Ücretsiz SSL mi Ücretli SSL mi? Let’s Encrypt’in Gerçek Farkı

“Ücretsiz SSL güvenli mi, yoksa parasını verip almak mı lazım?” Hosting satın alan hemen herkesin sorduğu soru bu. Cevabın teknik kısmı sandığınızdan kısa: şifreleme aynıdır. Let’s Encrypt ile üretilmiş bir sertifika da, yüzlerce dolarlık bir sertifika da aynı TLS protokolünü, aynı anahtar uzunluklarını ve aynı şifre paketlerini kullanır. Tarayıcı ikisinde de aynı kilidi gösterir, trafiğin gizliliği ikisinde de aynıdır.

O halde fark nerede? Üç yerde: doğrulama seviyesi, garanti ve destek. Bunlar teknik değil, kurumsal ve hukuki farklardır ve bazı işletmeler için gerçekten önemlidir, çoğu için hiç değildir.

Aşağıda bu üç başlığı tek tek açıp, ücretsiz sertifikanın nerede yeterli, nerede yetersiz kaldığını somutlaştıralım.

Şifreleme aynı, doğrulama farklı

Sertifika iki iş yapar: trafiği şifreler ve karşı tarafın kimliğini doğrular. Birincisi standarttır. İkincisi sertifikayı düzenleyen kurumun ne kadar araştırma yaptığına bağlıdır ve üç seviyesi vardır.

Let’s Encrypt ve cPanel’in AutoSSL’i yalnızca DV üretir. Yani sertifika “bu alan adı bu kişinin kontrolünde” der, “bu site ABC Ltd. Şti.’ye aittir” demez. OV ve EV’de sertifika otoritesi ticaret sicil kaydınıza, vergi levhanıza ve bazen kayıtlı telefon numaranıza bakar. Türkiye’de bu doğrulama genelde ticaret sicil gazetesi ve şirket telefonunun bağımsız bir rehberde bulunmasıyla yürür.

Önemli bir gerçek: EV’nin bir zamanlar sunduğu yeşil adres çubuğu ve şirket adı gösterimi artık yok. Chrome ve Firefox bunu yıllar önce kaldırdı. Bugün EV’nin farkı, ziyaretçinin sertifika ayrıntılarını açtığında şirket bilgisini görmesinden ibarettir. Sertifika türleri arasındaki ayrımı derinlemesine ele aldığımız DV, OV ve EV SSL türleri yazısına bakabilirsiniz.

Garanti ve destek gerçekte ne anlama geliyor

Ücretli sertifikaların pazarlamasında öne çıkan “250.000 USD garanti” gibi ifadeler yanlış anlaşılır. Bu garanti sizin sitenizin hacklenmesini karşılamaz. Sertifika otoritesinin hatalı sertifika düzenlemesi sonucu zarar gören son kullanıcıyı korumak için vardır ve pratikte talep edilmesi son derece nadirdir. Sitenizin güvenliğiyle ilgili bir sigorta değildir.

Destek farkı daha somut. Ücretli sertifikada kurulum sorunu yaşadığınızda arayacağınız bir muhatap, zincir dosyası, yeniden düzenleme (reissue) hakkı ve iptal imkânı vardır. Ücretsiz sertifikada muhatabınız kendi barındırma sağlayıcınızdır. Paylaşımlı bir hosting hesabında bu genelde sorun değildir, çünkü AutoSSL zaten sağlayıcı tarafından işletilir.

Özetle ücretli sertifikanın bedeli, teknik üstünlük değil; kimlik doğrulaması, sorumluluk ve destek bedelidir.

90 gün ve otomatik yenileme meselesi

Let’s Encrypt sertifikaları 90 gün geçerlidir ve istemciler genelde 30 gün kala, yani 60. günde yenilemeye başlar. Bu kısa ömür kasıtlıdır: sızan bir anahtarın zararı sınırlı kalır ve herkes otomasyona zorlanır. Sektör bu yönde ilerliyor; ücretli sertifikaların azami ömrü de yıllar içinde kademeli olarak kısaltılıyor. Yani “bir kere alıp üç yıl unutayım” dönemi kapandı, ücretli tarafta bile.

Ücretsiz SSL’de risk sertifikanın kalitesi değil, yenilemenin sessizce durmasıdır. Genelde şu üç durumda durur:

• Alan adının DNS’i başka bir sunucuya taşınmış, doğrulama artık siteye ulaşamıyor.
• .htaccess kuralları veya bir güvenlik eklentisi .well-known dizinine erişimi kapatmış.
• DNS bölgesinde başka bir sağlayıcıyı işaret eden bir CAA kaydı bırakılmış.

Bu sorunların teşhisini ve düzeltmesini SSL süresi doldu yazısında adım adım anlattık. Kısa özet: yenilemeyi otomatiğe bırakın ama bir izleme kurun, çünkü sessiz duran otomasyonu ancak müşteriniz fark eder.

Ücretsiz SSL’in yetmediği durumlar

Çoğu site için DV yeterlidir. Şu senaryolarda değildir:

1. Kurumsal uyum şartı. Bir kamu kurumuna, bankaya veya büyük bir müşteriye entegre oluyorsanız sözleşme OV veya EV isteyebilir. Bu teknik değil, idari bir şarttır; tartışılmaz.
2. Marka güveninin belge ile gösterilmesi. Sigorta, finans, sağlık gibi sektörlerde kurumsal kimliğin sertifikada görünmesi bir tercih olabilir.
3. Kod imzalama ve S/MIME. Yazılım imzalamak ya da e-postayı dijital imzayla göndermek istiyorsanız bunlar tamamen farklı sertifika türleridir ve ücretsiz web sertifikasıyla yapılmaz.
4. Otomasyonun mümkün olmadığı ortamlar. Sertifikayı elle yükleyebildiğiniz kapalı bir cihaz veya eski bir sistem varsa, 90 günlük döngü işletilemez hale gelebilir.
5. Ticari destek ihtiyacı. Kurulumun sözleşmeye bağlı bir destekle yapılması isteniyorsa ücretli sertifika alırsınız.

Bu listede olmayan her şey için ücretsiz sertifika teknik olarak yeterlidir ve ücretli olana göre eksik bir koruma sağlamaz.

E-ticaret için nasıl karar verilir

Türkiye’de küçük ve orta ölçekli bir e-ticaret sitesinde ödeme genelde sanal POS sağlayıcısının kendi sayfasında ya da iframe içinde tamamlanır. Kart verisi sizin sunucunuza hiç düşmez; dolayısıyla ödeme güvenliğini belirleyen şey sizin sertifikanızın türü değildir. Bu senaryoda DV yeterlidir ve para ücretsiz sertifikadan tasarruf etmek yerine yedekleme, güncelleme ve temel güvenlik önlemlerine harcanmalıdır.

Kart verisini kendiniz işliyor ya da saklıyorsanız tablo değişir: PCI DSS kapsamına girersiniz, denetim gerekir ve denetçi kurumsal doğrulanmış bir sertifika isteyebilir. Ayrıca KVKK açısından da kişisel verinin aktarımının şifreli olması gerekir; bunu DV sertifika da sağlar, ama kurumsal kimliğin belgelenmesi ayrı bir konudur.

Pratik bir kural: aylık ciro büyüdükçe ve kurumsal müşteri oranı arttıkça OV’ye geçmenin anlamı artar. Bireysel müşteriye satan bir mağazada ziyaretçinin sertifika türünü kontrol etme ihtimali neredeyse sıfırdır. Seçenekleri karşılaştırmak isterseniz SSL sertifikaları sayfasındaki türleri gözden geçirin.

Özetle

• Ücretsiz ve ücretli sertifikada şifreleme aynıdır; fark doğrulama seviyesi, garanti ve destektir.
• Let’s Encrypt ve AutoSSL yalnızca DV üretir; OV ve EV şirket belgesi ister.
• EV’nin yeşil adres çubuğu artık yok; görünür bir pazarlama avantajı beklemeyin.
• 90 günlük ömür sorun değil, denetlenmeyen otomasyon sorundur; yenilemeye izleme ekleyin.
• Kurumsal uyum, kod imzalama veya sözleşmeli destek gerekmiyorsa DV sertifika çoğu e-ticaret sitesi için yeterlidir.