sitesi: Bütçe uygunsa OV SSL, değilse DV ile başlayıp OV’ye geçiş.
E-ticaret ve ödeme sistemleri: En az OV, ideal senaryoda EV SSL.
Çoklu alt alan adı veya çoklu marka: Wildcard veya multi-domain SSL, altyapı mimarisine göre.

Altyapı tarafında ise; DCHost gibi kontrol paneli güçlü, SSL otomasyonu destekleyen bir hosting veya sunucu sağlayıcısı kullanmak işleri ciddi anlamda kolaylaştırıyor. Doğru SSL seçimi, güvenli sunucu yapılandırması ve iyi tasarlanmış alan adı stratejisi ile birleştiğinde, hem kullanıcılarınıza güven veren hem de teknik olarak sağlam bir temel kurmuş oluyorsunuz. Alan adınızın uzun vadeli stratejisi için de alan adı koruma yöntemleri yazısına mutlaka göz atın; SSL bu korumanın önemli ama tek başına yeterli olmayan bir parçası.

Eğer projeniz özel bir mimariye sahipse veya hangi SSL türünün sizin senaryonuza daha uygun olduğundan emin değilseniz, yorumlarda detayları yazın; birlikte mimariyi ve riskleri tartışalım. Özellikle veri merkezi, sunucu ve güvenlik tarafında doğru kararı ilk aşamada vermek, sizi ileride çıkabilecek birçok maliyetli problemden kurtaracaktır.