SSL sertifikası, web siteniz ile ziyaretçinin tarayıcısı arasındaki veri trafiğinin şifreli olarak iletilmesini sağlar. SSL sertifikası aktif olan web siteleri https:// protokolü üzerinden çalışır.

WordPress sitenize SSL sertifikası kurulmuş olsa bile sitenin eski http:// adreslerinden erişilebilir durumda kalması mümkündür. Bu durumda ziyaretçilerin ve arama motorlarının otomatik olarak HTTPS sürümüne yönlendirilmesi gerekir.

Bu rehberde WordPress sitenizi HTTP’den HTTPS’e yönlendirme, WordPress URL ayarlarını düzenleme, .htaccess ile 301 yönlendirmesi yapma, Really Simple Security kullanma ve Mixed Content sorunlarını giderme işlemlerini adım adım anlatacağız.

1. SSL Sertifikasının Aktif Olduğunu Kontrol Edin

HTTP’den HTTPS’e yönlendirme yapmadan önce alan adınız için geçerli bir SSL sertifikasının kurulu olması gerekir.

Tarayıcınıza aşağıdaki şekilde alan adınızı yazarak kontrol sağlayabilirsiniz:

https://alanadiniz.com

Web sitesi HTTPS üzerinden sorunsuz açılıyor ve tarayıcıda sertifika uyarısı görünmüyorsa SSL sertifikanız aktif durumdadır.

Sertifika hatası alıyorsanız HTTPS yönlendirmesi yapmadan önce SSL kurulumunu tamamlamanız gerekir.

Hosting.com.tr Linux Hosting ve WordPress Hosting hizmetlerinde, hizmet kapsamında sunulan ücretsiz SSL sertifikalarından da yararlanabilirsiniz.

GÖRSEL 1 — SSL sertifikasının aktif olduğu WordPress sitesi / tarayıcıda HTTPS kontrolü

2. WordPress Adreslerini HTTPS Olarak Güncelleyin

WordPress yönetim panelinize giriş yaptıktan sonra:

Ayarlar > Genel

bölümüne girin.

Burada aşağıdaki iki alanı kontrol edin:

• WordPress Adresi (URL)
• Site Adresi (URL)

SSL sertifikası aktif ise adreslerin aşağıdaki gibi HTTPS ile başlaması gerekir:

https://alanadiniz.com

Örneğin eski değerler:

http://alanadiniz.com

şeklindeyse bunları:

https://alanadiniz.com

olarak değiştirebilirsiniz.

Değişiklikleri yaptıktan sonra Değişiklikleri Kaydet butonuna tıklayın.

WordPress sizi yeniden giriş ekranına yönlendirebilir. Bu durum normaldir.

Önemli: WordPress Adresi ve Site Adresi alanlarını yanlış bir alan adı veya erişilemeyen bir HTTPS adresi ile değiştirmek sitenize erişimi engelleyebilir. İşlem öncesinde yedek almanız önerilir.

Bazı WordPress kurulumlarında bu alanlar wp-config.php üzerinden sabitlenmiş olabilir. Böyle bir durumda alanlar yönetim panelinden değiştirilemez.

GÖRSEL 2 — WordPress Ayarlar > Genel ekranında WordPress Adresi ve Site Adresi HTTPS olarak

3. HTTP’den HTTPS’e 301 Yönlendirmesi Yapın

WordPress adreslerini HTTPS olarak değiştirmek tek başına yeterli olmayabilir.

Aşağıdaki adreslerin:

http://alanadiniz.com
http://www.alanadiniz.com

otomatik olarak tercih ettiğiniz HTTPS adresine yönlenmesi gerekir.

Kalıcı HTTP → HTTPS geçişlerinde 301 yönlendirmesi kullanılabilir.

Örneğin tercih ettiğiniz adres:

https://alanadiniz.com

ise ziyaretçi:

http://alanadiniz.com

adresine girdiğinde otomatik olarak:

https://alanadiniz.com

adresine yönlendirilmelidir.

Bu yapı aynı zamanda arama motorlarının sitenizin HTTPS sürümünü ana adres olarak anlamasına yardımcı olur.

4. .htaccess ile HTTP’den HTTPS’e Yönlendirme

Apache veya LiteSpeed tabanlı Linux Hosting hizmetlerinde HTTPS yönlendirmesi .htaccess dosyası üzerinden yapılabilir.

Web sitenizin ana dizinindeki .htaccess dosyasını düzenleyin ve WordPress kurallarından önce aşağıdaki yönlendirmeyi ekleyin:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
</IfModule>

Bu kural HTTP üzerinden gelen istekleri aynı alan adının HTTPS sürümüne kalıcı olarak yönlendirir.

Örneğin:

http://alanadiniz.com/ornek-sayfa/

adresi:

https://alanadiniz.com/ornek-sayfa/

adresine yönlendirilir.

www veya www Olmadan Tek Adres Kullanmak

Sitenizin tek bir adres biçimi üzerinden yayınlanması önerilir.

Örneğin ana adresiniz:

https://alanadiniz.com

ise aşağıdaki adreslerin tamamı bu adrese yönlenmelidir:

http://alanadiniz.com
http://www.alanadiniz.com
https://www.alanadiniz.com

Aynı şekilde www kullanmak istiyorsanız bütün adreslerin:

https://www.alanadiniz.com

üzerinde birleşmesini sağlayabilirsiniz.

Dikkat: Cloudflare, reverse proxy, load balancer veya farklı bir SSL terminasyon sistemi kullanılıyorsa %{HTTPS} değeri sunucuda beklediğiniz şekilde görünmeyebilir. Yanlış yönlendirme kuralı ERR_TOO_MANY_REDIRECTS hatasına neden olabilir. Bu yapılarda HTTPS yönlendirmesi CDN veya proxy yapılandırmasına göre yapılmalıdır.

GÖRSEL 3 — HTTP → 301 Redirect → HTTPS akışını ve .htaccess yapılandırmasını gösteren görsel

5. Really Simple Security ile HTTPS Yönlendirme

.htaccess dosyasını manuel olarak düzenlemek istemiyorsanız WordPress üzerinden bir eklenti kullanabilirsiniz.

Daha önce Really Simple SSL adıyla bilinen eklenti günümüzde Really Simple Security adıyla yayınlanmaktadır.

Kurulum için:

1. WordPress yönetim paneline giriş yapın.
2. Eklentiler > Yeni Eklenti Ekle bölümüne girin.
3. Arama alanına Really Simple Security yazın.
4. Eklentiyi yükleyin.
5. Etkinleştir butonuna tıklayın.
6. Eklenti içerisindeki SSL/HTTPS yapılandırma adımlarını tamamlayın.

Really Simple Security HTTPS yönlendirmesinin yanında çeşitli WordPress güvenlik özellikleri de sunmaktadır.

Ancak yalnızca HTTP → HTTPS yönlendirmesi yapmak için eklenti kullanılması zorunlu değildir. Hosting altyapınız uygun ise yönlendirmeyi sunucu veya .htaccess seviyesinde gerçekleştirebilirsiniz.

Bu nedenle performans açısından mümkün olduğunca gereksiz eklenti kullanımından kaçınmak faydalı olabilir.

6. Mixed Content Hatasını Kontrol Edin

HTTPS geçişinden sonra en sık karşılaşılan sorunlardan biri Mixed Content hatasıdır.

Web sayfanız HTTPS üzerinden açılırken sayfa içerisindeki bazı görsel, CSS, JavaScript veya diğer dosyaların hâlâ HTTP üzerinden çağrılması Mixed Content olarak adlandırılır.

Örneğin:

http://alanadiniz.com/wp-content/uploads/resim.jpg

şeklindeki bir kaynak HTTPS site içerisinde kullanılmaya devam ediyorsa tarayıcı güvenlik uyarısı verebilir veya kaynağı engelleyebilir.

Doğru kullanım:

https://alanadiniz.com/wp-content/uploads/resim.jpg

şeklindedir.

Mixed Content sorunları aşağıdaki alanlarda bulunabilir:

• WordPress içeriklerinde eklenmiş eski görsel URL’leri
• Tema ayarları
• Elementor veya benzeri page builder içerikleri
• CSS dosyalarında kullanılan URL’ler
• JavaScript dosyaları
• Harici fontlar
• iframe kodları
• Eski CDN adresleri
• Veritabanında kayıtlı HTTP bağlantıları

Tarayıcınızın geliştirici araçlarını açarak:

Developer Tools > Console

bölümünden Mixed Content uyarılarını kontrol edebilirsiniz.

Veritabanındaki URL’leri toplu olarak değiştirirken doğrudan SQL ile kontrolsüz REPLACE işlemi yapmak serialized WordPress verilerini bozabilir. WordPress ile uyumlu arama/değiştirme araçları kullanılması daha güvenlidir.

GÖRSEL 4 — HTTPS sayfada HTTP görsel/CSS/JS isteklerinin Mixed Content olarak tespit edilmesi

7. Cache ve CDN Önbelleğini Temizleyin

HTTPS geçişinden sonra eski HTTP adresleri cache içerisinde kalabilir.

Bu nedenle kullandığınız sistemlere göre aşağıdaki önbellekleri temizleyin:

• WordPress cache eklentisi
• LiteSpeed Cache
• WP Fastest Cache
• CDN cache
• Cloudflare cache
• Sunucu cache
• Tarayıcı cache

Ardından sitenizi gizli sekmede yeniden kontrol edin.

Özellikle CSS ve JavaScript dosyalarının eski HTTP adreslerinden yüklenmediğinden emin olun.

8. HTTP → HTTPS Yönlendirmesini Test Edin

Yapılandırma tamamlandıktan sonra sitenizin farklı adreslerini ayrı ayrı kontrol edin.

Örneğin:

http://alanadiniz.com
http://www.alanadiniz.com
https://alanadiniz.com
https://www.alanadiniz.com

Tercih ettiğiniz sürüm dışındaki adreslerin tek bir HTTPS adresine yönlenmesi gerekir.

Örneğin ana adresiniz:

https://alanadiniz.com

ise sonuç ideal olarak:

http://alanadiniz.com
        ↓ 301
https://alanadiniz.com

şeklinde olmalıdır.

Gereksiz yönlendirme zincirlerinden kaçının.

Örneğin aşağıdaki yapı ideal değildir:

http://alanadiniz.com
        ↓
http://www.alanadiniz.com
        ↓
https://www.alanadiniz.com
        ↓
https://alanadiniz.com

Mümkün olduğunda ilk isteğin doğrudan tercih edilen HTTPS adresine yönlenmesini sağlayın.

9. ERR_TOO_MANY_REDIRECTS Hatası Alırsanız

HTTPS yapılandırması sonrasında:

ERR_TOO_MANY_REDIRECTS

hatası alıyorsanız HTTP ve HTTPS yönlendirmeleri birbirini tekrar ediyor olabilir.

Özellikle aşağıdaki durumları kontrol edin:

• .htaccess içerisinde birden fazla HTTPS kuralı bulunması
• WordPress eklentisinin ayrıca HTTPS yönlendirmesi yapması
• Cloudflare üzerinde ek redirect kuralı bulunması
• Hosting panelinde HTTPS zorlamasının açık olması
• Reverse proxy kullanılması
• WordPress Site URL değerlerinin hatalı olması

Aynı yönlendirmeyi birden fazla katmanda uygulamak yerine mümkün olduğunca tek ve kontrollü bir yönlendirme yöntemi kullanılması önerilir.

10. Cloudflare Kullanıyorsanız SSL Ayarını Kontrol Edin

Cloudflare kullanılan WordPress sitelerinde SSL modu yanlış yapılandırıldığında redirect loop veya güvenli olmayan bağlantı sorunları meydana gelebilir.

Origin sunucunuzda geçerli bir SSL sertifikası bulunuyorsa Cloudflare tarafında genellikle uçtan uca HTTPS sağlayan bir SSL modu tercih edilmelidir.

HTTP → HTTPS zorlamasını hem Cloudflare hem .htaccess hem de WordPress eklentisi üzerinden aynı anda uygulamak gereksiz yönlendirmelere neden olabilir.

Yapılandırma sonrasında hem ziyaretçi → Cloudflare hem de Cloudflare → origin sunucu bağlantısının HTTPS üzerinden çalıştığını doğrulayın.

11. HSTS Kullanılmalı mı?

HTTP Strict Transport Security (HSTS), tarayıcıya belirli bir süre boyunca alan adına yalnızca HTTPS üzerinden bağlanması gerektiğini bildiren bir güvenlik başlığıdır.

HSTS etkinleştirildiğinde tarayıcı sonraki HTTP bağlantılarını otomatik olarak HTTPS’e yükseltebilir.

Ancak HSTS yanlış yapılandırıldığında özellikle SSL sertifikası problemi yaşayan sitelerde erişim sorunlarına neden olabilir.

Bu nedenle HSTS etkinleştirmeden önce:

• SSL sertifikanızın sorunsuz çalıştığından,
• sitenin tamamen HTTPS üzerinden açıldığından,
• Mixed Content sorunlarının giderildiğinden,
• varsa alt alan adlarının durumunun kontrol edildiğinden

emin olun.

includeSubDomains veya HSTS preload gibi seçenekleri ne yaptığınızı bilmeden etkinleştirmeyin.

12. WordPress Site Sağlığı Üzerinden HTTPS Kontrolü

WordPress yönetim panelinde:

Araçlar > Site Sağlığı

bölümüne girerek sitenizin HTTPS durumunu kontrol edebilirsiniz.

WordPress Site Sağlığı ekranı, sitenin HTTPS kullanıp kullanmadığını ve bazı temel yapılandırma bilgilerini gösterebilir.

HTTPS geçişinden sonra burada kritik bir HTTPS uyarısı bulunmadığını kontrol edin.

GÖRSEL 5 — WordPress Site Sağlığı, HTTPS kontrolü, 301 doğrulaması ve güvenli bağlantı

| Hosting.com.tr