Sitenizi HTTP’den HTTPS’ye Nasıl Geçirirsiniz

Bir siteyi HTTP’den HTTPS’ye geçirmek, sunucunuza bir SSL sertifikası kurmak, sitenizi https URL’lerine yönlendirmek ve eski http adreslerini yönlendirerek geride hiçbir şey bırakmamak anlamına gelir. İşin kendisi çoğu sitede bir öğleden sonra sürer. Aşağıda tüm süreç altı adımda anlatılmakta ve en çok sorulan beş platformda bu ayarın nerede bulunduğu belirtilmektedir.

Hızlı yanıt: bir SSL sertifikası edinin (çoğu barındırma sağlayıcısı ücretsiz olarak verir), sunucunuza kurun, platformunuzun ayarlarında sitenizin URL’lerini http’den https’ye değiştirin, eski bağlantıların takip etmesi için bir 301 yönlendirmesi ekleyin, hâlâ http üzerinden yüklenen her şeyi düzeltin, ardından Google Search Console’a https özelliğini ekleyip site haritanızı yeniden gönderin.

SSL (Secure Sockets Layer’ın kısaltması olsa da, günümüzde verilen tüm sertifikalar TLS kullanır), https’yi mümkün kılan şeydir. Önce arka planı öğrenmek isterseniz, SSL sertifikası nedir yazımızı okuyun.

6 adımda HTTP’den HTTPS’ye nasıl geçilir

1. Bir SSL sertifikası edinin. Barındırma sağlayıcınızdan veya Let’s Encrypt’ten ücretsiz olarak, ya da garanti, doğrulanmış şirket bilgileri veya wildcard kapsamı gerekiyorsa ücretli olarak.
2. Sunucunuza kurun. Barındırma paneliniz aracılığıyla, Certbot ile veya bir CSR’den manuel olarak.
3. Platformunuzu https URL’lerine yönlendirin. Her CMS kendi site adresini saklar ve bunun güncellenmesi gerekir.
4. http’yi https’ye kalıcı olarak yönlendirin sunucu düzeyinde bir 301 ile.
5. Hâlâ http üzerinden yüklenenleri düzeltin: karışık içerik, dahili mutlak bağlantılar, önbellekler ve besleme (feed) dosyaları.
6. Arama motorlarına bildirin. Search Console’a https özelliğini ekleyin, site haritanızı yeniden gönderin, canonical etiketlerinizi kontrol edin.

Her adım aşağıda ayrıntılı olarak açıklanmıştır. Zaten bir sertifikanız varsa ve sadece platform ayarına ihtiyacınız varsa, 3. adıma geçebilirsiniz.

Başlamadan önce: sitenizi ve veritabanını yedekleyin ve eğer bir test (staging) ortamınız varsa, değişikliği önce orada uygulayın. Aşağıdaki adımlardan ikisi, sertifikanın düzgün çalışmadığı ortaya çıkarsa sizi kendi yönetim panelinizin dışında bırakabilir, bu yüzden bir yedek, beş dakikalık bir düzeltme ile kötü bir öğleden sonra arasındaki farktır. Bir e-ticaret sitesindeyseniz, bunu yoğun saatler dışında yapın: ödeme sayfasının kullanılamadığı her dakika kaybedilmiş bir sipariş demektir.

Neden şimdi geçiş yapmalı: Chrome, Ekim 2026’da HTTPS’yi varsayılan yapıyor

HTTPS için olağan gerekçeler hâlâ geçerli, ancak artık buna bağlı bir tarih var ve bu, işi hâlâ erteleyenler için hesabı değiştiriyor.

Chrome, Always Use Secure Connections özelliğini iki aşamada varsayılan olarak etkinleştiriyor. Nisan 2026’da, Chrome 147 bunu Enhanced Safe Browsing’i kullanan herkes için etkinleştirdi, bu da bir milyardan fazla kişi demek. Ekim 2026’da, Chrome 154 bunu küresel olarak tüm kullanıcılara genişletiyor. Bu özellik açıkken, Chrome önce https’yi dener ve kullanıcının daha önce ziyaret etmediği herkese açık bir http sitesini yüklemeden önce bir uyarı gösterir.

Başka bir deyişle, siteniz Ekim 2026’dan sonra hâlâ http üzerindeyse, ziyaretçilerinizin büyük bir kısmı siteye ulaşmadan önce bir ara uyarı ekranıyla karşılaşacak. Yönlendiriciler ve intranetler gibi özel adresler farklı şekilde ele alınır ve varsayılan olarak uyarı gösterilmez.

HTTPS artık bir hız kararı da haline geldi

Bu bölüm çoğu geçiş rehberinde atlanır. HTTP/2 resmi olarak şifrelemeyi zorunlu kılmaz, ancak hiçbir büyük tarayıcı şimdiye kadar bunu şifrelenmemiş bağlantılar üzerinde uygulamamıştır, bu yüzden pratikte HTTPS olmadan kullanamazsınız. HTTP/3 daha da ileri gider: TLS 1.3 gerektirir ve hiç şifrelenmemiş modu yoktur. Bu nedenle http’de kalmak, sitenizi hem modern taşıma protokollerinden hem de bunlarla gelen performanstan mahrum bırakır.

Bilinen nedenler hâlâ geçerli. Tarayıcılar http sayfalarını Güvenli Değil olarak etiketler, form verileri ve parolalar bir sertifika olmadan açık metin olarak iletilir, ödeme ağ geçitleri http üzerinden çalışmayı reddeder ve Google, 2014’ten beri HTTPS’yi bir sıralama sinyali olarak ele alıyor. Sonuncusu gerçek ama hafif bir sinyaldir, bu yüzden bunu asıl neden değil bir bonus olarak görün.

Adım 1: Bir SSL sertifikası edinin

Önce barındırma panelinizi kontrol edin. Çoğu barındırma sağlayıcısı artık bir SSL/TLS veya AutoSSL bölümü üzerinden ücretsiz Let’s Encrypt sertifikaları veriyor ve birçoğu zaten kullanmadığınız bir sertifika vermiş olabilir. Ücretsiz bir sertifika, trafiği ücretli bir sertifika kadar iyi şifreler; farklı olan, sertifika otoritesinin sertifikayı vermeden önce neyi doğruladığı ve bir şeyler ters gittiğinde neyin arkasında durduğudur.

Tür	CA’nın kontrol ettiği	Verilme süresi	Uygun olduğu yer
Domain Validation (DV)	Alan adını kontrol ettiğiniz	Dakikalar içinde	Bloglar, tanıtım siteleri, çoğu küçük site
Organization Validation (OV)	Alan adı ve kayıtlı kuruluşunuz	1 ila 3 iş günü	Kurumsal siteler, üye alanları, müşteri portalları
Extended Validation (EV)	Şirketin tam yasal ve operasyonel kontrolü	1 ila 3 iş günü	Mağazalar, finans, kimliğin önemli olduğu her yer

Siteniz alt alan adları kullanıyorsa, bir wildcard sertifika hepsini tek bir sertifikayla kapsar. Hangi türün uygun olduğundan emin değil misiniz? SSL Wizard birkaç soruyla seçiminizi daraltır, ya da doğrudan sertifikalara göz atabilirsiniz.

Hangisini seçerseniz seçin planlamanız gereken bir şey var: Let’s Encrypt sertifikaları 90 gün sürer ve son kullanma tarihinden yaklaşık 30 gün önce otomatik olarak yenilenmesi amaçlanmıştır. Bu otomasyon bozulduğunda -ki bozulur- site haftalarca çalışır ve sonra hiçbir uyarı vermeden güvensiz hale gelir. Otomatik yenilemenin açık olduğunu doğrulayın ve ilk beklenen yenileme tarihinden sonra sertifikayı bir kez kontrol edin.

Adım 2: Sunucunuza kurun

• Barındırma paneli. En hızlı yol. cPanel’de SSL/TLS, Security altında yer alır. Ana alan adı ve www versiyonu için sertifika verin, aksi halde kaçırdığınız hangisiyse bir ad uyuşmazlığı uyarısı verir.
• Panelsiz bir VPS’te Certbot. Sertifikayı verir, sunucuyu yapılandırır ve kendi yenileme zamanlayıcısını kurar.
• Ücretli bir sertifika için manuel olarak: CSR oluşturucu veya CSR nasıl oluşturulur konusunda 70’ten fazla eğitimimizile bir CSR oluşturun, doğrulamayı tamamlayın, ardından sertifikayı, anahtarı ve ara sertifikaları kurun. cPanel dahil 80’den fazla SSL kurulum rehberimiz var.

Devam etmeden önce doğrulayın. Alan adınıza karşı SSL Checker‘ı çalıştırın. En yaygın sessiz başarısızlık, eksik bir sertifika zinciridir: site, masaüstü tarayıcınızda bir kilit simgesi gösterir, çünkü ara sertifikayı başka bir yerden önbelleğe almıştır, ancak mobil tarayıcılar ve ödeme ağ geçitleri başarısız olur. Checker bunu bildirir.

Adım 3: Platformunuzu HTTPS URL’lerine yönlendirin

Çalışan bir sertifika https’yi kullanılabilir hale getirir. Siteniz, siz aksini söylemedikçe http bağlantıları üretmeye devam edecektir, çünkü her CMS kendi adresini saklar. İşte bu ayarın nerede bulunduğu.

Platform	Ayarın bulunduğu yer
WordPress	Ayarlar > Genel, hem WordPress Adresi (URL) hem de Site Adresi (URL)‘ni değiştirin. 5.7 sürümünden itibaren, çekirdek yazılım da her ikisi https’ye geçtiğinde içeriğinizdeki güvensiz URL’leri yeniden yazar ve Site Sağlığı tek tıkla bir geçiş sunar
Joomla	System > Global Configuration > Server, Force HTTPS‘i Entire Site olarak ayarlayın
PrestaShop	Shop Parameters > General, HTTPS kontrolünü çalıştırın, Enable SSL‘i Yes olarak ayarlayın, ardından Enable SSL on all pages‘i, sonra Kaydet’i seçin. İkinci anahtar, birincisi kaydedilene kadar kilitli kalır
Magento 2	Stores > Configuration > General > Web, Base URLs (Secure)‘yi açın, güvenli temel URL’yi https olarak ayarlayın, ardından Use Secure URLs on Storefront ve Use Secure URLs in Admin‘i Yes olarak ayarlayıp Save Config’e basın, sonra önbelleği temizleyin. Bu iki ayar Magento’nun https URL’leri üretmesini sağlar; sadece admin ayarı bir yönlendirmeyi zorunlu kılar, bu yüzden mağaza vitrini yine de 4. adıma ihtiyaç duyar
Drupal	Çekirdek bir ayar yok ve etkinleştirmek için .htaccess‘te de bir şey yok: Drupal’ın orada gönderdiği yorum satırına alınmış kurallar www ile www olmayan arasında yönlendirme yapar, http’den https’ye değil. 4. adımdaki sunucu düzeyi kuralı aynı dosyaya ekleyin
Shopify, Wix, Squarespace	Yapılacak bir şey yok. HTTPS otomatiktir ve kapatılamaz

Bu Drupal satırını iki kez okumaya değer, çünkü birçok rehber bunu yanlış anlatıyor. Drupal’ın .htaccess‘i gerçekten yorum satırına alınmış yönlendirme kuralları içerir, bu yüzden bunların HTTPS kuralları olduğunu varsaymak kolaydır. Ancak değildirler. İşte orada gerçekte olan şey, ve sadece www ile www olmayan arasında seçim yapar:

# RewriteCond %{HTTP_HOST} .
# RewriteCond %{HTTP_HOST} !^www. [NC]
# RewriteRule ^ http%{ENV:protossl}://www.%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Son satırdaki protossl değişkenine dikkat edin: isteğin geldiği protokolü ne olursa olsun korur, bu yüzden bu kuralların yorumdan çıkarılması bir http ziyaretçisini http’de bırakır. Bunun yerine 4. adımdaki sıradan Apache kuralını kullanın.

Platformunuz listede yoksa, eşdeğer bir ayar bulmak için endişelenmeyin. Sonraki adımdaki sunucu düzeyi yönlendirme, üzerinde ne çalıştığından bağımsız olarak işe yarar.

Adım 4: HTTP’yi HTTPS’ye kalıcı olarak yönlendirin

Sayfalarınız artık https üzerinden yanıt veriyor, ancak hâlâ http üzerinden de yanıt veriyorlar ve her eski bağlantı, yer imi ve dizine alınmış URL oraya işaret ediyor. Kalıcı bir yönlendirme bunu düzeltir.

Bu bir geçici 302 değil, 301 olmalıdır. Bir 301, arama motorlarına taşınmanın kalıcı olduğunu bildirir. Google, 301 ve diğer kalıcı yönlendirmelerin PageRank kaybına neden olmadığını belirtiyor, bu bilinmeye değer, çünkü sıralama kaybetme korkusu çoğu sitenin gerekenden daha uzun süre http’de kalmasına neden olan şeydir.

Apache’de, site kökünüzdeki .htaccess‘in en üstüne şunu ekleyin:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Koşul off olarak okunmalı, yani “istek henüz güvenli değilken yönlendir”. Yayınlanan snippet’lerin şaşırtıcı bir kısmında görülen “on” olarak yazıldığında, sadece zaten https olan isteklerde tetiklenir ve onları tekrar https’ye gönderir, bu da bir döngü oluşturur.

Nginx’te .htaccess yoktur. Server bloğunu düzenleyin:

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

nginx -t ile test edin, ardından systemctl reload nginx ile yeniden yükleyin.

Bunu ekledikten hemen sonra ERR_TOO_MANY_REDIRECTS alıyorsanız, olağan neden, Flexible SSL’ye ayarlanmış Cloudflare gibi bir proxy’dir: sunucunuzla http üzerinden konuşur, sunucunuz ise https’ye yönlendirir, böylece ikisi isteği birbiri arasında sekiyor demektir. Şifreleme modunu Full (strict) olarak ayarlayın ve kaynak sunucuda geçerli bir sertifika bulundurun.

Adım 5: Hâlâ HTTP üzerinden yüklenenleri düzeltin

Karışık içerik. https üzerinden sunulan ancak hâlâ bir görsel, betik veya stil sayfasını http üzerinden çeken bir sayfa, karışık içeriktir. Tarayıcılar bazı kaynakları sessizce yükseltir, çoğunlukla görseller ve medya, diğerlerini ise tamamen reddeder, bu yüzden etkilenen bir sayfa tamamen stilsiz halde gelebilir. Tarayıcı konsolu suçlu dosyayı belirtir. Karışık içerik nasıl düzeltilir rehberimiz teşhisi kapsar.

Dahili mutlak bağlantılar. Kendi sitenizde tam bir http adresi olarak yazılmış herhangi bir bağlantı hâlâ http’yi işaret eder ve şimdi her tıklamada ekstra bir yönlendirme adımı gerektirir. Göreceli bağlantılar hiçbir şey gerektirmez. Bu adım neredeyse evrensel olarak atlanır ve bu, tamamlanmış bir geçiş ile sadece işleyen bir geçiş arasındaki farktır.

Önbellekler, CDN ve besleme dosyaları. Sayfa önbelleğinizi ve CDN’nizi temizleyin, aksi halde bir http sayfasının önbelleğe alınmış bir kopyası eski işaretlemeyi sunmaya devam edecek ve tamamlanmış bir geçişin bozuk görünmesine neden olacaktır. Ardından bir veritabanı arama ve değiştirme işleminin hiçbir zaman ulaşamayacağı yerleri kontrol edin: e-posta şablonları, faturalar, ürün besleme dosyaları ve üçüncü taraf bir hizmetin siteniz hakkında sakladığı her şey.

İşe yaradığını nasıl anlarsınız

Sırasıyla dört kontrol.

1. http adresinizi bir tarayıcıya yazın ve yüklenmek yerine https’ye ulaştığını doğrulayın.
2. Alan adınızın www ve www olmayan versiyonları için de aynısını yapın, çünkü yalnızca birini kapsayan bir sertifika, diğerinde bir ad uyuşmazlığı verecektir.
3. Sadece ana sayfayı değil, birkaç iç sayfayı da açın ve kilit simgesinin her birinde geçerli olduğunu doğrulayın.
4. Ardından bir tarayıcının sizden gizleyeceği zincir ve son kullanma tarihi sorunlarını yakalayan SSL Checker‘ı bir kez daha çalıştırın.

Adım 6: Arama motorlarına bildirin

• Google Search Console’a https özelliğini ekleyin. Bir http özelliği https URL’leri hakkında raporlama yapmaz. Yenisini ekleyin ve eskisini koruyun, ya da her iki protokolü aynı anda kapsayan bir Domain özelliği kullanın.
• https URL’leriyle site haritanızı yeniden gönderin. Google, bir site haritası göndermenin taşınma sırasında keşfi hızlandırdığını belirtiyor.
• Canonical etiketlerinizin https’yi işaret ettiğini kontrol edin. Çoğu SEO eklentisi, site URL’si değiştiğinde otomatik olarak güncellenir, ancak sayfa kaynağında bunu doğrulayın.
• Site URL’nizi saklayan analiz araçlarını, reklam platformlarını ve üçüncü taraf hizmetleri güncelleyin.

Change of Address (Adres Değişikliği) aracını kullanmayın. Bu, dikkatli insanları bile yanıltır, çünkü bir adres değişikliği bildirmek tam olarak yapmayı bekleyeceğiniz şeydir. Google, bir http’den https’ye geçişi URL değişiklikleri içeren bir site taşınması olarak sınıflandırır, bu yüzden Google’ın site taşıma yönergelerini izleyin. Bu yönergeler, HTTP’den HTTPS’ye taşınıyorsanız Change of Address aracını kullanmanıza gerek olmadığını açıkça belirtiyor. Bu aracı gerçekten farklı bir alan adına taşınma için ayırın.

Sonrasında neler beklemeli

İşin ne kadar süreceği. Sertifikanın zaten verildiği yönetilen bir barındırma ortamında, yaklaşık on beş dakika. Ücretsiz bir sertifika alıp platformu yapılandırmak, yarım saat. Ücretli bir sertifika, doğrulama beklemesini ekler: Domain Validation için dakikalar, Organization veya Extended Validation için bir ila üç iş günü. Karışık içeriği düzeltmek değişken kısımdır ve içeriğinizin ne kadarının sabit kodlanmış bağlantılar taşıdığına bağlıdır.

Google’ın ne kadar süreceği. İşin kendisinden daha uzun. Google’ın site taşımaları hakkındaki rehberliği, orta boy bir site için çoğu sayfanın dizinde taşınmasının birkaç hafta sürdüğünü, daha büyük sitelerin daha uzun sürdüğünü belirtiyor. Bu süre boyunca gösterimleriniz http ve https özellikleri arasında bölünmüş görünür ve sıralamalar dalgalanır. Bu, bir şeylerin bozulduğunun bir işareti değil, bir site taşınması için beklenen bir davranıştır.

https bir süre boyunca stabil olduktan sonra, tarayıcılara alan adınız için düz http’yi tamamen reddetmesini söyleyen ve ilk istek ile yönlendirme arasındaki boşluğu kapatan HSTS‘i düşünün. Preload direktifini başta kapalı bırakın: geri döndürülmesi yavaştır ve hâlâ http’de olan herhangi bir alt alan adını erişilemez hale getirir.

Hâlâ bir şeyler yolunda değilse, SSL hata rehberleri belirli tarayıcı hata kodlarını ele alır.

HTTPS’den HTTP’ye geri dönebilir misiniz?

Teknik olarak evet, yönlendirmeyi kaldırıp site URL’lerinizi geri değiştirerek. Ancak pratikte neredeyse hiçbir zaman yapmamalısınız. Bu ikinci bir site taşınması demektir, dizinde ikinci bir çalkalanma turu ile birlikte gelir ve tarayıcı uyarıları hemen geri döner, ki bu Ekim 2026’dan sonra çoğu ziyaretçi için bir ara ekran anlamına gelir. HSTS’i etkinleştirdiyseniz, tarayıcılar politika süresi dolana kadar alan adınız için http’yi reddedecektir, bu yüzden geri alma temiz bir şekilde bile çalışmayacaktır.

Tek olağan istisna, kimsenin ulaşamadığı bir makinede kendinden imzalı bir sertifika veya düz http’nin normal olduğu yerel geliştirmedir. Canlı bir site https’de yanlış davranıyorsa, neden neredeyse her zaman sertifika, karışık içerik veya bir yönlendirme döngüsüdür ve bunlardan birini düzeltmek, geçişi geri almaktan çok daha ucuzdur.

Sıkça Sorulan Sorular

Belirli bir platform mu kullanıyorsunuz? WordPress, Joomla ve PrestaShop için ayrıntılı rehberlerimiz var.