E-pin scriptinde SSL sertifikası nasıl kurulur? Adım adım rehber

Bir e-pin sitesinde müşteri yalnızca oyun kodu satın almaz; kredi kartı bilgisini, kişisel verisini ve güvenini de o sayfaya bırakır. Adres çubuğunda kilit simgesi yerine "Güvenli Değil" uyarısı gördüğü an, sepeti terk edip rakibe yönelmesi işten bile değildir. SSL sertifikası kurulumu teknik bir detay gibi görünse de, e-pin scripti için satış oranını doğrudan etkileyen bir güven meselesidir.

Bu yazıda SSL'in e-pin sitesi için neden bu kadar kritik olduğunu, doğru sertifika türünü nasıl seçeceğinizi, kurulumu adım adım nasıl yapacağınızı ve kurulumdan sonra çıkan yaygın hataları nasıl çözeceğinizi anlatıyoruz.

SSL'siz bir e-pin sitesi neden gizli bir risk taşır?

SSL (Secure Sockets Layer), tarayıcı ile sunucu arasındaki veri trafiğini şifreler. E-pin scriptinde bu trafik yalnızca sayfa görüntüleme değil; giriş şifreleri, bakiye yükleme talepleri, ödeme yönlendirmeleri ve tedarikçi API yanıtları gibi hassas veriler içerir. HTTPS olmadan bu veriler açık metin olarak ağ üzerinden geçer ve araya giren biri (özellikle halka açık Wi-Fi ağlarında) bilgileri okuyabilir.

• Tarayıcı uyarısı: Chrome ve Firefox, HTTPS olmayan formlu sayfalarda "Güvenli Değil" etiketini adres çubuğunda gösterir.
• Google sıralaması: HTTPS, 2014'ten beri resmi bir sıralama sinyali; SSL'siz site organik trafikte geride kalır.
• Ödeme sağlayıcı zorunluluğu: PayTR, Shopier gibi entegrasyonlar SSL olmadan iframe/redirect akışını güvenilir kabul etmez.
• Tarayıcı uzantıları ve antivirüsler: HTTPS olmayan e-ticaret sitelerini bazı güvenlik yazılımları otomatik olarak uyarı listesine alır.

Kısacası SSL, e-pin sitesinde "olsa iyi olur" değil, satışın önkoşuludur.

Hangi SSL sertifikasını seçmelisiniz: ücretsiz mi, EV mi?

Piyasada üç ana sertifika sınıfı var ve her biri farklı bir doğrulama seviyesi sunuyor. E-pin scripti işleten çoğu bayi için doğru seçim genelde ilk sıradaki, ama bütçe ve marka güveni büyüdükçe üst seviyelere geçmek mantıklı olabilir.

• DV (Domain Validation): Sadece domain sahipliği doğrulanır. Let's Encrypt gibi ücretsiz sağlayıcılar bu sınıfta çalışır, dakikalar içinde kurulur.
• OV (Organization Validation): Şirket bilgisi de doğrulanır, kurumsal görünüm ister küçük ölçekli e-pin bayileri için genelde gereksizdir.
• EV (Extended Validation): En sıkı doğrulama; büyük ölçekli, yüksek işlem hacmine sahip platformlarda tercih edilir, maliyeti de yüksektir.

Çoğu barındırma sağlayıcısı (Alastyr dahil) AutoSSL adıyla Let's Encrypt tabanlı ücretsiz DV sertifikasını cPanel üzerinden otomatik sağlar. E-pin scripti gibi orta ölçekli bir e-ticaret projesi için bu yeterlidir; asıl kritik olan sertifikanın kurulu olması ve otomatik yenilenmesidir, sınıfı değil.

Kurulum adım adım nasıl işler?

Çoğu paylaşımlı barındırma (cPanel) ortamında SSL kurulumu, kod yazmayı gerektirmeyen kısa bir işlemdir. E-pin scriptinizi Alastyr, Natro, Hostinger gibi bir cPanel sağlayıcısında barındırıyorsanız süreç şöyle işler:

• 1. Domain'in DNS'i sunucuya işaret etmeli: SSL kurulumundan önce A kaydının veya Cloudflare proxy'sinin doğru IP'ye yönlendiği doğrulanır; aksi halde doğrulama başarısız olur.
• 2. cPanel → SSL/TLS Status: Domain seçilip "Run AutoSSL" ile Let's Encrypt sertifikası birkaç dakika içinde otomatik kurulur.
• 3. Cloudflare kullanılıyorsa SSL modu "Full (Strict)" yapılmalı: "Flexible" modda tarayıcı ile Cloudflare arası şifrelenir ama Cloudflare ile sunucu arası açık kalır; bu, e-pin sitesinde yarım güvenlik demektir.
• 4. .htaccess'e HTTPS yönlendirmesi eklenir: http:// ile gelen her istek otomatik https:// adresine 301 yönlendirilir, aksi halde SSL kurulu olsa bile eski linkler şifresiz kalır.
• 5. Site genelinde test edilir: Ana sayfa, ürün detay, sepet, ödeme ve panel sayfaları tek tek kontrol edilir; herhangi biri hâlâ http:// kaynak çekiyorsa "karışık içerik" uyarısı çıkar.

VPS üzerinde kendi sunucunuzu yönetiyorsanız aynı işlem Certbot komut satırı aracıyla yapılır (certbot --nginx veya certbot --apache); mantık aynıdır, sadece arayüz yerine terminal kullanılır.

SSL kurdunuz ama site hâlâ "güvenli değil" mi diyor?

Bu, e-pin scripti sahiplerinin en sık düştüğü tuzaktır: sertifika kurulu, adres çubuğunda kilit görünüyor ama bazı sayfalarda hâlâ uyarı çıkıyor. Sebep neredeyse her zaman "karışık içerik" (mixed content) hatasıdır — sayfa HTTPS üzerinden yüklenirken, içindeki bir görsel, script veya CSS dosyası hâlâ http:// ile çağrılıyordur.

• Sabit (hardcoded) URL'ler: Ürün görselleri veya banner'lar veritabanına http://siteniz.com/... şeklinde tam adresle kaydedilmişse, SSL kurulsa bile bu adresler değişmez.
• Ödeme sağlayıcı script'leri: PayTR/Shopier iframe kodları eski http:// linkiyle eklenmişse tarayıcı bu isteği engelleyebilir.
• Üçüncü parti eklentiler: Canlı destek, analitik veya tedarikçi API görselleri http:// üzerinden çekiliyorsa aynı uyarı tekrarlanır.

Çözüm iki adımdır: birincisi, veritabanındaki tüm http:// referanslarını https:// veya göreli (//domain.com/...) yola çevirmek; ikincisi, .htaccess veya sunucu seviyesinde "Content Security Policy: upgrade-insecure-requests" başlığı eklemek. Bu ikinci yöntem, unutulan http:// referanslarını tarayıcının otomatik olarak https:// üzerinden çekmesini sağlar ve pratikte can kurtarır.

PayTR ve Shopier entegrasyonu SSL olmadan çalışır mı?

Kısa cevap: teknik olarak bazı test ortamlarında çalışabilir, ama canlı ortamda hayır. PayTR ve Shopier gibi PCI-DSS uyumlu ödeme sağlayıcıları, bildirim (callback/webhook) URL'lerinin HTTPS olmasını şart koşar. SSL'siz bir bildirim adresine ödeme onayı gönderilmez ya da güvenlik uyarısıyla engellenir — bu da e-pin scriptinde "ödeme alındı ama teslimat tetiklenmedi" gibi en can sıkıcı senaryoya yol açar.

• Webhook güvenliği: Ödeme sağlayıcısı sunucudan sunucuya (server-to-server) bildirim gönderirken şifreli kanal ister.
• Iframe/redirect akışı: Müşteri kart bilgisini girdiği sayfa HTTPS değilse tarayıcı formu engelleyebilir veya kullanıcı güven duymaz.
• 3D Secure yönlendirmesi: Banka doğrulama adımı da HTTPS zinciri kopmadan tamamlanmalıdır; aradaki bir http:// sekmesi akışı kesebilir.

Özetle, e-pin scriptinde ödeme modülü SSL'siz "çalışıyormuş gibi" görünse bile, gerçek işlem hacminde er ya da geç bildirim kaybı veya tarayıcı engeli yaşanır.

Sertifika süresi dolarsa ne olur?

Let's Encrypt sertifikaları 90 gün geçerlidir ve bu kasıtlı bir tasarımdır — kısa ömür, otomatik yenilemeyi zorunlu kılarak güvenliği artırır. Ancak otomatik yenileme (AutoSSL cron veya Certbot renew) bir sebeple çalışmazsa (DNS değişikliği, yanlış yapılandırılmış Cloudflare kaydı, sunucu taşıma) sertifika sessizce süresi dolar.

• Sonuç: Site aniden tam ekran "Bağlantınız gizli değil" uyarısıyla karşılanır, ziyaretçilerin neredeyse tamamı sayfayı terk eder.
• Fark edilme süresi: Kimse izlemiyorsa bu durum saatlerce, hatta günlerce satış kaybına yol açabilir.
• Önlem: cPanel'de AutoSSL'in aktif olduğunu ve domain'in doğrulama kaydının (CAA, DNS) bozulmadığını periyodik kontrol etmek, ya da harici bir "SSL süresi izleme" uyarı servisi kullanmak gerekir.

E-pin gibi anlık satış yapılan bir sitede bu tür bir kesinti, birkaç saatte ciddi ciro kaybına dönüşebilir — bu yüzden yenileme sürecinin insana değil otomasyona bağlı olması önemlidir.