HTTP ve HTTPS Farkı: Şifreleme, Sertifika ve Portlar

Adres çubuğundaki http ve https neyi değiştirir?

Bir URL’nin başındaki bölüm, tarayıcıya kullanılacak iletişim protokolünü bildirir. Örneğin "http://site.com" adresinde HTTP, "https://site.com" adresinde ise HTTPS kullanılması istenir. HTTPS, ayrı bir web dili veya ayrı bir içerik türü değildir; HTTP iletişiminin güvenlik katmanıyla birlikte çalıştırılan biçimidir.

HTTP’de tarayıcı ile sunucu arasında gönderilen veriler şifrelenmeden taşınır. Bu durum, ağ trafiğini izleyebilen bir üçüncü tarafın verileri okumasını veya iletişim üzerinde değişiklik yapmasını kolaylaştırabilir. Özellikle kullanıcı adı, parola, e-posta adresi veya ödeme bilgisi gibi veriler söz konusu olduğunda bu risk önem kazanır.

HTTPS’de veri alışverişi SSL/TLS teknolojileriyle şifrelenir. Şifreleme, verinin ağ üzerinde okunabilir metin biçiminde taşınmasını engellemeyi amaçlar. Bununla birlikte "şifreli" ifadesi, sitenin otomatik olarak güvenilir olduğu anlamına gelmez. HTTPS bağlantısı, öncelikle tarayıcı ile bağlanılan sunucu arasındaki iletişimin korunmasıyla ilgilidir; kullanıcının sahte bir siteye kendi isteğiyle bilgi vermesini tek başına engellemez.

HTTPS’nin sağladığı üç korumayı ayrı ayrı değerlendirme

HTTPS’nin yararını yalnızca şifreleme olarak düşünmek eksik kalır. Bağlantının güvenlik değeri üç başlıkla açıklanabilir:

1. Gizlilik: Verinin ağ üzerinden taşınırken yetkisiz kişilerce okunmasını zorlaştırır. Örneğin bir giriş formuna yazılan parolanın HTTP bağlantısında şifrelenmeden gönderilmesi riskliyken, HTTPS bağlantısında bu veri şifreli iletişim içinde taşınır.

2. Veri bütünlüğü: Verinin gönderici ile sunucu arasındaki yolculuk sırasında değiştirilmesine karşı koruma sağlar. HTTP’de iletişimin bütünlüğü için aynı güvenlik katmanı bulunmadığından, aktarılan içeriğin değiştirilmesi riski daha yüksektir. HTTPS bu değişiklikleri tespit etmeye ve engellemeye yönelik bir koruma sunar; bu, "veri asla değiştirilemez" şeklinde mutlak bir garanti olarak yorumlanmamalıdır.

3. Sunucu kimliğinin doğrulanması: SSL/TLS sertifikası, tarayıcının bağlantı kurduğu alan adıyla ilgili bir doğrulama sürecinin parçasıdır. Tarayıcı sertifikada veya bağlantıda bir sorun görürse uyarı gösterebilir. Ancak sertifikanın geçerli olması, sitenin sunduğu ürünün gerçek olduğunu, içeriğin doğru olduğunu veya sitenin kötü amaçlı olmayacağını tek başına kanıtlamaz.

Bu üç başlıktan biri eksikmiş gibi düşünülmemelidir: HTTPS’nin amacı hem iletişimi korumak hem de tarayıcının bağlantı hakkında güvenlik değerlendirmesi yapabilmesine yardımcı olmaktır.

80 ve 443 portları neden karıştırılıyor?

HTTP ve HTTPS için kullanılan varsayılan port numaraları da farklıdır. HTTP’nin varsayılan portu 80, HTTPS’nin varsayılan portu 443’tür. Tarayıcıda port numarası çoğu zaman URL’de yazılmaz; protokol adından hareketle varsayılan port seçilir.

Örneğin "http://ornek.com" adresi açıkça başka bir port belirtmiyorsa HTTP için 80 numaralı portla ilişkilendirilir. "https://ornek.com" adresi ise varsayılan olarak 443 numaralı portu kullanır. Bu iki sayı, güvenliğin kendisi değildir; güvenli bağlantıyı belirleyen unsur yalnızca 443 numaralı portun seçilmesi değil, HTTPS ve SSL/TLS iletişiminin gerçekten kurulmasıdır.

Bu nedenle "443 portu güvenlidir, 80 portu güvensizdir" şeklindeki kısa ezber eksiktir. Port, ağ üzerindeki hizmetin hangi kapıdan sunulduğunu belirtir. HTTP’nin şifresiz niteliği ve HTTPS’nin SSL/TLS koruması ise protokolün iletişim biçimiyle ilgilidir. Bir soruda port soruluyorsa 80–HTTP, 443–HTTPS eşleştirmesi yapılır; güvenlik gerekçesi soruluyorsa şifreleme ve sertifika boyutu ayrıca açıklanmalıdır.

Tarayıcı uyarısını ve kilit simgesini doğru yorumlama

Tarayıcılar HTTP kullanan sayfalarda, özellikle kullanıcıdan bilgi istenen durumlarda, bağlantının güvenli olmadığına ilişkin uyarı gösterebilir. HTTPS kullanan sayfalarda ise tarayıcı arayüzünde bağlantının güvenlik durumunu belirten bir simge veya açıklama görülebilir. Bu arayüz, kullanılan tarayıcıya ve sürüme göre değişebileceğinden, yalnızca simgenin rengine bakarak karar vermek doğru değildir.

Bir sayfayı kontrol ederken önce adresin gerçekten "https://" ile başlayıp başlamadığına bakılmalıdır. Ardından alan adının doğru yazıldığı incelenmelidir. Örneğin bir kimlik avı sayfası, gerçek siteye benzeyen farklı bir alan adı kullanabilir ve HTTPS’ye sahip olabilir. Bu durumda bağlantı şifreli olsa bile kullanıcı yanlış siteye bağlanmıştır.

HTTPS bağlantısında sertifika uyarısı görülüyorsa parola veya ödeme bilgisi girilmemelidir. Uyarıyı görmezden gelmek, sertifikanın süresi, alan adı veya bağlantının doğrulanmasıyla ilgili bir sorun olabileceği anlamına gelir. HTTPS’nin varlığı olumlu bir işarettir; fakat adresin doğruluğu ve tarayıcı uyarılarının durumu da birlikte değerlendirilmelidir.

Hangi işlemde HTTP, hangi işlemde HTTPS değerlendirilir?

Kişisel bilgi, kullanıcı adı, parola veya finansal veri gönderilen formlarda HTTPS tercih edilmelidir. Çevrim içi bankacılık, e-ticaret, üyelik ve hesap yönetimi gibi işlemlerde şifreli iletişim gereksinimi daha belirgindir. Bunun nedeni, bu işlemlerde gönderilen verilerin kullanıcı açısından hassas olmasıdır.

Yalnızca herkese açık bir metni görüntülemek, HTTP kullanımındaki riski ortadan kaldırmaz; çünkü sayfanın içeriği bağlantı sırasında değiştirilebilir veya kullanıcı sayfanın güvenilirliğini yanlış değerlendirebilir. Bu nedenle modern web kullanımında, hassas veri alınmayan bilgi sayfalarında bile HTTPS kullanılması tercih edilir.

Burada iki farklı kararı ayırmak gerekir: "Bağlantı şifreli mi?" sorusunun cevabı HTTPS ile ilgilidir; "Bu siteye güvenebilir miyim?" sorusu ise alan adı, sitenin amacı, içerik ve istenen bilgilerin makul olup olmadığıyla ilgilidir. HTTPS ikinci soruya tek başına kesin cevap vermez.

Adım adım çözümlü örnekler

Örnek 1: Giriş formu karşılaştırması

Verilenler: Bir kullanıcı iki farklı adres üzerinden aynı türde giriş formu görüyor:

• A sitesi: "http://ornek-site.com/giris"
• B sitesi: "https://ornek-site.com/giris" Kullanıcı her iki formda da e-posta adresi ve parola girecek.

Çözüm adımları:

1. A adresi "http://" ile başladığı için HTTP kullanır. Kaynakta verilen temel özelliğe göre HTTP’de veri aktarımı şifrelenmez.
2. B adresi "https://" ile başladığı için HTTPS kullanır. HTTPS, SSL/TLS ile şifreli iletişim kurmayı amaçlar.
3. Gönderilecek veriler e-posta ve parola olduğundan, veri gizliliği önemlidir.
4. Bu iki seçenek arasında bağlantı güvenliği bakımından HTTPS tercih edilir.
5. Son kontrol olarak alan adı incelenir. B adresinin HTTPS kullanması, alan adının gerçekten beklenen kuruma ait olduğunu tek başına kanıtlamaz.

Sonuç: Aynı alan adına ait oldukları varsayımı altında, giriş bilgilerini göndermek için HTTPS bağlantısı daha uygun seçenektir. Ancak kullanıcı alan adını ve varsa tarayıcı güvenlik uyarılarını ayrıca kontrol etmelidir.

Örnek 2: Port ve protokolü birlikte yorumlama

Verilenler: Bir URL’de port ayrıca yazılmıyor ve adreslerden biri "http://site.com", diğeri "https://site.com" biçiminde.

Çözüm adımları:

1. İlk adresteki protokol HTTP’dir; varsayılan portu 80’dir.
2. İkinci adresteki protokol HTTPS’dir; varsayılan portu 443’tür.
3. 80 ve 443 sayıları bağlantının varsayılan ağ kapılarını gösterir.
4. Güvenlik karşılaştırması yapılırken yalnızca port numarası değil, HTTP’nin şifresiz veya HTTPS’nin SSL/TLS korumalı iletişim sağlaması dikkate alınır.

Sonuç: Eşleştirme "HTTP → 80" ve "HTTPS → 443" şeklindedir. HTTPS’nin daha güvenli olmasının nedeni sadece 443 portu değil, SSL/TLS ile kurulan şifreli iletişimdir.

Sık yapılan hatalar ve karıştırılan kavramlar

"HTTPS varsa site güvenlidir" demek: HTTPS, bağlantıdaki veri alışverişini korumaya yardımcı olur; sitenin sahibinin güvenilirliğini, ürünün gerçekliğini veya içeriğin doğruluğunu garanti etmez. Alan adı da kontrol edilmelidir.

Kilit simgesini güvenilirlik belgesi sanmak: Simge, tarayıcının bağlantının güvenlik durumuna ilişkin göstergesidir. Tarayıcı arayüzleri değişebilir; simgeyi görmek, her türlü dolandırıcılık riskinin ortadan kalktığı anlamına gelmez.

SSL ile TLS’yi aynı şey sanmak: SSL, TLS’nin eski öncülüdür ve günümüzde kullanımdan kaldırılmıştır. HTTPS güncel olarak TLS ile korunur; "SSL sertifikası" ise çoğunlukla TLS sertifikası için kullanılan yerleşik fakat teknik açıdan eski bir ifadedir.

HTTP’nin yalnızca parola gönderirken riskli olduğunu düşünmek: HTTP üzerinden gönderilen içerik yalnızca parola değildir. E-posta adresi, iletişim formu verisi veya sayfa içeriği de aktarım sırasında korunmasız kalabilir.

Portu güvenliğin kendisi sanmak: 443, HTTPS’nin varsayılan portudur; fakat güvenlik açıklamasının asıl dayanağı SSL/TLS korumasıdır. 80 ve 443 eşleştirmesi, protokol ile varsayılan port arasındaki ilişkiyi gösterir.

HTTPS’nin veriyi her yerde şifrelediğini sanmak: HTTPS, tarayıcı ile bağlanılan web sunucusu arasındaki iletişimi korumayı amaçlar. Kullanıcının cihazındaki kötü amaçlı yazılımlar, yanlış alana bilgi verme veya sunucunun kötüye kullanımı gibi başka riskleri tek başına çözmez.