TTPS, TLS ve Sertifikalar Gerçekte Neye Yarar?

HTTPS, çoğu kullanıcı için tarayıcıdaki küçük bir kilit simgesinden ibarettir. Oysa HTTPS; şifreleme, kimlik doğrulama ve veri bütünlüğü sağlayan, internetin güvenlik omurgalarından biridir. Bu yazı, HTTPS’in neyi çözdüğünü ve neyi çözmediğini teknik gerçekler üzerinden açıklar.

HTTP Neden Yetersizdi?

HTTP (Hypertext Transfer Protocol) varsayılan olarak düz metin taşır. Bu şu anlama gelir:

Ağdaki herhangi biri trafiği okuyabilir
Veri değiştirilebilir
Sunucunun gerçekten doğru sunucu olduğu doğrulanamaz

Açık Wi-Fi ağlarında parola çalınmasının temel sebebi HTTP’nin bu yapısıdır. HTTPS bu problemi çözmek için geliştirilmiştir.

HTTPS Nedir?

HTTPS, HTTP’nin TLS (Transport Layer Security) ile şifrelenmiş hâlidir. Yani HTTPS yeni bir protokol değil, HTTP’nin güvenli bir taşıma katmanı üzerinden çalıştırılmasıdır.

HTTPS üç temel garanti sunar:

Şifreleme: Veri üçüncü kişilerce okunamaz
Bütünlük: Veri yolda değiştirilemez
Kimlik doğrulama: Sunucunun kimliği doğrulanır

TLS Nasıl Çalışır?

TLS, istemci (tarayıcı) ile sunucu arasında güvenli bir kanal kurar. Bu süreç TLS Handshake olarak adlandırılır.

Özet akış:

Tarayıcı sunucuya bağlanır
Sunucu sertifikasını gönderir
Tarayıcı sertifikayı doğrular
Ortak bir gizli anahtar üretilir
İletişim şifreli başlar

Bu süreç, milisaniyeler içinde gerçekleşir.

Dijital Sertifika Nedir?

Dijital sertifika, bir alan adının gerçekten kime ait olduğunu kanıtlayan kriptografik belgedir.

Bir sertifika şunları içerir:

Alan adı bilgisi
Sahip bilgisi
Açık anahtar
Geçerlilik süresi
İmzalayan otorite

Sertifikalar, Certificate Authority (CA) adı verilen kurumlar tarafından imzalanır.

Güven Zinciri (Chain of Trust)

Tarayıcılar yüzlerce CA’yı önceden tanır. Bir sertifika, bu güvenilir köklerden birine dayanıyorsa geçerli sayılır.

Zincir bozulursa:

Tarayıcı uyarı verir
Bağlantı güvensiz kabul edilir

Bu sistemin teknik tanımı RFC 5246 ve RFC 8446 (TLS 1.3) ile yapılmıştır.

HTTPS Neyi Çözmez?

HTTPS yaygın yanlış anlamalara sahiptir:

HTTPS siteyi “güvenli” yapmaz, sadece iletişimi güvenli yapar
Zararlı içerik HTTPS ile de dağıtılabilir
HTTPS anonimlik sağlamaz

Yani HTTPS bir ahlak denetimi değil, iletişim güvenliği mekanizmasıdır.

Neden HTTPS Zorunlu Hâle Geldi?

Parola ve kişisel veri güvenliği
Tarayıcı standartları
SEO ve kullanıcı güveni

Modern tarayıcılar HTTP siteleri artık açıkça “güvensiz” olarak işaretler. Bu bir tercih değil, altyapısal bir zorunluluktur.

Özet

HTTP tek başına güvenli değildir
HTTPS, TLS ile şifreleme sağlar
Sertifikalar kimlik doğrular
CA sistemi güven zincirini oluşturur
HTTPS güvenlik değil, güvenli iletişim sağlar

HTTPS’i anlamak, internette “güvenli” kelimesinin ne anlama geldiğini doğru yorumlamayı sağlar.