“Bu Site Güvenli Bir Bağlantı Sağlayamıyor” Hatası Nasıl Düzeltilir

The "Bu site güvenli bir bağlantı sağlayamıyor" hatası, tarayıcınızın hedef sunucuyla TLS el sıkışmasını tamamlayamadığı anlamına gelir. Bağlantı girişimi, herhangi bir şifreli kanal kurulmadan önce sonlandırıldı ve tarayıcı sunucunun kimliğini doğrulayamadı veya bir şifre paketi üzerinde anlaşamadı.

Bu hata Chrome, Firefox, Edge ve Safari’de ortaya çıkar ve neredeyse her zaman belirli bir hata koduyla birlikte gelir — en yaygın olanları ERR_SSL_PROTOCOL_ERROR, ERR_SSL_VERSION_OR_CIPHER_MISMATCH veya SSL_ERROR_HANDSHAKE_FAILURE_ALERT‘dir. Her kod farklı bir hata katmanına işaret eder: sunucunun sertifika yapılandırması, istemcinin TLS yığını veya aralarındaki ağ yolu. Herhangi bir ayara dokunmadan önce hangi katmanın sorumlu olduğunu belirlemek size önemli ölçüde zaman kazandıracaktır.

TLS El Sıkışması Sırasında Gerçekte Ne Olur

Düzeltmelere geçmeden önce hata mekanizmasını anlamak önemlidir. Tarayıcınız bir HTTPS sitesine bağlandığında, milisaniyeler içinde bir TLS el sıkışması gerçekleştirir:

1. Tarayıcı, desteklenen TLS sürümlerini ve şifre paketlerini bildiren bir ClientHello mesajı gönderir.
2. Sunucu, bir protokol sürümü ve şifre seçerek sertifika zincirini sunan bir ServerHello ile yanıt verir.
3. Tarayıcı, sertifikayı güvenilen kök Sertifika Yetkilileri’ne (CA) karşı doğrular, son kullanma tarihini kontrol eder, etki alanının Konu Alternatif Adı (SAN) ile eşleştiğini doğrular ve sertifikanın iptal edilmediğini onaylar (OCSP veya CRL aracılığıyla).
4. Her iki taraf da oturum anahtarları türetir ve şifreli iletişime başlar.

Bu dört adımdan herhangi birinde yaşanan bir hata, "güvenli bağlantı sağlanamıyor" mesajını üretir. Tarayıcının ayrıntı bölmesindeki hata kodu, tam olarak hangi adımın bozulduğunu söyler.

Hata Kodlarıyla Eşleştirilmiş Temel Nedenler

Hata kodu sorumluluğu sunucu yöneticisine yüklüyorsa ve sunucuyu siz kontrol etmiyorsanız, seçenekleriniz site sahibiyle iletişime geçmekle sınırlıdır. Kalan bölümler, istemci tarafında çözebileceğiniz hatalara ve ardından yöneticiler için sunucu tarafı düzeltmelerine odaklanmaktadır.

İstemci Tarafı Düzeltmeleri

1. Herhangi Bir Şeyi Değiştirmeden Önce Sertifikayı Doğrulayın

Adres çubuğundaki asma kilide (veya uyarı simgesine) tıklayın ve Bağlantı güvenli > Sertifika geçerli seçeneğini belirleyin. Şunları kontrol edin:

• Geçerlilik süresi: “Bitiş tarihi” gelecekte olmalıdır.
• Verilen: Sertifikanın SAN alanındaki etki alanı, alt etki alanları dahil olmak üzere URL ile tam olarak eşleşmelidir.
• Veren: CA zinciri, işletim sisteminizin güvendiği bir kök CA’da sonlanmalıdır.

Sertifika süresi dolmuşsa veya eşleşmiyorsa ve sunucuya sahip değilseniz, burada durun ve site sahibiyle iletişime geçin. Sunucuyu siz yönetiyorsanız, aşağıdaki sunucu tarafı bölümüne atlayın.

2. Sistem Tarih ve Saatini Senkronize Edin

Sertifika doğrulaması zamana duyarlıdır. Birkaç dakika bile yanlış olan bir sistem saati, tarayıcının geçerli bir sertifikanın süresinin dolduğu veya henüz geçerli olmayan bir sertifikanın erken kullanıldığı sonucuna varmasına neden olabilir.

Windows:

w32tm /resync /force

Alternatif olarak, sistem saatine sağ tıklayın, Tarih/saati ayarla‘yı seçin ve Windows Saat hizmetiyle Saati otomatik olarak ayarla‘yı etkinleştirin.

Linux (systemd):

timedatectl set-ntp true
timedatectl status

macOS: Sistem Ayarları > Genel > Tarih ve Saat‘i açın ve Tarih ve saati otomatik olarak ayarla‘yı etkinleştirin.

Senkronizasyondan sonra tarayıcıyı yeniden başlatın ve yeniden test edin.

3. Tarayıcının SSL Durumunu ve Önbelleğini Temizleyin

Tarayıcılar, sertifika doğrulama sonuçlarını ve HSTS (HTTP Strict Transport Security) politikalarını önbelleğe alır. Eski bir önbellek girişi, sunucu tarafındaki bir sertifika sorunu çözüldükten sonra bile erişimi engelleyebilir.

Chrome — tarama verilerini temizle:

chrome://settings/clearBrowserData adresine gidin, Tüm zamanlar‘ı seçin, Çerezler ve diğer site verileri ile Önbelleğe alınmış resimler ve dosyalar‘ı işaretleyin, ardından Verileri temizle‘ye tıklayın.

Chrome — belirli bir etki alanı için HSTS girişini temizle:

chrome://net-internals/#hsts adresine gidin, Etki alanı güvenlik politikalarını sil altına etki alanını girin ve Sil‘e tıklayın. Bu, özellikle bir etki alanı daha önce yalnızca HTTPS iken artık yanlış yapılandırıldığında kullanışlıdır.

Windows — işletim sistemi düzeyinde SSL durumunu temizle:

Control Panel > Network and Internet > Internet Options > Content tab > Clear SSL State

Bu, Internet Explorer, Edge (eski) ve bazı Windows uygulamaları tarafından kullanılan sertifika önbelleğini temizler.

Firefox: about:preferences#privacy adresine gidin, Çerezler ve Site Verileri‘ne kadar kaydırın ve Verileri Temizle‘ye tıklayın.

4. Antivirüs HTTPS Denetimini Devre Dışı Bırakın

Avast, AVG, Kaspersky, ESET ve Bitdefender dahil satıcıların güvenlik ürünleri SSL/TLS müdahalesi gerçekleştirir — yerel bir ortadaki adam proxy’si olarak hareket ederek sertifikaları kendi kök CA’larıyla yeniden imzalarlar. Kök CA’ları tarayıcının güven deposuna düzgün şekilde yüklenmediğinde veya müdahale modülü hatalı olduğunda, her HTTPS bağlantısı başarısız olur.

Bunun neden olup olmadığını test etmek için:

1. Antivirüs ayarlarınızdaki Web Kalkanı, HTTPS Tarama veya SSL Filtreleme özelliğini geçici olarak devre dışı bırakın.
2. Başarısız olan sayfayı yeniden yükleyin.
3. Hata kaybolursa, antivirüs suçludur.

Kalıcı düzeltme, güvenlik durumunuzu düşürecek olan HTTPS taramayı genel olarak devre dışı bırakmak yerine etkilenen etki alanını antivirüsün hariç tutma listesine eklemektir.

5. Tarayıcıyı Güncelleyin

Modern TLS, en az TLS 1.2 için tarayıcı desteği gerektirir ve optimum güvenlik için TLS 1.3. Yaklaşık Chrome 70, Firefox 63 veya Edge 79’dan daha eski tarayıcılarda TLS 1.3 desteği olmayabilir veya bilinen el sıkışma hataları bulunabilir.

Chrome:

chrome://settings/help adresine gidin. Chrome güncellemeleri otomatik olarak kontrol eder ve yeniden başlatmada yükler.

Firefox:

about:support adresine gidin, ardından Yardım menüsü altında Güncellemeleri Kontrol Et‘e tıklayın.

Tarayıcıyı güncel tutmak aynı zamanda tarayıcının yerleşik kök CA deposunun güncel olmasını sağlar; bu, daha yeni CA’lar tarafından verilen sertifikalar için önemlidir.

6. Tarayıcıdaki TLS Protokol Ayarlarını Denetleyin

Chrome ve Edge (Chromium tabanlı):

Bu tarayıcılar, Chrome 84’ten bu yana kullanıcı arayüzünde TLS sürüm geçişlerini göstermez. TLS 1.0 ve 1.1 kalıcı olarak devre dışı bırakılmıştır. Bir site TLS 1.0 veya 1.1 gerektiriyorsa, sitenin güncellenmesi gerekir — istemci tarafında geçici bir çözüm yoktur ve olmamalıdır.

Deneysel TLS bayraklarını kontrol etmek için chrome://flags adresine gidin ve TLS için arama yapın. Çoğu üretim derlemesinde, işlem yapılabilir bayrak görünmeyecektir.

Firefox:

about:config adresine gidin ve security.tls.version.min için arama yapın. Değer 3 olmalıdır (TLS 1.2’ye karşılık gelir). Bozuk bir sunucuya uyum sağlamak için 1 veya 2 olarak ayarlamak bir güvenlik riskidir ve yalnızca izole test ortamlarında yapılmalıdır.

Internet Explorer / Eski Edge:

İnternet Seçenekleri > Gelişmiş > Güvenlik‘e gidin ve TLS 1.2 kullan ile TLS 1.3 kullan‘ın işaretli olduğundan emin olun. SSL 3.0 kullan, TLS 1.0 kullan ve TLS 1.1 kullan‘ın işaretini kaldırın.

7. Tarayıcı Uzantılarını Devre Dışı Bırakın veya Denetleyin

Ağ erişimine sahip uzantılar — özellikle VPN’ler, reklam engelleyiciler, gizlilik araçları ve proxy değiştiriciler — TLS bağlantılarını engelleyebilir veya değiştirebilir. Bir uzantı çakışmasını izole etmek için:

chrome://extensions/ adresine gidin ve tüm uzantıları devre dışı bırakın. Başarısız olan sayfayı yeniden yükleyin. Hata çözülürse, suçlu uzantı belirlenene kadar uzantıları tek tek yeniden etkinleştirin ve her birinden sonra yeniden yükleyin.

8. DNS Çözümleyicisini Değiştirin

DNS, TLS’yi doğrudan etkilemez, ancak yanlış IP adresleri döndüren bir DNS çözümleyicisi (zehirlenme, filtreleme veya ISP müdahalesi nedeniyle) tarayıcınızı yanlış etki alanı için sertifika sunan bir sunucuya yönlendirebilir ve ERR_CERT_COMMON_NAME_INVALID hatasına neden olabilir.

Genel bir çözümleyiciye geçmek, ISP düzeyinde DNS manipülasyonunu ortadan kaldırır:

Windows — PowerShell aracılığıyla DNS’yi değiştir:

Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses ("1.1.1.1","1.0.0.1")

"Ethernet"‘yi gerçek arayüz adınızla değiştirin (arayüzleri listelemek için Get-NetAdapter kullanın).

Linux:

sudo nano /etc/resolv.conf

Ekleyin:

nameserver 1.1.1.1
nameserver 8.8.8.8

Önerilen genel çözümleyiciler:

9. Ağ Yığınını Sıfırlayın (Windows)

Bozuk bir Winsock kataloğu veya TCP/IP yığını, sertifikalarla ilgisiz görünen aralıklı TLS hatalarına neden olabilir. Aşağıdakileri Yönetici olarak çalıştırın:

netsh int ip reset
netsh winsock reset
ipconfig /release
ipconfig /renew
ipconfig /flushdns

Tüm beş komutu çalıştırdıktan sonra makineyi yeniden başlatın. Yeniden başlatmayı atlamayın — özellikle netsh winsock reset etkili olması için yeniden başlatma gerektirir.

Yöneticiler İçin Sunucu Tarafı Düzeltmeleri

Sertifikayı sunan web sunucusunu yönetiyorsanız, aşağıdakiler en yaygın sunucu tarafı nedenler ve bunların düzeltmeleridir.

Süresi Dolmuş veya Yanlış Yapılandırılmış SSL Sertifikası

Süresi dolmuş bir sertifika, sunucu düzeyinde bu hatanın en yaygın tek nedenidir. Bir VPS Hosting ortamında site çalıştırıyorsanız, sertifika yenileme otomatikleştirilmelidir.

Komut satırından sertifika son kullanma tarihini kontrol edin:

echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -dates

Certbot (Let’s Encrypt) ile yenilemeyi otomatikleştirin:

sudo certbot renew --dry-run

Günde iki kez certbot renew çalıştırmak için bir cron görevi veya systemd zamanlayıcısı ekleyin — Let’s Encrypt sertifikaları her 90 günde bir sona erer ve Certbot yalnızca 30 günden az kaldığında yeniler.

0 0,12 * * * root certbot renew --quiet

Genişletilmiş doğrulama veya wildcard kapsama sahip ticari olarak doğrulanmış bir sertifikaya ihtiyacınız varsa, güvenilen bir CA’dan SSL Sertifikaları tüm büyük tarayıcılar için gereken güven zincirini sağlar.

Eksik Sertifika Zinciri

Çok yaygın bir yanlış yapılandırma: sunucu yalnızca son varlık sertifikasını ara CA sertifikaları olmadan sunar. Tarayıcı, tanıdığı bir kök CA’ya güven yolu oluşturamaz ve bu da ERR_CERT_AUTHORITY_INVALID ile sonuçlanır.

SSL Labs ile teşhis edin:

Etki alanınızı SSL Labs Sunucu Testi’nden (harici araç) geçirin. Bir zincir sorunu hemen işaretlenecektir.

Nginx’te düzeltin:

ssl_certificate yönergesi, tam zinciri içeren bir dosyaya işaret etmelidir — sertifikanız ve ardından tüm ara sertifikalar:

cat your_domain.crt intermediate.crt > fullchain.crt

ssl_certificate /etc/nginx/ssl/fullchain.crt;
ssl_certificate_key /etc/nginx/ssl/your_domain.key;

Apache’de düzeltin:

SSLCertificateFile /etc/apache2/ssl/your_domain.crt
SSLCertificateKeyFile /etc/apache2/ssl/your_domain.key
SSLCertificateChainFile /etc/apache2/ssl/intermediate.crt

Kullanımdan Kaldırılmış TLS Sürümleri ve Zayıf Şifre Paketleri

Tarayıcılar TLS 1.0 ve TLS 1.1 desteğini kaldırmıştır. Sunucunuz yalnızca bu protokol sürümlerini sunuyorsa, modern tarayıcılar bağlantıyı tamamen reddedecektir.

Önerilen Nginx TLS yapılandırması:

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256;
ssl_prefer_server_ciphers off;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_stapling on;
ssl_stapling_verify on;

Önerilen Apache TLS yapılandırması:

SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
SSLHonorCipherOrder off
SSLSessionTickets off

Sunucu yapılandırmasını değiştirdikten sonra şununla test edin:

openssl s_client -connect yourdomain.com:443 -tls1_2
openssl s_client -connect yourdomain.com:443 -tls1_3

Sertifika Etki Alanı Uyuşmazlığı

Sertifikanız www.example.com‘yi kapsıyorsa ancak kullanıcılar example.com‘e erişiyorsa (veya tam tersi), tarayıcı bir etki alanı uyuşmazlığı bildirecektir. Doğru düzeltme, SAN alanında her iki adı da içeren bir sertifika vermek veya wildcard sertifika (*.example.com) kullanmaktır.

Bir Dedicated Servers ortamında yeni bir etki alanı kurarken, yayına geçmeden önce SAN alanının sunucunun yanıt vereceği her ana bilgisayar adı varyantını kapsadığını her zaman doğrulayın.

Karışık İçerik Engelleme

HTTPS üzerinden yüklenen ve HTTP kaynaklarına (resimler, komut dosyaları, stil sayfaları) başvuran bir sayfa karışık içerik uyarılarını tetikler. Bu, doğrudan “güvenli bağlantı sağlanamıyor” hatasına neden olmasa da TLS hataları olarak yanlış teşhis edilen kısmi sayfa hatalarına yol açabilir.

Karışık içeriği şununla denetleyin:

curl -s https://yourdomain.com | grep -Eo 'src="http://[^"]*"|href="http://[^"]*"'

İstemci Tarafı ile Sunucu Tarafı Nedenlerin Karşılaştırılması

Barındırma Ortamı Değerlendirmeleri

Çalıştırdığınız barındırma ortamı, sunucu tarafı TLS sorunlarını ne kadar kolay çözebileceğinizi doğrudan etkiler.

Shared Web Hosting‘de sertifika yönetimi genellikle kontrol paneli aracılığıyla gerçekleştirilir. Modern paylaşımlı barındırma platformlarının çoğu ücretsiz Let’s Encrypt entegrasyonu içerir, ancak sunucu genelindeki TLS protokol ayarları üzerinde sınırlı kontrolünüz vardır.

cPanel ile VPS‘de, otomatik sertifika sağlama için AutoSSL’e erişim kazanır ve Apache veya Nginx TLS ayarlarını doğrudan yapılandırabilirsiniz. Bu, TLS yapılandırma hassasiyetinin önemli olduğu siteler için önerilen ortamdır.

Çıplak metal Dedicated Servers‘da, tüm TLS yığını üzerinde tam kontrole sahipsiniz — OpenSSL sürümü, şifre paketi seçimi, OCSP zımbalama, HSTS ön yükleme ve sertifika sabitleme — ancak yapılandırmayı güncel tutmaktan da tamamen siz sorumlusunuz.

Pratik Karar Kontrol Listesi

Düzeltmeleri rastgele uygulamak yerine hatayı sistematik olarak önceliklendirmek için bu kontrol listesini kullanın:

• Hata tüm HTTPS sitelerinde mi yoksa yalnızca birinde mi görünüyor?
• Tüm siteler: sistem saatine, antivirüs HTTPS taramasına, tarayıcı güncellemesine, işletim sistemi kök CA deposuna odaklanın.
• Bir site: sorun neredeyse kesinlikle sunucu tarafındadır.

• Belirli hata kodu ne söylüyor?
• ERR_CERT_DATE_INVALID: önce sistem saatini, ardından sertifika son kullanma tarihini kontrol edin.
• ERR_CERT_AUTHORITY_INVALID: sertifika zinciri bütünlüğünü kontrol edin.
• ERR_SSL_VERSION_OR_CIPHER_MISMATCH: sunucu kullanımdan kaldırılmış TLS veya desteklenmeyen şifreler çalıştırıyor.
• ERR_CERT_COMMON_NAME_INVALID: sertifika SAN etki alanıyla eşleşmiyor.

• Hata farklı bir ağda kayboluyor mu?
• Evet: güvenlik duvarı, proxy veya ISP düzeyinde TLS denetimi nedendir.

• Antivirüs devre dışıyken hata kayboluyor mu?
• Evet: antivirüs HTTPS tarama ayarlarında etki alanı için bir hariç tutma yapılandırın.

• Sunucu yöneticisi misiniz?
• Herhangi bir yapılandırma dosyasına dokunmadan önce openssl s_client tanılamalarını ve SSL Labs testini çalıştırın.
• Acil sorunu çözdükten hemen sonra sertifika yenilemeyi otomatikleştirin.

SSS

“Bu site güvenli bir bağlantı sağlayamıyor” neden yalnızca bir web sitesinde görünüyor?

Hata tek bir etki alanıyla sınırlı olduğunda, temel neden neredeyse her zaman sunucu tarafındadır: süresi dolmuş bir sertifika, eksik bir sertifika zinciri, sertifikanın SAN alanında etki alanı adı uyuşmazlığı veya sunucunun modern tarayıcıların artık kabul etmediği yalnızca kullanımdan kaldırılmış TLS sürümlerini (1.0 veya 1.1) kullanacak şekilde yapılandırılmış olması.

VPN bu hataya neden olabilir mi?

Evet. Bazı VPN istemcileri DNS sorgularını kendi çözümleyicileri üzerinden yönlendirir veya TLS el sıkışmalarına müdahale eden trafik denetimi gerçekleştirir. Hata yalnızca VPN etkinken görünüyorsa, VPN’in “bölünmüş tünel” veya “SSL denetimi” özelliğini devre dışı bırakın ya da etkilenen etki alanını hariç tutma olarak ekleyin.

Önbelleği temizlemek her zaman SSL hatalarını düzeltir mi?

Hayır. Önbelleği temizlemek, eski HSTS politikaları veya önbelleğe alınmış geçersiz sertifika yanıtlarından kaynaklanan hataları çözer. Sunucu tarafı sertifika sorunları, sistem saati sorunları veya antivirüs müdahalesi üzerinde hiçbir etkisi yoktur. Önbellek temizlemeyi evrensel bir çözüm olarak değil, ilk adım olarak kullanın.

Sunucumun SSL sertifikasının tarayıcı olmadan düzgün yapılandırılıp yapılandırılmadığını nasıl kontrol edebilirim?

Ağ erişimi olan herhangi bir makineden OpenSSL kullanın:

openssl s_client -connect yourdomain.com:443 -servername yourdomain.com

Çıktı, tam sertifika zincirini, müzakere edilen TLS sürümünü, seçilen şifre paketini ve doğrulama hatalarını gösterir. Bu, sunucu tarafı TLS sorunları için en güvenilir tanılama yöntemidir.

ERR_SSL_PROTOCOL_ERROR ile ERR_SSL_VERSION_OR_CIPHER_MISMATCH arasındaki fark nedir?

ERR_SSL_PROTOCOL_ERROR, sunucunun tanınan herhangi bir TLS kayıt biçimine uymayan bir yanıt gönderdiğini gösterir — genellikle 443 numaralı bağlantı noktasında HTTP yanıtı gönderen bir sunucudan, yanlış yapılandırılmış bir yük dengeleyiciden veya el sıkışması ortasında bağlantıyı sonlandıran bir güvenlik duvarından kaynaklanır. ERR_SSL_VERSION_OR_CIPHER_MISMATCH, el sıkışmasının doğru başladığı ancak istemci ve sunucunun karşılıklı olarak desteklenen bir TLS sürümü veya şifre paketi üzerinde anlaşamadığı anlamına gelir; bu genellikle sunucunun yalnızca kullanımdan kaldırılmış protokolleri desteklemesinden kaynaklanır.