SSL Türleri: DV, OV ve EV Sertifikaları Arasındaki Farklar

SSL sertifikalarının hepsi aynı şifrelemeyi kullanır. DV bir sertifikanın kurduğu bağlantı ile EV bir sertifikanın kurduğu bağlantı arasında güvenlik gücü farkı yoktur; ikisi de aynı TLS sürümünü ve aynı şifre takımlarını destekler.

Aradaki fark tamamen doğrulama tarafındadır: sertifika makamı, sertifikayı vermeden önce başvuranın kim olduğunu ne kadar derin araştırıyor? DV yalnızca alan adının kontrolünü doğrular, OV işletmenin varlığını da doğrular, EV ise bunun üstüne resmi kayıt ve faaliyet kontrolü ekler.

Bu ayrım fiyatı, çıkış süresini ve istenen belgeleri belirler. Aşağıda üç seviyeyi başvuru gerçekliğiyle karşılaştırıyoruz.

DV: Alan adı doğrulamalı sertifika

Domain Validation, yalnızca “bu alan adını sen mi yönetiyorsun?” sorusunu yanıtlar. Doğrulama üç yoldan biriyle yapılır: alan adının WHOIS ya da standart yönetim adresine (admin@siteadi.com) gelen e-postayı yanıtlamak, sunucuya /.well-known/pki-validation/ altına bir doğrulama dosyası koymak veya DNS’e bir TXT kaydı eklemek.

Süre dakikalarla ölçülür. Otomatik sistemlerde başvurudan 2-5 dakika sonra sertifika elinizdedir. Hiçbir belge istenmez, şahıs da başvurabilir. Let’s Encrypt sertifikaları da DV sınıfındadır; ücretli DV sertifikalarından teknik farkı yoktur, temel farkları geçerlilik süresi ve garanti kapsamıdır.

OV: Kurum doğrulamalı sertifika

Organization Validation’da sertifika makamı alan adı kontrolüne ek olarak işletmenin gerçekten var olduğunu araştırır. Türkiye’deki başvurularda genelde şu adımlar işler:

• Ticaret sicil kaydının bağımsız bir kaynaktan doğrulanması (ticaret sicil gazetesi, ilgili oda kaydı).
• Şirket adresinin bağımsız bir dizinde teyidi.
• Kayıtlı sabit telefon numarası üzerinden geri arama; sertifika makamı arar ve başvuruyu yapan kişiyi ister.
• Bazı makamlarda imza sirküleri veya faaliyet belgesi talebi.

Süre pratikte 1-3 iş günüdür. En sık gecikme nedeni, şirketin sabit telefonunun bağımsız bir dizinde kayıtlı olmaması veya arayan numaranın açılmamasıdır. Cep telefonu tek başına genelde kabul edilmez.

Sertifikanın içine kurum adı, şehir ve ülke bilgisi yazılır. Ziyaretçi sertifika ayrıntılarını açtığında “Verilen kuruluş” alanında şirket unvanını görür.

EV: Genişletilmiş doğrulamalı sertifika

Extended Validation, CA/Browser Forum’un yayımladığı sabit bir kontrol listesine göre yürür. OV’deki her şeye ek olarak şirketin en az belirli bir süredir faal olması, imza yetkilisinin teyidi ve çoğu zaman avukat ya da mali müşavir onaylı bir beyan istenir. Süre 3-10 iş günü arasında değişir, eksik belge varsa daha da uzar.

Burada bilinmesi gereken kritik nokta şudur: EV sertifikaların meşhur yeşil adres çubuğu artık yok. Chrome 77 ve Firefox 70 sürümlerinden itibaren tarayıcılar adres çubuğunda şirket adını göstermeyi bıraktı. Bugün EV bir sertifikayla DV bir sertifika, adres çubuğunda tamamen aynı görünür; fark yalnızca sertifika ayrıntıları penceresinde görülür. Dolayısıyla “müşteri şirket adını görsün diye” EV almak bugün karşılığı olmayan bir gerekçedir.

Karşılaştırma tablosu

Fiyat aralıkları ve garanti

Fiyatlar makama ve markaya göre çok değişir, ama piyasa genelinde yıllık aralıklar kabaca şöyledir: DV ücretsizden başlar, ücretli DV genelde 10-40 USD karşılığı bandındadır. OV çoğunlukla 50-150 USD, EV ise 130-400 USD karşılığı aralığında dolaşır. Wildcard sürümler (tek sertifikayla sınırsız alt alan adı) aynı seviyenin 3-5 katı fiyatlanır; wildcard sertifikanın ne zaman mantıklı olduğu ayrı bir hesap konusudur.

Ücretli sertifikalarla gelen “garanti” tutarını yanlış anlamayın. Bu tutar sizin sitenize değil, sertifika makamının hatalı sertifika vermesi durumunda zarar gören son kullanıcıya ödenen sigorta bedelidir. Pratikte satın alma kararında ağırlığı olmamalıdır.

Hangi site tipine hangisi

• Kişisel site, blog, kurumsal tanıtım sitesi, form almayan siteler: DV yeterlidir. Otomatik yenilenen ücretsiz sertifika işi görür.
• Üyelik alan, form toplayan, KVKK kapsamında kişisel veri işleyen siteler: DV teknik olarak yeter; kurumsal kimliğin sertifikada görünmesi isteniyorsa OV tercih edilir.
• E-ticaret ve sanal POS kullanan siteler: Banka veya ödeme kuruluşu bazen OV şartı koyar. Sözleşmeyi imzalamadan önce bankanın teknik dokümanında sertifika tipi şartı olup olmadığını sorun; şart yoksa DV ile başlayabilirsiniz.
• Banka, sigorta, aracı kurum gibi düzenlemeye tabi kuruluşlar: İç mevzuat veya denetim gereği EV istenebilir. Bu durumda karar teknik değil uyum kararıdır.

Hangi seviyeyi seçerseniz seçin, sertifikanın doğru alan adı için düzenlendiğinden ve bitiş tarihinin takip edildiğinden emin olun. Süresi dolan bir EV sertifika, geçerli bir DV sertifikadan çok daha kötü bir kullanıcı deneyimi üretir.

Özetle

• Üç seviye arasında şifreleme farkı yoktur; fark doğrulamanın derinliğindedir.
• DV dakikalar içinde çıkar ve belge istemez; OV 1-3 iş günü ve sicil kaydı ister; EV 3-10 iş günü ve yetki beyanı ister.
• EV’nin yeşil adres çubuğu 2019’dan beri tarayıcılarda gösterilmiyor; görsel bir üstünlüğü kalmadı.
• Çoğu küçük ve orta ölçekli site için DV yeterlidir; OV ve EV kararı genelde banka veya mevzuat şartından doğar.