Şifreleme gücü ikisinde de aynıdır. Tarayıcıdaki asma kilit de aynı görünür. Fark, şifrelemede değil; sertifikanın arkasında kimin doğrulandığında ve bir sorun çıktığında kimin sorumluluk üstlendiğindedir.
Kısa cevap: ücretsiz SSL yeterli mi?
Teknik olarak evet: ücretsiz sertifikalar da aynı şifreleme standartlarını kullanır ve tarayıcılar arasında farksız görünür. Fark üç başlıkta ortaya çıkar — doğrulama seviyesi, garanti kapsamı ve destek. Tanıtım siteleri, bloglar ve iç projeler için ücretsiz sertifika çoğu durumda doğru tercihtir. Ödeme alan, kişisel veri toplayan veya kurumsal müşteriye satış yapan siteler içinse kurum doğrulamalı (OV) bir sertifika, teknik değil ticari bir gerekçeyle anlamlıdır: müşteriniz sertifika detayına baktığında karşısında şirketinizin adını görür.
Teknik olarak aynı, ticari olarak farklı
| Kriter | Ücretsiz (DV) | Ücretli (DV/OV/EV) |
|---|---|---|
| Şifreleme gücü | Aynı standart | Aynı standart |
| Tarayıcı görünümü | Asma kilit | Asma kilit |
| Doğrulanan şey | Alan adı kontrolü | Alan adı + kurum kimliği (OV/EV) |
| Sertifika detayında görünen | Yalnızca alan adı | Şirket unvanı ve konumu |
| Garanti | Yok | Sağlayıcıya göre tanımlı bir kapsam |
| Destek | Topluluk kaynakları | Sağlayıcı desteği |
| Geçerlilik süresi | Kısa; otomasyon şart | Kısa; otomasyon önerilir |
| Wildcard / çoklu alan adı | Genellikle destekler | Destekler |
Tablonun okunma biçimi şudur: ziyaretçinin gördüğü şey açısından fark yoktur; kurumsal alıcının incelediği şey açısından fark vardır. Bir kurumsal müşteri, tedarikçi denetiminde sertifika detayına bakabilir; orada şirket adı görmek, güven değerlendirmesinde ölçülebilir bir katkı sağlar.
Hangi işletme için ücretli anlamlı?
- Ödeme alan siteler. Kart bilgisi girilen bir sayfada kurum doğrulaması, hem müşteri algısı hem denetim gereklilikleri açısından değerlidir.
- Kurumsal müşteriye satış yapan işletmeler. Tedarikçi değerlendirme süreçlerinde sertifika tipi sorulabiliyor.
- Kişisel veri toplayan sistemler. Üyelik, başvuru veya sağlık/finans verisi içeren formlar.
- Birden çok alt alan adı yöneten yapılar. Merkezî yönetim ve destek ihtiyacı arttıkça ücretli çözümler pratikleşir.
- Otomasyon kuramayan ortamlar. Ücretsiz sertifikaların kısa geçerlilik süresi otomasyon gerektirir; otomasyonun mümkün olmadığı yapılarda uzun ömürlü ve destekli bir çözüm daha az risk üretir.
Buna karşılık şu durumlarda ücretsiz sertifika yeterlidir: tanıtım sitesi, blog, portföy, iç kullanım araçları ve test ortamları. Sertifika tiplerinin ayrıntılı karşılaştırmasını DV/OV/EV yazımızda ele aldık.
Asıl risk: yenileme ve kesinti
Pratikte SSL kaynaklı sorunların büyük kısmı sertifikanın tipiyle değil, yenileme sürecinin yönetilmemesiyle ilgilidir. En sık karşılaşılan üç senaryo:
- Otomatik yenileme sessizce bozuldu. DNS değişikliği, yönlendirme kuralı veya sunucu taşıma sonrası doğrulama başarısız olur; sistem hata vermez, yalnızca yenilemez.
- Sertifika yenilendi ama kurulmadı. Üretim ile kurulum ayrı adımlarsa, ikincisi başarısız olduğunda tarayıcı yine uyarı gösterir.
- Ara sertifika eksik kaldı. Bazı tarayıcılar sorun göstermezken bazıları uyarı verir; bu, en zor fark edilen hatadır çünkü "bende çalışıyor" denir.
Üçü de tipten bağımsızdır ve üçü de izlemeyle önlenebilir. Sertifika bitiş tarihini izleme sisteminize eklemek ve yenileme takvimini envanterde tutmak — yenileme takvimi yazımızda anlattığımız kurgu — bu riski büyük ölçüde kapatır.
Seçim kontrol listesi
- Sitede ödeme veya hassas veri toplanıyor mu? Evetse OV değerlendirin.
- Kurumsal alıcı denetimi söz konusu mu? Evetse sertifika detayında şirket adı görünmesi avantaj sağlar.
- Otomatik yenileme kurulabiliyor mu? Kurulamıyorsa destekli çözüm daha az risklidir.
- Kaç alan adı ve alt alan adı kapsanacak? Sayı arttıkça yönetim maliyeti belirleyici olur.
- Yenileme sorumlusu belirlendi mi? Tip ne olursa olsun bu soru cevaplanmalıdır.
- Bitiş tarihi izleniyor mu? İzleme, sertifika tipinden daha belirleyicidir.
- Kurulum sonrası zincir doğrulandı mı? Ara sertifika eksikliği ayrıca kontrol edilmelidir.
- Karışık içerik uyarısı var mı? Sayfadaki bazı kaynaklar şifresiz yükleniyorsa asma kilit yine kırılır.
Netişlem uzman görüşü: soru "hangi sertifika" değil, "kim takip ediyor"
SSL tartışmalarının çoğu ücretli-ücretsiz ekseninde yürüyor. Oysa sahada gördüğümüz sorunların neredeyse tamamı takip eksikliğinden kaynaklanıyor: süresi dolan sertifika, kurulmamış yenileme, eksik ara sertifika. Bunların hiçbiri sertifikanın bedeliyle ilgili değil. Yenileme sorumlusu belirlenmiş bir işletme, ücretsiz sertifikayla da sorunsuz çalışıyor; belirlenmemiş bir işletme ise ücretli sertifikayla da kesinti yaşıyor.
İkinci gözlemimiz, kurum doğrulamasının değerinin ziyaretçide değil kurumsal alıcıda ortaya çıkması. Bireysel ziyaretçilerin büyük kısmı sertifika detayına hiç bakmıyor. Ancak tedarikçi değerlendirmesi yapan bir kurumsal müşteri bakabiliyor ve orada şirket adının görünmesi, güven tarafında somut bir fark yaratıyor. Bu yüzden kararı hedef kitleye göre vermek daha doğru.
Üçüncüsü, karışık içerik sorununun sıklığı. Sertifika kusursuz kurulmuş olsa bile, sayfadaki tek bir şifresiz görsel veya betik asma kilidi kırıyor. Kurulum sonrası tüm sayfaları değil, en azından ödeme ve form sayfalarını ayrı ayrı kontrol etmek gerekiyor.
Sık sorulan sorular
Ücretsiz sertifika daha az güvenli mi?
Hayır. Şifreleme aynı standartlarla yapılır ve tarayıcılar arasında güven düzeyi açısından fark yoktur. Fark, sertifikanın kime verildiğinin ne kadar doğrulandığı ve arkasındaki ticari taahhütlerdedir.
Garanti bedeli gerçekten işe yarar mı?
Kapsamı dar ve şartları belirlidir; sertifikanın hatalı düzenlenmesi gibi belirli durumları kapsar. Kendi güvenlik açığınızdan doğan zararları karşılamaz. Bu nedenle karar gerekçesi olarak garantiden çok doğrulama seviyesi ve destek daha anlamlıdır.
Sertifikamın süresi kısa, sürekli yenilemek zorunda mıyım?
Sektör uygulaması geçerlilik sürelerini kısaltma yönünde ilerliyor; bu, otomasyonu zorunlu hâle getiriyor. Otomasyon kurulduğunda süre kısalığı bir yük değil, avantaj olur: hatalı bir sertifikanın etkisi de kısa sürede sona erer.
EV sertifika hâlâ anlamlı mı?
Tarayıcılar EV sertifikalar için gösterdiği özel işaretleri büyük ölçüde kaldırdı; yani görsel avantajı azaldı. Ancak sertifika detayındaki kurum bilgisi hâlâ görünür ve belirli sektörlerde tercih edilebiliyor. Çoğu işletme için OV, maliyet-fayda açısından daha dengeli.
Wildcard sertifika mı, ayrı sertifikalar mı?
Çok sayıda alt alan adı varsa wildcard yönetimi kolaylaştırır. Ancak tek bir özel anahtarın tüm alt alan adlarını kapsaması, o anahtar ele geçtiğinde etki alanını genişletir. Kritik sistemleri ayrı sertifikayla yönetmek daha güvenli bir yaklaşımdır.
Sonuç
Ücretsiz ve ücretli sertifika arasındaki fark güvenlik değil doğrulama, garanti ve destektir. Tanıtım siteleri için ücretsiz sertifika yeterlidir; ödeme alan ve kurumsal alıcıya satış yapan işletmeler için kurum doğrulaması ticari bir yatırımdır. Her iki durumda da asıl belirleyici olan sertifikanın tipi değil, yenilemenin takip edilip edilmediğidir.
Sertifika yapınızı gözden geçirmemizi isterseniz bize ulaşın. SSL sertifikası, SSL çözümlerimiz ve e-ticaret hosting sayfalarımızı inceleyebilirsiniz.