WordPress Sitenize SSL Sertifikası Nasıl Kurulur

Bir SSL sertifikası (Secure Sockets Layer / TLS), bir web sunucusu ile tarayıcı arasındaki aktarım sırasında verileri şifreleyen bir kriptografik protokol bağlayıcısıdır. Bir WordPress sitesinde SSL kurulumu, her HTTP isteğinin HTTPS’ye yönlendirilmesi, tarayıcının bir kilit simgesi göstermesi ve hassas verilerin — giriş bilgileri, form gönderimleri, ödeme bilgileri — düz metin yerine şifreli bir kanal üzerinden iletilmesi anlamına gelir.

WordPress özelinde SSL kurulumu üç ayrı katmanı kapsar: sertifikanın sunucu veya barındırma düzeyinde sağlanması, WordPress’in tüm varlıkları HTTPS üzerinden sunacak şekilde yapılandırılması ve güvenli bağlamı sessizce bozan karma içerik uyarılarının giderilmesi. Bu adımlardan herhangi birini atlarsanız siteniz ya kırık bir kilit simgesi gösterir, ya tarayıcı güvenlik uyarıları tetikler ya da HTTPS doğrulaması tamamen başarısız olur.

Adım 1: Doğru SSL Sertifika Türünü Seçin

Tüm SSL sertifikaları aynı doğrulama düzeyini veya güven sinyalini sunmaz. Yanlış türü seçmek, para israfına yol açan ya da tam tersine hassas işlemler gerçekleştiren bir siteyi yetersiz koruyan yaygın bir hatadır.

Doğrulama Kademelerinin Karşılaştırması

Ücretsiz ve Ücretli SSL

Let’s Encrypt, ACME protokolü aracılığıyla otomatik yenileme desteğiyle 90 gün geçerli ücretsiz, otomatik DV sertifikaları düzenler. Tüm büyük tarayıcılar tarafından güvenilir kabul edilir ve WordPress sitelerinin büyük çoğunluğu için doğru seçimdir. Kısa geçerlilik süresi kasıtlıdır — otomasyonu zorunlu kılar ve ele geçirilmiş bir sertifikanın risk penceresini azaltır.

Cloudflare’in ücretsiz SSL’i farklı çalışır: ziyaretçi ile Cloudflare’in edge sunucusu arasındaki bağlantıyı şifreler; ancak Cloudflare ile kaynak sunucunuz arasındaki bağlantı, geçerli bir kaynak sertifikasıyla Full (Strict) modunu yapılandırmadığınız sürece şifrelenmemiş olabilir. Bu, yanlış bir güvenlik hissi yaratan ve sıkça yanlış anlaşılan bir uç durumdur.

Ticari CA’lardan (DigiCert, Sectigo, GlobalSign) alınan ücretli sertifikalar; OV veya EV doğrulamasına, bir garantiye ya da Let’s Encrypt tarafından desteklenmeyen belirli bir SAN/Wildcard yapılandırmasına ihtiyaç duyduğunuzda gereklidir.

Alan adınız için güvenilir bir sertifika satın almanız gerekiyorsa AlexHost, hesap panelinizden doğrudan kolay düzenleme ve yönetim imkânıyla SSL Sertifikaları sunmaktadır.

Adım 2: SSL Sertifikasını Barındırma Düzeyinde Kurun

WordPress’in HTTPS yanıtları sunabilmesi için sertifikanın web sunucusuna kurulması gerekir. Yöntem, barındırma ortamınıza bağlıdır.

cPanel Üzerinden SSL Kurulumu (Paylaşımlı ve VPS Barındırma)

cPanel, paylaşımlı ve yönetilen ortamlar için en yaygın kontrol panelidir. Barındırıcınız AutoSSL (Sectigo destekli) kullanıyorsa veya Let’s Encrypt’i yerel olarak destekliyorsa tek bir tıklama ile sertifika sağlanır ve otomatik olarak yenilenir.

Bir CA’dan sertifika dosyalarına sahip olduğunuzda manuel kurulum adımları:

1. cPanel’e giriş yapın ve Security > SSL/TLS bölümüne gidin.
2. Manage SSL Sites seçeneğine tıklayın.
3. Açılır menüden hedef alan adını seçin.
4. Üç dosyanın içeriğini ilgili alanlara yapıştırın:

• Sertifika (CRT): CA’nızdan alınan imzalı sertifika.
• Özel Anahtar (KEY): CSR oluşturma sırasında üretilir — asla paylaşmayın.
• Sertifika Yetkilisi Paketi (CABUNDLE): Ara zincir sertifikaları.

1. Install Certificate seçeneğine tıklayın.

WordPress’i cPanel’li bir VPS üzerinde çalıştırıyorsanız AutoSSL genellikle WHM’deki tüm alan adları için bunu otomatik olarak gerçekleştirir. Alan adının kapsandığını ve sertifikanın beklemede veya başarısız durumda olmadığını WHM > SSL/TLS > Manage AutoSSL bölümünden doğrulayın.

Apache ile VPS’e SSL Kurulumu (Manuel Yöntem)

Apache çalıştıran kendi yönettiğiniz bir Linux VPS’te işlem, sanal ana bilgisayar yapılandırmasının doğrudan düzenlenmesini gerektirir.

Debian/Ubuntu’da Certbot (Let’s Encrypt istemcisi) kurulumu:

sudo apt update
sudo apt install certbot python3-certbot-apache -y

Sertifikayı otomatik olarak alın ve kurun:

sudo certbot --apache -d yourdomain.com -d www.yourdomain.com

Certbot, Apache sanal ana bilgisayar yapılandırmanızı değiştirir, sertifikayı kurar ve otomatik yenileme için bir cron görevi veya systemd zamanlayıcısı oluşturur. Yenileme zamanlayıcısının etkin olduğunu doğrulayın:

sudo systemctl status certbot.timer

VPS’te Nginx için:

sudo apt install certbot python3-certbot-nginx -y
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com

Apache’ye manuel sertifika kurulumu (ücretli CA sertifikası kullanırken):

Sertifika dosyalarınızı güvenli bir dizine yerleştirin, ardından sanal ana bilgisayarınızı düzenleyin:

<VirtualHost *:443>
    ServerName yourdomain.com
    ServerAlias www.yourdomain.com
    DocumentRoot /var/www/html

    SSLEngine on
    SSLCertificateFile      /etc/ssl/certs/yourdomain.crt
    SSLCertificateKeyFile   /etc/ssl/private/yourdomain.key
    SSLCertificateChainFile /etc/ssl/certs/yourdomain_ca_bundle.crt
</VirtualHost>

Uygulamak için Apache’yi yeniden başlatın:

sudo systemctl restart apache2

Yüksek trafikli bir WordPress kurulumunu bir Dedicated Server üzerinde yönetiyorsanız, paylaşımlı barındırmada mümkün olmayan şifre paketleri, HSTS başlıkları ve OCSP zımbalama yapılandırmaları üzerinde tam kontrole sahip olursunuz.

Nginx ile VPS’e SSL Kurulumu (Manuel Yöntem)

server {
    listen 443 ssl;
    server_name yourdomain.com www.yourdomain.com;

    ssl_certificate     /etc/ssl/certs/yourdomain.crt;
    ssl_certificate_key /etc/ssl/private/yourdomain.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    # OCSP Stapling
    ssl_stapling on;
    ssl_stapling_verify on;
    resolver 8.8.8.8 1.1.1.1 valid=300s;

    root /var/www/html;
    index index.php;
}

Düzenledikten sonra Nginx’i yeniden yükleyin:

sudo nginx -t && sudo systemctl reload nginx

Adım 3: Sunucu Düzeyinde 301 Yönlendirmesiyle HTTPS’yi Zorunlu Kılın

WordPress ayarlarına dokunmadan önce, HTTP’den HTTPS’ye yönlendirmeyi sunucu düzeyinde uygulayın. Bu, yalnızca WordPress’e veya bir eklentiye güvenmekten daha güvenilirdir ve tarayıcının HTTP sürümünü hiçbir zaman yüklememesini sağlar.

Apache: .htaccess Yönlendirmesi

.htaccess dosyanızı (WordPress kök dizininde bulunan, genellikle /var/www/html/.htaccess veya cPanel Dosya Yöneticisi aracılığıyla erişilebilen) açın ve aşağıdaki bloğu mevcut WordPress yeniden yazma kurallarının üstüne ekleyin:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Kritik tuzak: Bu bloğu # BEGIN WordPress işaretçisinin *sonrasına* yerleştirirseniz WordPress çekirdek güncellemeleri tarafından üzerine yazılabilir. Sunucu düzeyindeki yönlendirme kurallarını her zaman WordPress tarafından yönetilen bloğun üstüne yerleştirin.

Nginx: Sunucu Bloğu Yönlendirmesi

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$host$request_uri;
}

HSTS Başlığı (Gelişmiş, Önerilen)

HTTPS kurulumunuzun kararlı olduğundan emin olduğunuzda, tarayıcılara hiçbir zaman HTTP bağlantısı denememelerini bildirmek için bir HTTP Strict Transport Security başlığı ekleyin:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Uyarı: Her alt alan adının da geçerli bir SSL sertifikasına sahip olduğundan emin olmadan preload ile HSTS’yi etkinleştirmeyin. Ön yükleme kısa vadede geri alınamaz ve HTTPS yapılandırılmamış alt alan adlarını bozar.

Adım 4: WordPress’i Tüm İçeriği HTTPS Üzerinden Sunacak Şekilde Güncelleyin

Sertifika kurulup sunucu düzeyinde yönlendirme yapıldıktan sonra, WordPress’in tüm dahili bağlantılar, varlıklar ve API uç noktaları için HTTPS URL’leri oluşturması gerektiği belirtilmelidir.

Seçenek A: WordPress Site URL’lerini Manuel Olarak Güncelleyin

1. WordPress yönetici panelinizde Ayarlar > Genel bölümüne gidin.
2. Hem WordPress Adresi (URL) hem de Site Adresi (URL) alanlarını http:// yerine https:// olarak değiştirin.
3. Değişiklikleri Kaydet seçeneğine tıklayın.

WordPress, kaydettikten hemen sonra oturumunuzu kapatacaktır. HTTPS URL’sini kullanarak tekrar giriş yapın.

Seçenek B: URL’leri wp-config.php Aracılığıyla Güncelleyin

Yönetici paneline erişiminiz kilitliyse veya kod tabanlı bir yaklaşımı tercih ediyorsanız, /* That's all, stop editing! */ satırından önce wp-config.php dosyasına şu satırları ekleyin:

define('WP_HOME', 'https://yourdomain.com');
define('WP_SITEURL', 'https://yourdomain.com');

Seçenek C: Veritabanındaki Sabit Kodlanmış HTTP URL’lerini Güncelleyin

WordPress, URL’leri gönderi meta verileri ve seçenekler tablolarındaki serileştirilmiş veriler dahil olmak üzere veritabanında saklar. Ham SQL üzerinde basit bir bul-değiştir işlemi, serileştirilmiş dizileri bozabilir. Güvenli, serileştirme uyumlu bir değiştirme için WP-CLI kullanın:

wp search-replace 'http://yourdomain.com' 'https://yourdomain.com' --skip-columns=guid --all-tables

--skip-columns=guid bayrağı, WordPress en iyi uygulamalarına göre değiştirilmemesi gereken gönderi GUID’lerini korur. Bunu, wp-config.php dosyasında yapılandırılmış uygun veritabanı kimlik bilgileriyle WordPress kök dizininizden çalıştırın.

Alternatif olarak, Better Search Replace eklentisi serileştirme desteğiyle aynı işlemi yönetici arayüzü üzerinden gerçekleştirir.

Adım 5: Karma İçerik Uyarılarını Düzeltin

Karma içerik uyarısı, bir HTTPS sayfasının bir veya daha fazla kaynağı (resimler, betikler, stil sayfaları, iframe’ler) HTTP üzerinden yüklemesi durumunda ortaya çıkar. Bu durum güvenli bağlamı bozar, kilit simgesini gizler ve bazı durumlarda tarayıcıların kaynağı tamamen engellemesine neden olur.

Karma İçeriği Teşhis Etme

Tarayıcınızın geliştirici araçlarını (F12) açın, Console sekmesine gidin ve Mixed Content: önekiyle başlayan uyarıları arayın. Mesaj, soruna neden olan tam kaynak URL’sini belirtecektir.

Alternatif olarak, tam bir rapor almak için Why No Padlock? aracını kullanın veya bir SSL Labs taraması çalıştırın.

Karma İçeriği Düzeltme: Eklenti Yöntemi

Really Simple SSL, bu amaç için en yaygın kullanılan eklentidir. Etkinleştirildikten sonra:

• WordPress’in güvenli bağlantıyı tanımasını sağlamak için HTTPS sunucu değişkenini ayarlar.
• HTTP URL’lerini anında yeniden yazmak için JavaScript tabanlı bir içerik filtresi ekler.
• İsteğe bağlı olarak yeniden yazma kurallarını temizler ve site URL’sini günceller.

SSL Insecure Content Fixer, basit bir çıktı tamponu değiştirme ile daha derin bir WordPress filtre kancası yaklaşımı arasında seçim yapmanıza olanak tanıyan daha ayrıntılı kontrol sunar — Really Simple SSL’nin JavaScript yönteminin belirli sayfa oluşturucularında render sorunlarına neden olduğu durumlarda kullanışlıdır.

Karma İçeriği Düzeltme: Manuel Yöntem

Tema dosyalarındaki veya özel eklentilerdeki sabit kodlanmış HTTP URL’leri için tema dizininizde arama yapın:

grep -r "http://yourdomain.com" /var/www/html/wp-content/themes/your-theme/

Tüm örnekleri https:// ile değiştirin ya da daha iyisi, HTTPS kullanılabilirliğini garanti edemediğiniz üçüncü taraf kaynaklar için protokol göreli URL’ler (//yourdomain.com/...) kullanın.

SSL geçişinden önce yüklenen gömülü medya için, henüz yapmadıysanız Adım 4’teki WP-CLI arama-değiştirme komutunu çalıştırın; çünkü resim eki URL’leri wp_posts ve wp_postmeta tablolarında saklanır.

Adım 6: SSL Kurulumunu Doğrulayın

Kurulumun başarılı olduğunu asla varsaymayın — sistematik olarak doğrulayın.

SSL Labs Testi

https://www.ssllabs.com/ssltest/ adresine gidin ve alan adınızı girin. Doğru yapılandırılmış bir WordPress sitesi A veya A+ puan almalıdır. A+ derecelendirmesi için şunlar gereklidir:

• TLS 1.0 ve 1.1 devre dışı bırakılmış şekilde TLS 1.2 ve 1.3 desteği.
• Güçlü bir şifre paketi (RC4 yok, 3DES yok).
• HSTS başlığının mevcut olması.
• OCSP zımbalamanın etkin olması.
• Zincir sorunu olmaması (ara sertifikaların doğru kurulmuş olması).

Tarayıcı Doğrulaması

Adres çubuğundaki kilit simgesine tıklayın. Chrome’da, düzenleyenin, geçerlilik tarihlerinin ve Konu Alternatif Adlarının (SAN) alan adınızla eşleştiğini onaylamak için Bağlantı güvenli > Sertifika geçerli bölümüne gidin.

Komut Satırı Doğrulaması

openssl s_client -connect yourdomain.com:443 -servername yourdomain.com

Bu komut, tam sertifika zincirini, müzakere edilen şifreyi ve TLS sürümünü çıktı olarak verir. Zincirin güvenilir olduğunu onaylamak için Verify return code: 0 (ok) ifadesini arayın.

Sertifika Süre Sonunu Kontrol Edin

echo | openssl s_client -connect yourdomain.com:443 2>/dev/null | openssl x509 -noout -dates

Let’s Encrypt sertifikaları için otomatik yenileme deneme çalışmasının da işe yaradığını doğrulayın:

sudo certbot renew --dry-run

Adım 7: Kurulum Sonrası Sertleştirme ve SEO Temizliği

Google Search Console’u Güncelleyin

Google Search Console’da sitenizin HTTPS sürümünü yeni bir mülk olarak ekleyin. Google, http:// ve https:// adreslerini ayrı mülkler olarak değerlendirir. Güncellenen URL’lerin yeniden taranmasını hızlandırmak için HTTPS site haritanızı (https://yourdomain.com/sitemap.xml) gönderin.

Site Haritanızı ve Canonical Etiketlerinizi Güncelleyin

XML site haritanızın (Yoast SEO, Rank Math veya benzeri tarafından oluşturulan) yalnızca HTTPS URL’leri çıktıladığından emin olun. Temanızın <head> dosyasındaki canonical etiketlerinin HTTPS’ye atıfta bulunduğunu kontrol edin. Bir sayfanın HTTP sürümüne işaret eden bir canonical etiket, 301 yönlendirmesi yerinde olsa bile tarayıcı robotlarını yanıltır.

Google’ı Değişiklik Hakkında Bilgilendirin

Google Search Console’da Adres Değişikliği aracını yalnızca tamamen yeni bir alan adına geçiş yaptıysanız kullanın. Aynı alan adında HTTP’den HTTPS’ye geçiş için 301 yönlendirmeleri sinyal aktarımını gerçekleştirir — adres değişikliği aracına gerek yoktur.

WordPress Multisite Konuları

Bir WordPress Multisite ağında, yalnızca ana site için değil, her alt site için wp_siteurl ve wp_blogs tablolarındaki siteurl ve home değerlerini güncellemeniz gerekir. WP-CLI bunu site bazında gerçekleştirir:

wp search-replace 'http://subdomain.yourdomain.com' 'https://subdomain.yourdomain.com' --url=subdomain.yourdomain.com --all-tables

Pratik Karar Matrisi: Hangi SSL Yöntemini Kullanmalısınız

Temel Teknik Çıkarımlar

• Sertifika kurulumu ve WordPress yapılandırması ayrı adımlardır. Sunucu düzeyinde kurulan bir sertifika, WordPress’in otomatik olarak HTTPS URL’leri oluşturmasını sağlamaz. Her ikisinin de yapılandırılması gerekir.
• Karma içerik, geçiş sonrasındaki en yaygın başarısızlık nedenidir. Herhangi bir SSL eklentisini etkinleştirmeden önce kaynaktaki sabit kodlanmış HTTP URL’lerini yakalamak için WP-CLI ile veritabanı arama-değiştirme işlemi çalıştırın.
• Let’s Encrypt otomatik yenilemesi varsayılmamalı, doğrulanmalıdır. İlk kurulumdan sonra certbot renew --dry-run komutunu çalıştırın ve süre sonu tarihlerini izleyin. Başarısız bir yenileme, 90 gün sonra sitenizi sessizce bozar.
• HSTS tek yönlü bir kapıdır. Her alt alan adının geçerli bir sertifikası olana ve HTTPS’ye kalıcı olarak bağlı olana kadar uzun bir max-age ayarlamayın veya preload etkinleştirmeyin.
• Cloudflare’in ücretsiz SSL’i varsayılan olarak uçtan uca şifreli değildir. Boşluğu kapatmak için SSL/TLS modunu Full (Strict) olarak ayarlayın ve sunucunuza bir kaynak sertifikası kurun.
• Paylaşımlı barındırmada, barındırıcınızın SSL’inin hem apex alan adını (yourdomain.com) hem de www alt alan adını kapsadığını doğrulayın. Yalnızca biri için düzenlenen bir sertifika, diğerinde ad uyuşmazlığı hatasına neden olur.
• WordPress veritabanlarındaki serileştirilmiş veriler, ham SQL REPLACE() ile güvenli şekilde güncellenemez. Her zaman WP-CLI veya serileştirme uyumlu bir eklenti kullanın.

Paylaşımlı Web Barındırma üzerinde barındırılan siteler için SSL’e giden en hızlı yol, cPanel üzerinden AutoSSL veya Let’s Encrypt’i etkinleştirmektir — tüm süreç beş dakikadan kısa sürer ve komut satırı erişimi gerektirmez. Özel şifre yapılandırması, OCSP zımbalama veya çok alan adlı sertifikalar gerektiren daha karmaşık dağıtımlar için, yapılandırılabilir kontrol panelli bir VPS gerekli sunucu düzeyinde erişimi sağlar.

SSS

SSL sertifikası kurmak Google sıralamalarımı doğrudan iyileştirir mi?

Google, HTTPS’yi 2014 yılında bir sıralama sinyali olarak onayladı. Doğrudan sıralama artışı mütevazıdır; ancak dolaylı faydalar — tarayıcı güvenlik uyarılarından kaynaklanan düşük hemen çıkma oranı, HTTP/2 ve HTTP/3 uygunluğu ve kullanıcı güveni — organik performans üzerinde ölçülebilir kümülatif bir etki yaratır.

SSL ile TLS arasındaki fark nedir?

SSL (Secure Sockets Layer), TLS’nin (Transport Layer Security) kullanımdan kaldırılmış öncülüdür. Tüm modern sertifikalar TLS 1.2 veya 1.3 kullanır. “SSL sertifikası” terimi sektör jargonu olarak varlığını sürdürmektedir; ancak hiçbir tarayıcı veya sunucu 2015’ten bu yana gerçek SSL kullanmamaktadır. Sunucunuz hâlâ SSLv3 veya TLS 1.0 kabul ediyorsa bunları derhal devre dışı bırakın — sırasıyla POODLE ve BEAST saldırılarına karşı savunmasızdırlar.

Sertifikayı kurduktan sonra sitem neden hâlâ “Güvenli Değil” gösteriyor?

En yaygın neden karma içerik hatasıdır: sayfadaki en az bir kaynak HTTP üzerinden yükleniyor. Tarayıcı geliştirici araçlarını açın, karma içerik uyarıları için Console’u kontrol edin ve sorunlu URL’leri yeniden yazmak için WP-CLI arama-değiştirme veya Really Simple SSL eklentisini kullanın. İkincil bir neden, Ayarlar > Genel bölümündeki WordPress Site URL’sinin hâlâ http:// adresine işaret etmesidir.

Let’s Encrypt sertifikasını süresi dolmadan önce nasıl yenileyebilirim?

Certbot, sertifika süre sonuna 30 gün kala otomatik olarak yenileme girişiminde bulunan bir systemd zamanlayıcısı veya cron görevi kurar. Anında yenileme zorlamak için sudo certbot renew --force-renewal komutunu çalıştırın. Değişiklik yapmadan test etmek için sudo certbot renew --dry-run komutunu çalıştırın. Yenileme başarısız olursa /var/log/letsencrypt/letsencrypt.log adresindeki yenileme günlüğünü kontrol edin.

Sunucuya veya cPanel’e erişimim olmadan WordPress’e SSL kurabilir miyim?

Evet, Cloudflare aracılığıyla. Alan adınızı Cloudflare’e ekleyin, ad sunucularınızı Cloudflare’inkine yönlendirin ve SSL/TLS ayarını etkinleştirin. Ziyaretçiden Cloudflare’e olan bağlantı hemen şifrelenir. Ancak, Cloudflare’den kaynak sunucuya olan bağlantıyı da şifrelemek için modu Full (Strict) olarak ayarlayın ve sunucunuza bir Cloudflare Kaynak Sertifikası kurun. Bunu yapmadan Cloudflare ile sunucunuz arasındaki bağlantı şifrelenmemiş kalır; bu durum, kullanıcı verisi işleyen herhangi bir site için ciddi bir güvenlik açığıdır.