Kayıt ol

Tovala Akıllı Fırın Deneyimi: Paket Servisten Daha İyi mi?FortiMail'de Kritik Zero-Day Açığı Aktif Saldırılarda Kullanılıyor Meadow: Sosyal Medyasız Minimalist Telefon Deneyimi California'da Gizli Kayıt Yapan Akıllı Gözlük Yasasına Veto Hello Robot Stretch 4, TechCrunch Disrupt 2026'da Canlı Tanıtılacak

JavaScript devre dışı. Daha iyi bir deneyim için, önce lütfen tarayıcınızda JavaScript'i etkinleştirin.

WordPress SSL ve HTTPS Kurulumu: Sertifika, Yönlendirme ve Karışık İçerik Rehberi

Mesaj: <blockquote data-quote="Admin" data-source="post: 12813" data-attributes="member: 1"><p><h2>WordPress SSL ve HTTPS Kurulumu: Sertifika, Yönlendirme ve Karışık İçerik Rehberi</h2><p>WordPress sitesini HTTPS’e geçirmek, yalnızca adresin başına <code class="bbCodeInline">https://</code> yazmaktan ibaret değildir. Sunucuda geçerli bir sertifika bulunmalı, WordPress doğru adresleri kullanmalı ve eski HTTP bağlantıları HTTPS sürümlerine yönlendirilmelidir.</p><p>Bunlardan biri eksik kaldığında site açılabilir ama görseller yüklenmeyebilir, yönetim panelinde yönlendirme döngüsü oluşabilir veya tarayıcı sertifika uyarısı gösterebilir.</p><p>Kurulumu doğru sırayla yapmak, bu sorunların büyük bölümünü önler. Aşağıdaki adımlar, mevcut WordPress sitesini HTTPS’e geçirirken izlenebilecek yolu anlatır.</p><h2>SSL, TLS ve HTTPS Arasındaki Fark Nedir?</h2><p>Hosting panellerinde hâlâ “SSL sertifikası” ifadesi kullanılsa da günümüzde güvenli bağlantı için TLS protokolü kullanılır. HTTPS, HTTP iletişiminin TLS üzerinden korunmasıdır.</p><p>Doğru yapılandırılmış bir HTTPS bağlantısı:</p><ul> <li data-xf-list-type="ul">Tarayıcı ile bağlantının sonlandığı sunucu arasındaki veriyi şifreler.</li> <li data-xf-list-type="ul">Aktarım sırasında verinin değiştirilmesine karşı koruma sağlar.</li> <li data-xf-list-type="ul">Sertifikanın ziyaret edilen alan adıyla eşleşmesini doğrular.</li> </ul><p>Ancak HTTPS, sitenin içeriğinin doğru olduğunu veya işletmenin güvenilir olduğunu tek başına kanıtlamaz. Zararlı bir site de geçerli sertifika kullanabilir.</p><p>WordPress’te HTTPS hem ziyaretçiler hem yönetici için önemlidir. Giriş bilgileri, oturum çerezleri ve form verileri korunması gereken bilgiler arasındadır.</p><h2>Kuruluma Başlamadan Önce Hazırlık Yapın</h2><p>Önce dosyaların ve veritabanının güncel yedeğini alın. Ayrıca şu bilgileri kaydedin:</p><ul> <li data-xf-list-type="ul">WordPress Adresi ve Site Adresi.</li> <li data-xf-list-type="ul">Tercih ettiğiniz alan adı: <code class="bbCodeInline">www</code> içeren veya içermeyen sürüm.</li> <li data-xf-list-type="ul">Mevcut yönlendirme kuralları.</li> <li data-xf-list-type="ul">Kullanılan CDN veya ters proxy.</li> <li data-xf-list-type="ul">Sertifikanın kapsaması gereken alan adları.</li> </ul><p>HTTPS geçişi sırasında mümkünse alan adı, kalıcı bağlantı yapısı ve tema gibi başka büyük değişiklikleri aynı anda yapmayın. Böylece oluşabilecek bir sorunun nedenini daha kolay belirleyebilirsiniz.</p><h2>1. Hosting Panelinden Sertifikayı Etkinleştirin</h2><p>Sertifika, HTTPS bağlantısını karşılayan web sunucusunda veya ilgili proxy katmanında yapılandırılır. WordPress adres ayarı, bu işlemin yerine geçmez.</p><p>Hosting panelinizde şu bölümlerden biri bulunabilir:</p><table style='width: 100%'><tr><th>Panel</th><th>Kontrol edilebilecek bölüm</th></tr><tr><td>cPanel</td><td>SSL/TLS Status ve sağlayıcı etkinleştirmişse AutoSSL</td></tr><tr><td>Plesk</td><td>SSL/TLS Certificates veya SSL It!</td></tr><tr><td>DirectAdmin</td><td>SSL Certificates</td></tr><tr><td>Yönetilen WordPress hizmeti</td><td>Domain veya güvenlik ayarları</td></tr></table><p></p><p>Menü adı ve otomatik sertifika desteği sağlayıcıya göre değişebilir.</p><p>cPanel’in <strong>SSL/TLS Status</strong> ekranında domainlerin sertifika durumunu inceleyebilirsiniz. AutoSSL seçeneklerinin kullanılabilirliği sunucu yöneticisinin yapılandırmasına bağlıdır.</p><h3>Ücretsiz sertifika kullanılabilir mi?</h3><p>Let’s Encrypt ücretsiz DV sertifikaları sağlar. Hosting sağlayıcınız destekliyorsa kurulum ve yenileme panel üzerinden otomatik yürütülebilir. Ancak otomasyonun gerçekten etkin olduğunu kontrol etmek gerekir.</p><p>Sertifika üretilemiyorsa olası nedenler arasında yanlış DNS kayıtları, doğrulama isteğinin engellenmesi ve sertifika otoritesini sınırlandıran CAA kayıtları bulunur. Doğrulama yöntemi HTTP veya DNS üzerinden olabilir; her kurulumun gereksinimi aynı değildir.</p><h3>Hangi adresler sertifikaya dahil edilmeli?</h3><p>Şu iki adresi kullanıyorsanız ikisini de kontrol edin:</p><p>[CODE]ornek.com</p><p>www.ornek.com[/CODE]</p><p>Bir adresten diğerine yönlendirme yapılması, kaynak HTTPS adresinin sertifika ihtiyacını ortadan kaldırmaz. Tarayıcı, yönlendirme yanıtını almadan önce TLS bağlantısını kurar.</p><p>DV, OV ve EV sertifikaları doğrulama seviyesini ifade eder. Wildcard ve SAN ise kapsanan isimlerle ilgilidir; aynı sınıflandırma değildir.</p><p>Örneğin <code class="bbCodeInline">*.ornek.com</code>, uygun alt alan adlarını kapsayabilir ama tek başına <code class="bbCodeInline">ornek.com</code> veya daha derindeki <code class="bbCodeInline">a.b.ornek.com</code> için geçerli sayılmaz. Sertifikanın isim listesini kontrol edin.</p><h2>2. WordPress Ayarlarını Değiştirmeden HTTPS’i Test Edin</h2><p>Tarayıcıda sitenizin HTTPS adresini açın:</p><p><code class="bbCodeInline">https://ornek.com/</code></p><p>Şunları kontrol edin:</p><ul> <li data-xf-list-type="ul">Sertifika alan adıyla eşleşiyor mu?</li> <li data-xf-list-type="ul">Süresi geçerli mi?</li> <li data-xf-list-type="ul">Tarayıcı güven uyarısı gösteriyor mu?</li> <li data-xf-list-type="ul">Doğru site ve içerik açılıyor mu?</li> </ul><p>Bazı tarayıcılar artık klasik kilit simgesini kullanmaz. Bu yüzden yalnızca simgeye bakmak yerine bağlantı ve sertifika ayrıntılarını inceleyin.</p><p>Geçerli HTTPS erişimini doğrulamadan WordPress adreslerini değiştirmek, yönetim paneline erişimi zorlaştırabilir.</p><h2>3. WordPress Adreslerini HTTPS Olarak Güncelleyin</h2><p>Yönetim panelinde <strong>Ayarlar → Genel</strong> bölümünü açın.</p><p>Burada iki alan bulunur:</p><table style='width: 100%'><tr><th>Alan</th><th>Anlamı</th></tr><tr><td>WordPress Adresi</td><td>WordPress dosyalarının bulunduğu adres</td></tr><tr><td>Site Adresi</td><td>Ziyaretçilerin siteye ulaşmak için kullandığı adres</td></tr></table><p></p><p>Bu adresler her kurulumda aynı olmayabilir. WordPress dosyaları alt dizindeyken site alan adının kökünden yayınlanabilir.</p><p>Mevcut alan adlarını ve dizin yollarını koruyarak protokolü değiştirin:</p><p><code class="bbCodeInline">http://ornek.com → https://ornek.com</code></p><p>Örneğin WordPress Adresi <code class="bbCodeInline">/wordpress</code> ile bitiyorsa, yalnızca HTTPS’e geçmek için bu yolu kaldırmayın.</p><p>Kaydettiğinizde yeniden giriş yapmanız istenebilir. Alanlar düzenlenemiyorsa <code class="bbCodeInline">wp-config.php</code> içinde <code class="bbCodeInline">WP_HOME</code> veya <code class="bbCodeInline">WP_SITEURL</code> tanımlanmış olabilir.</p><p>Yönetici oturumlarını HTTPS üzerinden zorlamak için, uygun sunucu yapılandırması tamamlandıktan sonra şu sabit de kullanılabilir:</p><p><code class="bbCodeInline">define( 'FORCE_SSL_ADMIN', true );</code></p><p>Bu ayar <code class="bbCodeInline">wp-config.php</code> içinde, WordPress yüklenmeden önce tanımlanmalıdır. Bütün sitenin HTTPS yönlendirmesinin yerine geçmez.</p><h2>4. HTTP İsteklerini HTTPS’e Yönlendirin</h2><p>Eski bağlantılar ve yer imleri HTTP adreslerini çağırmaya devam edebilir. Bu istekleri, aynı içeriğin HTTPS adresine yönlendirin.</p><p>Örneğin:</p><p><code class="bbCodeInline">http://ornek.com/iletisim/</code></p><p>şu adrese gitmelidir:</p><p><code class="bbCodeInline">https://ornek.com/iletisim/</code></p><p>Bütün iç sayfaları ana sayfaya göndermeyin.</p><p>Hosting panelinizde HTTPS yönlendirme seçeneği varsa önce onu değerlendirin. Panel, eklenti ve CDN üzerinde aynı yönlendirmeyi tekrar tekrar tanımlamak sorun takibini zorlaştırabilir.</p><h3>Apache için örnek .htaccess kuralı</h3><p>HTTPS’in doğrudan ilgili web sunucusunda sonlandığı bir ortamda şu örnek kullanılabilir:</p><p>[CODE]<IfModule mod_rewrite.c></p><p>RewriteEngine On</p><p>RewriteCond %{HTTPS} !=on</p><p>RewriteRule ^ https://ornek.com%{REQUEST_URI} [R=302,L]</p><p></IfModule>[/CODE]</p><p><code class="bbCodeInline">ornek.com</code> yerine kendi alan adınızı yazın. Bloğu <code class="bbCodeInline"># BEGIN WordPress</code> bölümünün üstüne, WordPress’in yönettiği alanın dışına yerleştirin.</p><p>Test sırasında <code class="bbCodeInline">302</code> kullanabilirsiniz. Hedefler doğru çalışıyorsa kalıcı yönlendirme için <code class="bbCodeInline">R=301</code> olarak değiştirin.</p><p>Nginx <code class="bbCodeInline">.htaccess</code> dosyasını okumaz. Böyle bir ortamda yönlendirme panel veya Nginx yapılandırması üzerinden yapılmalıdır.</p><h2>Cloudflare Kullanıyorsanız Bağlantının İki Tarafını Kontrol Edin</h2><p>Cloudflare arkasındaki bir sitede iki bağlantı vardır: ziyaretçi ile Cloudflare arasındaki bağlantı ve Cloudflare ile asıl sunucu arasındaki bağlantı.</p><p><strong>Flexible</strong> modunda ziyaretçi HTTPS kullanırken asıl sunucuya HTTP üzerinden ulaşılabilir. Sunucunun her HTTP isteğini HTTPS’e göndermesi bu yapıda yönlendirme döngüsü oluşturabilir.</p><p>Asıl sunucuda uygun sertifika bulunuyorsa <strong>Full (strict)</strong>, sunucu bağlantısını şifreleyip sertifikayı doğrular. Önce bu gereksinimleri sağlayın, ardından modu değiştirin.</p><p>WordPress’in gerçek bağlantı protokolünü doğru algılaması da gerekir. Proxy başlıklarına göre yapılan ayarlar, güvenilir proxy yapılandırmasına dayanmalıdır.</p><p>Sorunu çözmek için koşulsuz olarak <code class="bbCodeInline">$_SERVER['HTTPS'] = 'on';</code> eklemek doğru bir genel çözüm değildir.</p><h2>5. Karışık İçerik Hatalarını Temizleyin</h2><p>HTTPS sayfasının görsel, CSS, JavaScript veya başka bir kaynağı HTTP üzerinden istemesi <strong>mixed content</strong>, yani karışık içerik oluşturabilir.</p><p>Tarayıcılar bazı kaynakları HTTPS’e yükseltirken bazılarını engeller. Bu nedenle sorun her zaman görünür bir uyarı şeklinde ortaya çıkmaz; bozuk tasarım veya çalışmayan özellik olarak da görülebilir.</p><p>Tarayıcının geliştirici araçlarını açın. <strong>Console</strong> ve <strong>Network</strong> bölümlerinde HTTP üzerinden çağrılan kaynakları inceleyin.</p><p>Sık karşılaşılan kaynaklar:</p><ul> <li data-xf-list-type="ul">Yazılardaki eski görsel adresleri.</li> <li data-xf-list-type="ul">Tema ayarlarına kaydedilmiş logo bağlantıları.</li> <li data-xf-list-type="ul">Sayfa oluşturucuların içerikleri.</li> <li data-xf-list-type="ul">CSS dosyalarındaki sabit adresler.</li> <li data-xf-list-type="ul">Harici servis bağlantıları.</li> </ul><p>Normal bir dış bağlantının HTTP olmasıyla, sayfanın HTTP kaynağı yüklemesi aynı durum değildir. Sorunu tespit etmeden bütün bağlantıları topluca değiştirmeyin.</p><h3>Veritabanındaki adresleri değiştirme</h3><p>WordPress bazı ayarları serileştirilmiş veri olarak saklar. Düz SQL değiştirme işlemleri bu yapıyı bozabilir. Serileştirilmiş veriyi destekleyen bir araç kullanın.</p><p>Better Search Replace gibi bir eklentiyle işlem yapıyorsanız:</p><ol> <li data-xf-list-type="ol">Veritabanı yedeğini alın.</li> <li data-xf-list-type="ol">Eski ve yeni adresi tam olarak yazın.</li> <li data-xf-list-type="ol">İlgili siteye ait tabloları seçin.</li> <li data-xf-list-type="ol">Önce kuru çalıştırma yapın.</li> <li data-xf-list-type="ol">Sonuçları inceleyip gerçek işlemi başlatın.</li> </ol><p>Aynı veritabanında başka uygulamalar varsa bütün tabloları gelişigüzel seçmeyin. WordPress’in <code class="bbCodeInline">guid</code> alanlarını da HTTPS geçişi için değiştirmeyin.</p><h3>WP-CLI ile örnek işlem</h3><p>Doğru WordPress dizininde önce önizleme çalıştırın:</p><p><code class="bbCodeInline">wp search-replace 'http://ornek.com' 'https://ornek.com' --skip-columns=guid --dry-run</code></p><p>Sonuç uygun görünüyorsa:</p><p><code class="bbCodeInline">wp search-replace 'http://ornek.com' 'https://ornek.com' --skip-columns=guid</code></p><p>WP-CLI serileştirilmiş veriyi işleyebilir. Varsayılan olarak <code class="bbCodeInline">$wpdb</code> üzerinde kayıtlı tabloları kullanır; eklentilerin özel tabloları veya Multisite için kapsam ayrıca belirlenmelidir.</p><p>İşlemden sonra sayfa oluşturucunun ürettiği dosyaları gerekiyorsa yenileyin ve önbellekleri temizleyin.</p><p>Harici bir servis HTTPS desteklemiyorsa yalnızca adresindeki protokolü değiştirmek yeterli olmaz. Uygun bir kaynakla değiştirmek veya kaldırmak gerekir.</p><h2>HTTPS Eklentisi Kullanmak Şart mı?</h2><p>Hayır. Sertifika, site adresleri, yönlendirmeler ve içerik bağlantıları doğru yapılandırıldığında HTTPS için sürekli çalışan bir eklenti zorunlu değildir.</p><p>Really Simple Security gibi araçlar geçişi kolaylaştırabilir. Ancak sundukları özellikler sürüme ve pakete göre değişebilir.</p><p>Ayrıca ekranda üretilen HTTP adreslerini dinamik olarak değiştirmek, veritabanındaki kayıtların kalıcı biçimde düzeltildiği anlamına gelmez. Eklentinin yaptığı işlemi anlamak gerekir.</p><p>Eklenti kullanmanız, geçerli sertifika ve doğru sunucu yapılandırmasını kontrol etme ihtiyacını ortadan kaldırmaz.</p><h2>6. Kurulumu ve SEO Ayarlarını Doğrulayın</h2><p>Geçiş tamamlandığında şu kontrolleri yapın:</p><ul> <li data-xf-list-type="ul">HTTP adresleri doğru HTTPS karşılıklarına gidiyor mu?</li> <li data-xf-list-type="ul">Ana sayfa ve iç sayfalar açılıyor mu?</li> <li data-xf-list-type="ul">Yönetici girişi, formlar ve ödeme işlemleri çalışıyor mu?</li> <li data-xf-list-type="ul">Karışık içerik hatası kaldı mı?</li> <li data-xf-list-type="ul">Canonical adresler ve site haritası HTTPS kullanıyor mu?</li> <li data-xf-list-type="ul">Sertifika yenilemesi etkin mi?</li> </ul><p>Search Console’da HTTPS adreslerini kapsayan mülkü kontrol edin. Yalnızca HTTP’den HTTPS’e geçiş için <strong>Adres Değişikliği</strong> aracını kullanmanız gerekmez. Geçiş sırasında geçici sıralama dalgalanmaları görülebilir; HTTPS tek başına sıralama artışı garantisi değildir.</p><p>Sertifika testi, sunucu tarafındaki TLS yapılandırmasını incelemeye yardımcı olur. Ancak iyi bir test puanı, WordPress’in bütün işlevlerinin doğru çalıştığını kanıtlamaz.</p><h2>HSTS Ne Zaman Etkinleştirilmeli?</h2><p>HSTS, tarayıcıya belirli bir süre boyunca ilgili alan adına yalnızca HTTPS üzerinden bağlanmasını söyleyen bir yanıt başlığıdır.</p><p>Örnek:</p><p><code class="bbCodeInline">Strict-Transport-Security: max-age=300</code></p><p>Bu, kısa süreli bir deneme politikasıdır. HSTS zorunlu bir kurulum adımı değildir; HTTPS erişimi ve sertifika yenilemesi kararlı çalıştıktan sonra değerlendirilmelidir.</p><p>Şunları bilmek önemlidir:</p><ul> <li data-xf-list-type="ul">Başlık HTTPS yanıtında gönderilir.</li> <li data-xf-list-type="ul">Politika öğrenildikten sonraki bağlantıları etkiler.</li> <li data-xf-list-type="ul">Önceden politika bilinmiyorsa ilk HTTP isteğini tek başına korumaz.</li> <li data-xf-list-type="ul"><code class="bbCodeInline">includeSubDomains</code>, alt alan adlarını da kapsar.</li> <li data-xf-list-type="ul"><code class="bbCodeInline">preload</code>, ayrıca değerlendirilen bir tarayıcı listesi sürecidir.</li> </ul><p>Bu yüzden başlangıçta bütün alt alan adlarını kapsayan uzun bir politika eklemeyin. HTTPS desteklemeyen bir alt alan adı varsa erişim sorunu yaşayabilirsiniz.</p><h2>Yaygın Hatalar ve Çözümleri</h2> <table style='width: 100%'><tr><th>Sorun</th><th>Kontrol edilecek noktalar</th></tr><tr><td>Sertifika alan adıyla eşleşmiyor</td><td>Sertifikanın isim listesi ve doğru sanal sunucu</td></tr><tr><td>HTTPS açılıyor ama tasarım bozuk</td><td>Karışık içerik, eski CSS adresleri ve önbellek</td></tr><tr><td>Sonsuz yönlendirme oluşuyor</td><td>CDN modu, proxy protokol algısı ve çelişen kurallar</td></tr><tr><td>Yönetim paneline erişilemiyor</td><td>WordPress adresleri, sertifika ve yönetici yönlendirmeleri</td></tr><tr><td>Sertifika yenilenmemiş</td><td>Doğrulama erişimi, DNS, otomasyon ve hata kayıtları</td></tr><tr><td>Bazı alt alan adları açılmıyor</td><td>Sertifika kapsamı ve HSTS politikası</td></tr></table><h2></h2><h2>Sıkça Sorulan Sorular</h2><h3>WordPress için ücretli SSL almak gerekir mi?</h3><p>Her site için gerekmez. Uygun bir ücretsiz DV sertifikası HTTPS bağlantısı sağlayabilir. Kurumsal doğrulama gereksinimleri ayrıca değerlendirilir.</p><h3>SSL sertifikası süresi dolunca ne yapılmalı?</h3><p>Yenileme sisteminin neden başarısız olduğunu inceleyin. Sertifikalar süresi dolmadan yenilenmelidir; otomatik kurulum, otomatik yenilemenin her koşulda başarılı olacağı anlamına gelmez.</p><h3>HTTPS’e geçince eski bağlantılar çalışır mı?</h3><p>Doğru yönlendirme kurulursa eski HTTP bağlantıları ilgili HTTPS sayfasına ulaşabilir. İç sayfaların yollarını ve parametrelerini test edin.</p><h3>Hosting değiştirince sertifika yeniden alınmalı mı?</h3><p>Yeni sunucuda HTTPS yapılandırması gerekir. Uygun durumlarda mevcut sertifika ve özel anahtar güvenli şekilde taşınabilir veya yeni sertifika üretilebilir. Sertifika, kapsadığı alan adlarıyla ilişkilidir; yalnızca tek bir fiziksel sunucuya bağlı değildir.</p><h3>HTTPS bütün güvenlik sorunlarını çözer mi?</h3><p>Bağlantıyı korur. Zararlı eklentiler, zayıf parolalar, uygulama açıkları ve yedekleme ihtiyacı ayrıca ele alınmalıdır.</p></blockquote><p></p>