Modern web dünyasında bir web sitesini HTTPS protokolü olmadan yayınlamak artık imkansızdır. Google Chrome ve modern tarayıcılar HTTP siteleri "Güvenli Değil" olarak işaretler ve arama motorları HTTPS kullanmayan sitelerin sıralamasını düşürür.
Ancak yeni bir web sitesi veya e-ticaret mağazası kurarken kullanıcıların en sık sorduğu soru şudur: "Hosting firmasının ücretsiz verdiği Let's Encrypt sertifikası yeterli mi, yoksa yıllık yüzlerce lira ödeyip ticari SSL sertifikası almalı mıyım?"
Bu rehberde, ücretsiz ve ücretli SSL sertifikaları arasındaki teknik, yasal ve operasyonel farkları netleştiriyoruz.
1. Hızlı Karşılaştırma Tablosu
| Özellik | Let's Encrypt (Ücretsiz) | Cloudflare Universal SSL | Ticari DV SSL (Sectigo/RapidSSL) | Ticari OV / EV SSL (DigiCert vb.) | Wildcard SSL (*.alanadi.com) |
|---|---|---|---|---|---|
| Maliyet | Tamamen Ücretsiz | Ücretsiz (Proxy ile) | Yıllık 300 – 1.000 ₺ | Yıllık 3.000 – 15.000 ₺+ | Yıllık 1.500 – 6.000 ₺ |
| Şifreleme Gücü | 256-bit AES / RSA 2048 / ECC | 256-bit AES / ECC | 256-bit AES / RSA 2048 | 256-bit AES / RSA 2048 | 256-bit AES / RSA 2048 |
| Doğrulama Tipi | Domain (DV) | Domain (DV - Edge) | Domain (DV) | Organizasyon / Şirket (OV/EV) | Domain veya Kurum |
| Geçerlilik Süresi | 90 Gün (Otomatik yenilenir) | Otomatik | 1 Yıl | 1 Yıl | 1 Yıl |
| Finansal Garanti (Warranty) | Yok ($0) | Yok ($0) | $10.000 – $50.000 | $1.000.000 – $1.750.000 | $10.000 – $250.000 |
| Alt Alan Adı (Subdomain) | Ayrı ayrı veya DNS ile SAN | Edge seviyesinde sınırlı | Genelde tek alan adı | Genelde tek veya çoklu domain | Sınırsız alt alan adı |
| İdeal Kullanım | Blog, kurumsal site, KOBİ | Statik siteler, CDN kullanıcıları | Küçük e-ticaret siteleri | Bankalar, holdingler, büyük fintech | SaaS platformları, çoklu alt alan |
2. Şifreleme Gücü: Ücretsiz SSL Daha mı Zayıf?
En yaygın yanlış inanış, ücretsiz SSL sertifikalarının daha "zayıf" şifreleme sunduğu düşüncesidir.
Teknik Gerçek: Let's Encrypt sertifikaları da, binlerce liralık DigiCert veya Sectigo sertifikaları da birebir aynı şifreleme algoritmalarını (256-bit AES şifreleme ve 2048-bit RSA veya 256-bit ECC anahtarları) kullanır. Ziyaretçinin tarayıcısı ile sunucunuz arasında akan veri (kredi kartı bilgileri, şifreler, form verileri) her iki sertifikada da matematiksel olarak kırılması imkansız seviyede güvenle şifrelenir.
Şifreleme seviyesi açısından ücretsiz SSL ile ücretli SSL arasında hiçbir fark yoktur.
3. SSL Sertifikası Türleri Nelerdir?
SSL sertifikaları şifreleme gücüne göre değil, doğrulama seviyesine (Validation Level) göre üçe ayrılır:
1. DV (Domain Validation) - Alan Adı Doğrulama
- Yalnızca alan adının yönetiminin sizde olduğunu (DNS kaydı veya e-posta ile) doğrular.
- Kimlik belgesi, vergi levhası veya şirket evrakı istenmez.
- Dakikalar içinde otomatik verilir.
- Let's Encrypt ve standart ticari SSL'ler bu kategoridedir.
2. OV (Organization Validation) - Kurum Doğrulaması
- Alan adı sahipliğinin yanında, şirketin yasal varlığı, ticaret sicil kaydı ve fiziksel telefon numarası operatör tarafından aranarak teyit edilir.
- Sertifika ayrıntılarında şirketinizin yasal unvanı görünür.
3. EV (Extended Validation) - Genişletilmiş Doğrulama
- En katı kurumsal inceleme sürecidir. Bankalar, ödeme kuruluşları ve büyük e-ticaret platformları tarafından prestij ve güven sağlamak için tercih edilir.
4. Ücretli SSL Sertifikalarının Gerçek Avantajları Nelerdir?
Madem şifreleme gücü aynı, o zaman ticari SSL sertifikalarına neden para ödeniyor?
- Finansal Garanti (Warranty):
- Let's Encrypt herhangi bir finansal garanti sunmaz.
- Ticari sertifikalarda ise (Sectigo, GeoTrust vb.) sertifika otoritesinin bir güvenlik açığı veya hatalı sertifika basımı nedeniyle müşterilerinizin uğrayabileceği finansal zararlara karşı 10.000 dolardan 1.750.000 dolara kadar sigorta teminatı bulunur.
- Wildcard Desteği (*.alanadi.com):
- Tek bir sertifika ile
blog.alanadi.com,panel.alanadi.com,api.alanadi.comgibi sınırsız sayıda alt alan adını korumak istiyorsanız ticari bir Wildcard SSL sertifikası operasyonel yönetim kolaylığı sağlar.
- Tek bir sertifika ile
- Eski Cihaz ve Gömülü Sistem Uyumluluğu:
- Çok eski Android sürümleri (Android 7 öncesi) veya eski gömülü POS cihazları Let's Encrypt kök sertifikalarını (ISRG Root X1) tanımayabilir. Ticari sertifika otoriteleri 20 yılı aşkın süredir işletim sistemlerinde yerleşik olduğu için %99.9 geriye dönük cihaz uyumluluğu sunar.
- Sanal POS ve BDDK Uyumluluğu:
- Türkiye'de bankaların Sanal POS (vPOS) entegrasyonlarında geçmişte ticari SSL zorunluluğu bulunuyordu. Günümüzde çoğu banka (Garanti, İş Bankası, Yapı Kredi) ve iyzico/PayTR gibi ödeme kuruluşları Let's Encrypt DV sertifikalarını sorunsuz kabul etmektedir; ancak bazı özel B2B bankacılık API'leri hala ticari EV/OV sertifika talep edebilmektedir.
5. Google SEO Açısından Bir Fark Var mı?
Google'ın resmi arama algoritmalarında sertifikanın ücretsiz veya ücretli olması sıralamayı kesinlikle etkilemez.
Google için önemli olan kriterler şunlardır:
- Sitenin geçerli ve güvenilir bir sertifika ile HTTPS üzerinden çalışması,
- HTTP isteklerinin 301 yönlendirmesiyle HTTPS'e aktarılması,
- Sayfada "Karma İçerik" (Mixed Content - HTTP üzerinden yüklenen resim veya script) bulunmaması,
- Hızlı bir TLS el sıkışma (TLS Handshake) süresi (HTTP/2 veya HTTP/3 protokolü).
Dolayısıyla Let's Encrypt kullanan bir site ile 5.000 TL'lik EV SSL kullanan bir site SEO puanı açısından tamamen eşittir.
6. Hangi Sertifikayı Seçmelisiniz?
- Kişisel Bloglar, Portfolyo Siteleri ve KOBİ Tanıtım Siteleri: Hosting firmanızın cPanel veya Plesk üzerinden sağladığı ücretsiz Let's Encrypt sertifikası %100 yeterlidir. Ek bir ücret ödemenize gerek yoktur.
- Standart E-Ticaret ve WooCommerce Mağazaları: iyzico, PayTR veya Shopier gibi iframe/pop-up ödeme geçitleri kullanıyorsanız Let's Encrypt tamamen yeterlidir ve güvenlidir. Ancak müşterilerinize sigorta garantisi ve prestijli bir güvenlik mührü (Site Seal) sunmak isterseniz ekonomik bir Sectigo / PositiveSSL DV (yıllık 300–600 TL) tercih edebilirsiniz.
- SaaS Platformları ve Çoklu Müşteri Portalları: Yüzlerce alt alan adı açıyorsanız tek tek sertifika üretmek yerine bir Wildcard SSL almak en mantıklı çözümdür.
- Fintech, Ödeme Kuruluşları ve Bankalar: Yasal regülasyonlar ve kurumsal güvenilirlik için OV veya EV SSL zorunludur.