Plesk'te SSL sertifikası kurma ve siteyi HTTPS'e taşıma
Yazan: Datafex Teknik EkibiYayın: 3 dk okuma
Sertifikayı kurmak işin kolay yarısıdır; siteyi gerçekten HTTPS üzerinde çalıştırmak diğer yarısı. Sertifikası kurulu olduğu halde tarayıcıda hâlâ "güvenli değil" uyarısı veren sitelerin çoğunda sorun sertifikada değil, yönlendirme ve karışık içerik ayarındadır. Aşağıdaki sıra, Plesk panelli web hosting paketlerinde izlenmesi gereken haliyle.
Önce şunu doğrulayın: alan adı sunucuya bakıyor mu?
Ücretsiz sertifika veren doğrulama mekanizması, alan adının size ait olduğunu alan adı üzerinden bir dosya okuyarak kanıtlar. Bunun pratik sonucu şudur: alan adı hosting sunucusuna yönlendirilmeden sertifika kurulamaz. Yeni taşınan sitelerde en sık görülen hata budur — DNS hâlâ eski sağlayıcıyı gösterirken sertifika istenir, istek doğrulama hatasıyla döner ve suç sertifikaya yüklenir.
Doğru sıra şudur: önce DNS kaydı, sonra sertifika, sonra HTTPS yönlendirmesi. DNS tarafını alan adını hosting'e yönlendirme yazısında adım adım anlattık.
Sertifikayı kurmak
Panele, müşteri panelindeki hizmet detayında bulunan Plesk panelini aç düğmesiyle girersiniz; ayrı bir Plesk parolası girmeniz gerekmez ve düğme sizi doğrudan alan adlarınızın listelendiği ekrana bırakır.
- Alan adınızın kartında SSL/TLS sertifikaları bölümünü açın.
- Ücretsiz sertifika alma seçeneğini başlatın; SSL paketlere dahildir, ayrıca sertifika satın almanız gerekmez.
- Sertifikaya hangi adların dahil edileceğini seçin: alan adının kendisi, www'li hali ve kullanıyorsanız webmail adresi.
- Alt alan adlarınız varsa bunlar kendi kartlarında ayrı ayrı listelenir ve her biri için sertifika ayrıca istenir.
- İşlem bittiğinde sertifikanın alan adına atandığını aynı ekrandan doğrulayın; sunucuda kurulu olmakla o alan adında kullanılıyor olmak aynı şey değildir.
Kurulum birkaç saniye sürer. Tamamlanmıyorsa hata metnini sonuna kadar okuyun: metin neredeyse her zaman doğrulamanın hangi adımda kaldığını söyler ve bu bilgi olmadan denemeye devam etmek zaman kaybıdır.
www'yi sertifikanın dışında bırakmayın
Ziyaretçinin adres çubuğuna www yazmadığını varsaymayın. Sertifikada www'li ad yoksa o adrese gelen ziyaretçi güvenlik uyarısı görür — üstelik bunu siz fark etmezsiniz, çünkü siz siteyi kendi alıştığınız adresten açarsınız. İki adı da sertifikaya dahil edin, ardından birini diğerine yönlendirin ki hem ziyaretçi hem arama motoru tek bir adres görsün.
HTTPS'e zorunlu yönlendirme
Sertifika kurulduğunda site hem HTTP hem HTTPS üzerinden açılmaya devam eder; yani eski adres kapanmaz. Alan adının barındırma ayarlarında yer alan kalıcı 301 yönlendirme seçeneğini açtığınızda HTTP istekleri kalıcı olarak HTTPS'e taşınır. Yönlendirmenin 301 olması önemlidir: geçici yönlendirme arama motorlarına adresin kalıcı biçimde değiştiğini söylemez ve iki adres uzun süre ayrı ayrı taranır.
Karışık içerik: sayfa HTTPS, görseller HTTP
Yönlendirmeyi açtıktan sonra kilit simgesi hâlâ gelmiyorsa sebep genellikle budur. Sayfanın kendisi HTTPS'ten yüklenir ama içindeki bir görsel, yazı tipi ya da betik hâlâ şifresiz adresten çağrılır; tarayıcı sayfanın tamamını güvensiz sayar. Tarayıcının geliştirici konsolu hangi adresin karıştığını tek tek söyler. WordPress kullanıyorsanız bu adresler çoğunlukla veritabanındaki site adresi ayarında ve eski yazıların içeriğinde durur; adres değişiminin neden elle arama-değiştirme ile yapılmaması gerektiğini WordPress hosting rehberinde anlattık.
Yenileme otomatiktir, ama sessiz değildir
Ücretsiz sertifikaların ömrü kısadır ve panel bunları süresi dolmadan kendisi yeniler. Yenilemenin sessizce başarısız olduğu yaygın tek bir durum vardır: alan adı artık bu sunucuya bakmıyordur. DNS'i başka bir yere çevirip hosting paketini açık bıraktıysanız bir sonraki yenileme denemesi doğrulamada kalır ve bunu ancak sertifika süresi dolduğunda fark edersiniz. Büyük bir DNS değişikliğinden sonra panelden sertifika tarihine bir kez bakmak bu durumu kimse görmeden yakalar.
Sertifika kurulu ama tarayıcı hâlâ eskisini gösteriyor
Kurulumdan hemen sonra tarayıcıda eski uyarıyı görmeye devam etmeniz normaldir; tarayıcılar sertifika ve yönlendirme bilgisini bir süre kendi önbelleklerinde tutar. Doğru kontrol, siteyi gizli pencerede ve mümkünse başka bir cihazdan açmaktır. Sorun yalnızca bir cihazda sürüyorsa sertifikada değil, o cihazın önbelleğindedir.
Bir istisna var: daha önce HTTPS zorlaması yapmış bir alan adında tarayıcı, sertifika bozulsa bile siteyi HTTP'ye düşürmez ve kullanıcıya atlanamayan bir uyarı gösterir. Bu yüzden zorunlu yönlendirmeyi açmadan önce sertifikanın gerçekten çalıştığını doğrulamak, sonradan düzeltmekten kolaydır.
Sık yapılan üç hata
- Sertifikayı DNS'ten önce istemek. Doğrulama alan adı üzerinden yapılır; sıra değişmez.
- www'yi kapsam dışında bırakmak. Uyarıyı siz değil ziyaretçiniz görür.
- Yönlendirmeyi açıp karışık içeriği düzeltmemek. Adres HTTPS olur ama kilit gelmez ve tarayıcı bazı kaynakları hiç yüklemez.