SSL Sertifikalarının Gerçekten Satın Alındığı Yerler: Verilerimiz Küresel Güven Hakkında Neler Söylüyor?

HTTPS artık web üzerinde varsayılan bir beklenti. Ancak şifreleme çevrimiçi güvenliğin temelini oluştururken, SSL sertifikaları için ödeme yapmak bunu değiştirmedi.

SSL Dragon‘da, SSL sertifikalarının gerçekte nereden satın alındığını tam olarak biliyoruz ve size ücretli şifrelemenin coğrafi dağılımına benzersiz bir bakış sunmak istiyoruz.

Verilerimize göre, bir ülke tek başına tüm ücretli SSL satın alımlarının yaklaşık %38 ‘ini oluşturuyor. İlk on ülke ise %67‘den fazlasını kontrol ediyor. HTTPS evrensel olabilir, ancak ücretli güven oldukça yoğunlaşmış durumda.

Gelin ücretli SSL’in küresel haritasının gerçekte neyi gösterdiğine daha yakından bakalım.

---

İçindekiler

1. Rakamlarımız Ne Gösteriyor (ve Ne Göstermiyor)
2. Temel Bulgu: Ücretli Güven Kümeleri Zor
3. Müşteriler ve Hizmetler: İki Çok Farklı Hikaye
4. “Yanlış” Görünen Ülkeler En İlginç Olanlarıdır
5. Sertifikaları Yöneten Ekipler İçin Bu Ne Anlama Geliyor?

---

Metodoloji Notu

• Veri kaynağı: SSL Dragon’dan anonimleştirilmiş operasyonel veriler
• Kapsam: yalnızca ücretli SSL sertifikaları
• Metrikler: aktif müşteriler ve aktif hizmetler
• Veri anlık görüntüsü: Ocak 2026
• Hariç tutulanlar: platform tarafından verilen sertifikalar (CDN auto-SSL, hosting paketleri, Let’s Encrypt, vb.)

---

Rakamlarımız Ne Gösteriyor (ve Ne Göstermiyor)

Bu rakamlar SSL kullanımı ile ilgili değil. HTTPS zaten her yerde. Çoğu web sitesi barındırma sağlayıcıları, CDN’ler ve bulut platformları tarafından otomatik olarak verilen sertifikalarla çalışır. Bu faaliyet bizim verilerimizde görünmüyor. Bu veriler çok daha spesifik bir şeyi gösteriyor:

• Kuruluşların hala sertifika satın aldığı yerler
• Hala doğrulamayı kendileri yönettikleri yerlerde
• Sertifika işlemenin bir platform özelliği değil, operasyonel bir görev olarak ele alındığı durumlarda

Başka bir deyişle, bu benimseme rakamları değil. Bu satın alma davranışı.

Veriler iki farklı boyutu yansıtmaktadır:

• Aktif Müşteriler – kaç kuruluş sertifika satın alıyor
• Aktif Hizmetler – kaç sertifikanın aktif olarak dağıtıldığı

Bunlar birlikte hem talebi hem de operasyonel ölçeği göstermektedir.

Buradaki yüksek rakamlar şu anlama geliyor:

• Özel altyapı
• Kendi kendini yöneten sunucular veya yük dengeleyiciler
• Dahili uyum veya denetim gereklilikleri
• İhraç ve dağıtım üzerinde daha sıkı kontrol ihtiyacı

Düşük sayılar demek:

• Yönetilen barındırmanın yoğun kullanımı
• Platformlarda paketlenmiş sertifikalar
• Üçüncü taraf altyapısına devredilen güven

Yüksek sıralama, şirketlerin hala kendi altyapılarını işlettiği ve güveni aktif olarak yönettiği pazarlara işaret eder. Düşük sıralama genellikle bu sorumluluğun platformlara ve yönetilen hizmetlere geçtiği ortamları yansıtır.

Bir satın alma işlemine bağlı olan ülke her zaman sertifikanın dağıtıldığı yerle eşleşmez. Ajanslar, barındırma sağlayıcıları ve merkezi BT ekipleri genellikle doğrudan sahip olmadıkları altyapı için sertifikaları dış kaynaklı bir hizmet olarak yönetir.

Bu resmi bulanıklaştırmaz. Resmi netleştirir ve sertifikalar üzerindeki sahiplik ve operasyonel kontrolün gerçekte nerede olduğunu gösterir.

---

Temel Bulgu: Ücretli Güven Kümeleri Zor

Geri adım atıp ücretli SSL talebinin dağılımına baktığınızda, bir gerçeği görmezden gelmek imkansız hale geliyor: eşit olarak yayılmıyor. Agresif bir şekilde yoğunlaşıyor.

Sadece ilk on ülke, tüm aktif ödeme yapan müşterilerin yaklaşık %67‘sini oluşturmaktadır.

Bu da küresel SSL siparişlerinin üçte ikisinin dünyanın çok küçük bir bölümünden geldiği anlamına geliyor. Daha da çarpıcı olanı, Amerika Birleşik Devletleri ‘nin tek başına tüm ödeme yapan kuruluşların yaklaşık %38’ini temsil etmesidir. Tek bir ülke, dünyanın geri kalanının toplamından daha fazla ücretli güven faaliyeti yürütüyor. “Küresel” pazar böyle bir şey değildir.

SSL sertifikaları yalnızca teknik gerekliliklere dayalı olarak satın alınsaydı, bu dağılım daha düz olurdu. Web siteleri ve işletmeler her yerde var. HTTPS neredeyse zorunludur, ancak ücretli güven zorunlu değildir. Bu durum çok daha dar bir çerçevede gerçekleşiyor: altyapılarına hala kimin sahip olduğu ve kimin bunu platformlara devrettiği.

Ticari SSL kullanımına hakim olan pazarlar, kuruluşların hala kendi sunucularını işlettiği, kendi yük dengeleyicilerini yönettiği ve dahili uyumluluk süreçlerini yürüttüğü yerler olma eğilimindedir.

Buna karşın, çoğu bölgede sertifika yönetimi platformlara kaymıştır. Hosting sağlayıcıları, CDN’ler, SaaS ürünleri ve bulut hizmetleri SSL’i otomatik olarak sonlandırmaktadır. Talep eğrisinin dik olmasının nedeni budur. İlk birkaç ülkeden sonra, ücretli SSL faaliyeti keskin bir şekilde düşmektedir.

Amerika Birleşik Devletleri ve Birleşik Krallık, büyük hacimlerde kendi kendini yöneten altyapı, kurumsal sistemler ve uyumluluk odaklı ortamlara ev sahipliği yaptıkları için baskın durumdadır.

Bunu, genellikle güçlü SaaS, finans ve teknoloji sektörlerine sahip gelişmiş ekonomiler olan ikinci bir ülke katmanı takip eder. Bundan sonra eğri, ücretli sertifika sahipliğinin nadir hale geldiği uzun bir kuyruğa çöker.

Ödeme Yapan Müşterilerin Yoğunlaştığı Yerler

Aktif ödeme yapan müşterilere göre en iyi ülkeleri görselleştirdiğinizde, üç şey hemen netleşir:

• Bir piyasa diğer her şeyi kontrol ediyor. Amerika Birleşik Devletleri tüm veri setinin ölçeğini tanımlamaktadır.
• Bunu küçük bir Avrupa çekirdeği takip etmektedir. Birleşik Krallık, Almanya, Fransa ve diğer birkaç ülke operasyonel sahipliğin ikinci bir kümesini oluşturmaktadır.
• En üst kademeden sonra, ücretli SSL kullanımı keskin bir şekilde düşer. Çoğu ülke kıyaslandığında marjinal hacimlerde katkıda bulunmaktadır.

Bu keskin düşüş, tüketici pazarının değil operasyonel pazarın işaretidir.

Pratik açıdan bu şu anlama gelir:

• Sertifika satın alma modelleri nüfusla eşleşmemektedir.
• İnternet kullanımıyla eşleşmez.
• Web sitesi sayılarıyla eşleşmez.

Bu nedenle SSL’in “küresel bir meta” olduğu fikri yanıltıcıdır. Şifreleme katmanı evrensel olabilir, ancak güvenin mülkiyeti evrensel değildir. Rakamlarınız aslında bunu söylüyor.

---

Müşteriler ve Hizmetler: İki Çok Farklı Hikaye

Şimdiye kadar sertifikaların nereden satın alındığına baktık. Ancak bir sertifika satın almak hikayenin sadece başlangıcıdır.

Asıl önemli olan sonrasında ne olduğudur: üretimde kaç sertifikanın dağıtıldığı, korunduğu, rotasyona tabi tutulduğu ve canlı tutulduğu.

İşte burada ikinci mercek devreye giriyor: Aktif İstemciler ve Aktif Hizmetler.

Farklı şeyleri ölçüyorlar:

• Aktif Müşteriler bize kaç kuruluşun sertifika satın aldığını söyler.
• Aktif Hizmetler gerçekte kaç sertifikanın çalışmakta olduğunu gösterir.

Biri talebi gösterir. Diğeri ise operasyonel yükü. Ve bu ikisi her zaman aynı oranda büyümez.

Bazı ülkelerde, birçok kuruluş her biri bir veya iki sertifika satın alır. Diğerlerinde ise az sayıda şirket düzinelerce, yüzlerce, hatta binlerce aktif sertifika işletmektedir.

Operasyonel açıdan bakıldığında bu piyasalar tamamen farklı davranmaktadır. Biri alıcıların hacmiyle ilgilidir. Diğeri ise altyapı ölçeği ile ilgilidir.

İşte bu noktada sertifika yönetimi bir sistem sorunu haline gelir.

Düşük Aktif Hizmetlere sahip yüksek Aktif Müşteriler genellikle şu anlama gelir:

• Birçok küçük alıcı
• Daha basit ortamlar
• Sınırlı altyapı karmaşıklığı

Yüksek Aktif Hizmetlere sahip düşük Aktif Müşteriler genellikle şu anlama gelir:

• Daha az sayıda kuruluş
• Ağır otomasyon
• Merkezi altyapı
• Büyük yenileme baskısı

Bu ikinci grup, sertifika işlemlerinin kırılgan hale geldiği gruptur:

• Yenileme hataları çoğalıyor
• Dağıtım hataları kademeli
• İzleme kritik hale geliyor
• Küçük hataların geniş bir etkisi vardır.

Aktif hizmetlere baktığınızda, artık sertifikaların nereden satın alındığını değil, güven altyapısının ölçekli olarak nerede çalıştırıldığını haritalandırıyorsunuz.

Sertifika Operasyonlarının Ölçeklendirildiği Yerler

Bu grafik Aktif Hizmetlere göre en iyi ülkeleri göstermektedir. Başka bir deyişle: en büyük sertifika iş yüklerinin gerçekte nerede yaşadığı.

Bu, müşteri tablosunun bir aynası değildir. Alıcılarda üst sıralarda yer alan bazı ülkeler burada aşağı düşüyor.

Diğerleri ise daha az sayıda kuruluş çok daha fazla sertifika işlettiği için yukarı doğru sıçramaktadır.

Bu fark önemlidir çünkü SSL otomasyon riskinin biriktiği yeri değiştirir ve kesintiler izole edilmek yerine sistemik hale gelir. Bu, SSL ekosisteminin operasyonel kalbidir.

• Bazı piyasalar geniş çapta sertifika satın alır, ancak bunları hafifçe işletir.
• Diğerleri daha az sayıda sertifika satın alıyor ancak bunları büyük ölçekte işletiyor.
• Aktif Hizmetler pazar büyüklüğünü değil, altyapı yoğunluğunu ortaya koyar.

Bu, otomasyonun kullanışlı olmaktan çıkıp görev açısından kritik hale geldiği yerdir.

Bu değişim, sertifika geçerlilik sürelerinin kısalmasıyla hızlanmaktadır. CA/Browser Forumu net bir zaman çizelgesi belirlemiştir: 15 Mart 2026’dan itibaren 200 gün, 15 Mart 2027’den itibaren 100 gün ve 15 Mart 2029’dan itibaren 47 gün.

Yenileme döngüleri sıkılaştıkça, sertifika yönetimi, özellikle çok sayıda sertifikayı yöneten ortamlarda, etki alanı doğrulama, verme ve yenilemenin otomatik olarak tamamlandığı ACME tabanlı otomasyon yoluyla giderek daha fazla ele alınmaktadır.

---

“Yanlış” Görünen Ülkeler En İlginç Olanlarıdır

Sıralamayı ilk taradığınızda bazı ülkelerin doğru yerde olduğunu görüyorsunuz. ABD, İngiltere, Almanya ve Fransa büyük altyapı ayak izlerine ve kurumsal ortamlara sahip büyük ekonomilerdir. Bunda şaşılacak bir şey yok.

Ancak daha sonra birkaç isim ortaya çıkıyor ve bunlar yersiz geliyor: Kazakistan, Moldova, Seyşeller ve Ukrayna.

Kağıt üzerinde bunlar, sertifika faaliyetlerinde, özellikle de aktif hizmetler tarafında üst sıralarda yer almasını bekleyeceğiniz piyasalar değil. İşte tam da bu yüzden önemlidirler. İşlemlerden altyapıya geçtiklerinde sertifika işlemlerinin aslında kendilerini nasıl organize ettiklerini ortaya koyarlar.

Kazakistan’ı ele alalım. Çok az sayıda aktif müşteri ama son derece yüksek sayıda aktif hizmet gösteriyor. Bu oran kümelenmeye işaret ediyor. Bir avuç kuruluş, sertifikaları büyük ölçekte işletmektedir:

• Barındırma platformları
• Hizmet sağlayıcılar
• Bölgesel altyapı merkezleri
• Yönetilen güvenlik veya BT operasyonları

Merkezi sertifika sahipliği işte böyle bir şey. Binlerce alıcı değil, büyük iş yükleri taşıyan birkaç operatör.

Moldova aynı yapıyı daha da net bir şekilde göstermektedir. Çok az müşteri, çok yüksek hizmet hacmi. Sertifikalar bireysel satın alımlar olarak değil, bir altyapı katmanı olarak yönetilmektedir. Bir kuruluş düzinelerce veya yüzlerce alt sistemi temsil edebilir.

Seyşeller ilk bakışta daha da garip görünüyor. Neredeyse hiç aktif müşterisi olmayan son derece yüksek aktif hizmetler. Ancak bu model, sertifikalar merkezi yasal veya faturalandırma kuruluşları aracılığıyla kaydedildiğinde ortaya çıkarken, altyapının kendisi küreseldir. Bu şuna işaret ediyor:

• Bayi birleştirme
• Uluslararası barındırma sağlayıcıları
• Vergilendirme veya düzenleme etrafında optimize edilmiş kurumsal yapılar
• Dağıtılmış platformlar için merkezi sertifika sahipliği

Ukrayna aynı modelin farklı bir varyantını göstermektedir. Müşteri sayısından daha yüksek hizmet yoğunluğu, daha az sayıda teknik operatörün büyük, sertifika ağırlıklı altyapıları işlettiğini göstermektedir. Bu durum şu özelliklere sahip ortamlarda yaygındır

• Güçlü barındırma ekosistemleri
• Dış kaynaklı altyapı yönetimi
• Bölgesel SaaS ve platform sağlayıcıları
• Uygun maliyetli merkezi operasyonlar

Bu ülkeler, sertifika hacminin artık alıcılardan değil, geniş ölçekte tröst işleten operatörlerden geldiğini ortaya koymaktadır.

---

Sertifikaları Yöneten Ekipler İçin Bu Ne Anlama Geliyor?

İşte makinenin içinden 5 çıkarım:

1. Gerçek SSL riskiniz yapı tarafından tanımlanır: Tehlikeli bölge “kaç sertifikanız olduğu” değil, bunların ne kadar merkezi olduğudur. Az sayıda sistem veya ekip sertifikalarınızın büyük bir kısmını kontrol ediyorsa, her arızanın etkisi katlanarak artar. İşte bu noktada kesintiler yerel değil sistemik hale gelir.
2. Sertifika işlemleri gizli tek hata noktalarını ortaya çıkarmaktadır: Kazakistan ya da Moldova gibi ülkeler pazar büyüklüğü nedeniyle değil, kontrolün birkaç operatörde toplanması nedeniyle öne çıkmaktadır. Aynı şey şirketlerin içinde de olur. Eğer bir ekip, bir platform ya da bir otomasyon hattı sertifikaların çoğunu taşıyorsa, yoğunlaşma riskiniz var demektir.
3. Sertifika satın almak kolaydır. Onları güvenli bir şekilde çalıştırmak gerçek iş yüküdür : Grafikler, satın alma hacmi ile operasyonel baskının aynı şey olmadığını göstermektedir.
   50 sertifikaya sahip bir ekip, yük dengeleyiciler, ağ geçitleri ve paylaşılan altyapı üzerinde 5 sertifikaya sahip bir ekipten daha az karmaşıklığa sahip olabilir.
4. Görünürlük olmadan otomasyon büyük ölçekte bir sorumluluktur: Aktif hizmetler arttığında, yenileme bir takvim sorunu olmaktan çıkar. Hangi sistemlerin yeni sertifikayı gerçekten yeniden yüklediğini saniyeler içinde yanıtlayamıyorsanız, kör uçuş yapıyorsunuz demektir.
5. Sertifika sahipliği her zaman yukarı doğru göç eder: Veriler tek yönlü bir model gösteriyor: şirketlerden platformlara ve altyapı operatörlerine. Güven bir kez merkezileştiğinde, neredeyse hiçbir zaman tekrar merkezileşmez. Geriye kalan tek seçenek, bu katmanı kontrol edip etmediğiniz veya kontrol eden birine bağlı olup olmadığınızdır. Bu karar, güven yığınınızın ne kadarına gerçekten sahip olduğunuzu belirler.

Ücretli SSL talebi, nihayetinde güven katmanının sahibinin ve işleteninin kim olduğunu yansıtmaktadır. Bazı ortamlarda bu sorumluluk kurum içinde kalırken bazılarında çoktan platformlara ve altyapı sağlayıcılarına geçmiştir. Kuruluşunuzun bu çizginin neresinde yer aldığını anlamak, güvenliğiniz üzerinde gerçekten ne kadar kontrol, görünürlük ve esnekliğe sahip olduğunuzu belirleyen şeydir.

Güven katmanınızın pratikte nasıl göründüğünü merak ediyor musunuz? Bizim ücretsiz SSL Denetleyicisi herhangi bir etki alanını incelemek ve üretimde hangi sertifikaların çalıştığını görmek için.