Ad uyuşmuyor
Sertifika başka bir alan adı için düzenlenmiş. Bu, en ciddi uyarıdır: ya sunucu yanlış yapılandırılmıştır ya da araya bir şey girmiştir. Bu ekranda ilerlemek, şifreli bağlantının anlamını tamamen ortadan kaldırır.
HTTPS ne demek?
HTTPS, tarayıcınızla sunucu arasındaki trafiğin <strong>şifrelenmiş</strong> olduğunu ve karşı tarafın <strong>o alan adının denetimine sahip olduğunu</strong> söyler. Söylemediği şey çok daha önemlidir: sitenin dürüst olduğunu, içeriğin doğru olduğunu ya da parasını yatırdığınız yerin gerçekten aradığınız yer olduğunu <strong>garanti etmez</strong>. Adres çubuğundaki kilit bir güven rozeti değil, bir <strong>taşıma güvenliği göstergesidir</strong>. Bu iki kavramı ayırmak, sahte bir adrese düşmemenin en ucuz yoludur.
Güncellendi:
Şifreleme ile Kimlik Doğrulama Aynı Şey Değildir
HTTPS'in kısaltmasındaki S, "secure" yani güvenli anlamına gelir; ama buradaki güvenlik, verinin yolda okunamaması ve değiştirilememesiyle sınırlıdır. Aynı ağa bağlı biri, kafedeki kablosuz ağı dinleyen biri ya da araya giren bir cihaz, HTTPS bağlantısında yazdığınız şifreyi göremez. Bu gerçek ve değerli bir korumadır.
Ancak bu korumanın kapsamı yalnızca <em>hat</em>tır, <em>hedef</em> değil. Şifrelenmiş bir tünelin diğer ucunda kimin oturduğu ayrı bir sorudur. Sahte bir siteyle de mükemmel şifreli bir bağlantı kurabilirsiniz: veriniz kimseye sızmadan, doğrudan dolandırıcının sunucusuna ulaşır. Kilit simgesi bu durumda da yeşil görünür ve hiçbir uyarı çıkmaz.
Sertifikanın doğruladığı tek şey, karşı tarafın <strong>o alan adının denetimini elinde tuttuğudur</strong>. Yani "bu sunucu gerçekten yazdığınız adresin sunucusudur" der. "Bu adres sizin aradığınız adrestir" demez. Adresteki tek harfi değiştirip yeni bir alan adı alan biri, o alan adı için de dakikalar içinde geçerli bir sertifika alabilir. Dolayısıyla kilit, adresin doğruluğunu kontrol etme yükünü sizin üzerinizden almaz.
Kural şu şekilde özetlenebilir: kilidin yokluğu kesin bir uyarıdır, varlığı ise hiçbir şeyin kanıtı değildir. Önce adresi harf harf doğrulayın, sonra kilide bakın. Sıra ters çevrildiğinde kilit yalnızca yanlış bir rahatlama duygusu üretir.
HTTP ile HTTPS Arasında Ne Değişir?
İki protokol arasındaki fark yalnızca bir harf değildir. Aşağıdaki tablo, aynı ağa bağlı bir gözlemcinin her iki durumda ne görebildiğini gösterir.
| Gözlemcinin görebildiği | HTTP | HTTPS |
|---|---|---|
| Bağlandığınız alan adı | Görür | Görür |
| Sunucunun IP adresi | Görür | Görür |
| Ziyaret ettiğiniz sayfa yolu | Görür | Göremez |
| Formda yazdığınız kullanıcı adı ve şifre | Görür | Göremez |
| Sayfanın içeriği | Görür | Göremez |
| Trafiği değiştirme, reklam veya kod enjekte etme | Yapabilir | Yapamaz |
Dikkat edilecek satır ilk ikisidir: HTTPS altında bile hangi alan adına bağlandığınız gizlenmez. Şifrelenen şey bağlantının içeriğidir, varlığı değil. Bu yüzden HTTPS bir gizlilik aracı değil, bir bütünlük ve mahremiyet aracıdır.
Bağlantı Kurulurken Sırayla Ne Oluyor?
Adres çubuğuna yazıp Enter'a bastığınızla sayfanın açılması arasında geçen yarım saniyede beş iş yapılır. Hangi adımda hata alındığını bilmek, uyarı ekranlarını okumayı kolaylaştırır.
Alan adı IP adresine çözümlenir
Tarayıcı önce adı bir sunucu adresine çevirir. Bu adım henüz şifreli değildir ve sertifikayla ilgisi yoktur; burada bir hata alırsanız sorun HTTPS'te değil, çözümlemededir.
Sunucu sertifikasını sunar
Sunucu, bir sertifika otoritesi tarafından imzalanmış belgesini gönderir. Belgede hangi alan adları için geçerli olduğu, kim tarafından imzalandığı ve geçerlilik tarihleri yazılıdır.
Tarayıcı üç kontrolü yapar
Sertifikadaki alan adı yazdığınız adresle uyuşuyor mu, tarih aralığı geçerli mi ve imza zinciri tarayıcının tanıdığı bir kök otoriteye kadar gidiyor mu. Üçünden biri olumsuzsa uyarı ekranı çıkar.
Ortak anahtar üzerinde anlaşılır
İki taraf, kimsenin araya girip okuyamayacağı bir yöntemle o oturuma özgü bir anahtar üretir. Bu anahtar yalnızca o bağlantı için geçerlidir; sekmeyi kapattığınızda çöpe gider.
Trafik şifreli akmaya başlar
Bundan sonra gönderilen her istek ve gelen her yanıt bu anahtarla şifrelenir. Adres çubuğundaki kilit tam olarak bu aşamanın tamamlandığını bildirir — daha fazlasını değil.
Sertifika Türleri: Hangisi Neyi Doğrular?
Bütün sertifikalar aynı kilidi gösterir ama arkalarındaki inceleme derinliği farklıdır. Tarayıcılar artık bu farkı görsel olarak ayırt etmediği için, ayrımı bilmek tamamen kullanıcıya kalmıştır.
| Tür | Doğrulanan | Tipik alma süresi | Kilit görünümü |
|---|---|---|---|
| DV — Alan adı doğrulaması | Yalnızca alan adının denetimi | Dakikalar, otomatik | Normal kilit |
| OV — Kurum doğrulaması | Alan adı + kurumun varlığı | Günler, belge ister | Normal kilit |
| EV — Genişletilmiş doğrulama | Alan adı + kurumun ayrıntılı kaydı | Haftalar, denetimli | Normal kilit |
Üçüncü sütun ile dördüncü sütun birlikte okunduğunda tablonun asıl mesajı ortaya çıkar: dakikalar içinde ücretsiz alınan bir DV sertifikası ile haftalar süren bir EV sertifikası, adres çubuğunda birbirinin aynı görünür. Kilit simgesi bu üçünü ayırmaz, dolayısıyla kilidin varlığı kurumsal bir doğrulama kanıtı değildir.
Sayısal Örnek: Sahte Bir Adres Kilidi Ne Kadar Sürede Alır?
Kilit simgesine güvenmenin neden yetersiz olduğunu en iyi gösteren şey, o kilidin maliyetidir. Aşağıdaki hesap, taklit bir adresin yayına girme sürecidir.
- Benzer alan adının kaydı
- Yıllık birkaç dolar
- DV sertifikasının maliyeti
- Ücretsiz, otomatik
- Sertifikanın çıkma süresi
- Birkaç dakika
- Doğrulanan tek şey
- Alan adının o kişide olduğu
- Doğrulanmayan
- Kimlik, niyet, içerik, sahiplik geçmişi
SonuçKilit, birkaç dolar ve birkaç dakika karşılığında herkesin alabileceği bir göstergedir
Bu hesap HTTPS'i değersiz kılmaz; kullanım alanını doğru yere koyar. HTTPS "bu hat güvenli" der, "bu site güvenilir" demez. İkinci soruyu cevaplayan tek şey adresin harf harf doğruluğudur.
Kilit Varken Bile Yapılacak Dört Kontrol
Sıra bilinçlidir: her adım bir sonrakinin gerekliliğini azaltır. İlk maddede takılırsanız diğerlerine bakmanıza gerek kalmaz.
Adresi soldan sağa harf harf okuyun
Taklit adresler genellikle tek bir karakterle ayrılır: bir harfin çift yazılması, tire eklenmesi ya da benzer görünen bir harfin kullanılması. Adres çubuğunu okurken en çok dikkat edilecek yer, uzantıdan hemen önceki kısımdır — alan adının asıl sahibini belirleyen yer orasıdır.
Uzantıya bakın ama ona güvenmeyin
Uzantı, adresin hangi kayıt sisteminde tutulduğunu söyler; sahibinin dürüstlüğü hakkında hiçbir şey söylemez. Tanıdık bir uzantı gördüğünüz için adresi doğru varsaymak, en sık yapılan hatadır.
Sertifikanın kime verildiğine bakın
Kilide tıklayıp sertifika ayrıntılarını açtığınızda hangi alan adı için düzenlendiğini görürsünüz. Bu bilgi, bağlandığınız adresin sertifikayla eşleştiğini teyit eder; adresin doğru adres olduğunu yine kanıtlamaz.
Bağlantının nereden geldiğini sorun
Adres bir arama sonucundan, sosyal medya gönderisinden ya da mesajdan geliyorsa doğrulama yükü artar. Kilit simgesi, bağlantının kaynağıyla ilgili hiçbir bilgi taşımaz; kötü bir kaynaktan gelen doğru görünümlü bir adres de şifreli olarak açılır.
HTTPS Uyarı Ekranları Ne Anlatır?
Tarayıcı bir uyarı gösteriyorsa üç kontrolden biri başarısız olmuştur. Hangisi olduğunu bilmek, ilerlenip ilerlenmeyeceğine karar vermenizi sağlar.
Süresi dolmuş
Sertifikanın geçerlilik tarihi geçmiş. Çoğu zaman site sahibinin yenilemeyi unutmasıdır, ama cihazınızın tarih ve saatinin yanlış olması da aynı uyarıyı üretir. Önce kendi saatinizi kontrol edin.
Güvenilmeyen imzalayan
İmza zinciri tarayıcının tanıdığı bir köke ulaşmıyor. Kurum ağlarında bilinçli olarak kurulmuş trafik denetimi bunu üretebilir; ev bağlantısında beklenmedik biçimde çıkıyorsa araya giren bir yapılandırma var demektir.
Sık Sorulan Sorular
HTTPS, tarayıcı ile sunucu arasındaki verinin şifrelenerek taşındığı ve yolda değiştirilemediği anlamına gelir. Aynı ağı dinleyen biri hangi alan adına bağlandığınızı görür, ama yazdığınız şifreyi, gezdiğiniz sayfaları ve sayfa içeriğini göremez. Şifrelemenin kapsamı hattır; bağlandığınız yerin kim olduğu ayrı bir sorudur.
Hayır. Kilit yalnızca bağlantının şifreli olduğunu ve sunucunun o alan adının denetimine sahip olduğunu gösterir. Sahte bir site de kendi alan adı için birkaç dakikada ücretsiz sertifika alabilir ve aynı kilidi gösterir. Güvenilirlik sorusunu cevaplayan şey kilit değil, adresin harf harf doğru olmasıdır.
Şifreniz yolda okunmaz, bu doğru. Ama şifreli tünelin diğer ucunda kim varsa şifreyi o alır. Yanlış bir adrese girip HTTPS üzerinden şifre yazmak, şifreyi doğrudan karşı tarafa teslim etmektir. Bu yüzden sıralama önemlidir: önce adres doğrulanır, sonra bilgi girilir.
Hiçbir bilgi girmeden yalnızca okuduğunuz bir sayfada risk düşüktür, ama sıfır değildir: HTTP trafiği yolda değiştirilebilir, sayfaya kod veya reklam eklenebilir. Giriş ekranı, form ya da ödeme adımı HTTP üzerinde açılıyorsa orada işlem yapmayın; bu artık bir tercih değil, açık bir teknik eksikliktir.
Uyarı türüne bağlıdır ama pratik cevap hayırdır. Ad uyuşmazlığı uyarısında ilerlemek şifrelemenin sağladığı korumayı fiilen iptal eder. Süresi dolmuş sertifika uyarısında önce kendi cihazınızın tarih ve saatini kontrol edin; sorun sizde değilse siteye bilgi girmeden ayrılmak en doğrusudur.
Arkalarındaki inceleme daha derindir, ama tarayıcılar artık EV sertifikasını görsel olarak ayırt etmez. Adres çubuğunda dakikalar içinde alınmış bir DV sertifikasıyla haftalar süren bir EV sertifikası birbirinin aynı görünür. Dolayısıyla kullanıcı açısından bu ayrım pratikte bir güvenlik göstergesi işlevi görmez.
Hayır. Tarayıcılar bir dönem EV sertifikalarını yeşil renkle ayırıyordu, sonra bu ayrımı kaldırdılar çünkü kullanıcıların renk üzerinden yanlış sonuçlar çıkardığı görüldü. Bugün gri kilit standart görünümdür. Renge değil, uyarı olup olmadığına ve adresin kendisine bakın.
İlgili sayfalar
- sahte bahis sitesi nasıl anlaşılırTaklit bahis siteleri gerçeğinin birebir kopyasıdır; fark adreste ve sertifikada gizlidir. Altı kontrolle 20 saniyede ayırt etme rehberi.
- 502 hata kodu ne demek403, 404, 502, 522 ve zaman aşımı hatalarının her biri farklı bir katmanı işaret eder. Hangisi sizde, hangisi sunucuda: kod kod ayrım tablosu.