Ücretsiz SSL ve Ücretli SSL Sertifikası Arasındaki Fark

Ücretsiz SSL Güvenli mi? Kısa Cevap

Evet — ücretsiz bir SSL sertifikası kullanmak güvenlidir ve ücretsiz SSL ile ücretli SSL arasındaki tartışma aslında güvenlikle ilgili değildir. Herkese açık güvenilen her sertifika — ücretsiz ya da ücretli — aynı TLS protokollerini ve aynı anahtar uzunluklarını kullanır; yani ziyaretçinin bağlantısı her iki durumda da aynı şekilde şifrelenir. Ücretsiz ve ücretli seçenekler arasında değişen şey, sertifikanın arkasındaki kimlik doğrulama seviyesi, geçerlilik süresi ve bir sorun çıktığında elinizde ne olduğudur.

En çok bilinen ücretsiz sertifika kaynağı Let's Encrypt'tir; yalnızca alan adı doğrulaması (DV) yapar, 90 gün geçerlidir ve geçerliliğini korumak için tamamen otomasyona bağımlıdır. Ücretli sertifikalar ise kurum doğrulaması veya gelişmiş doğrulama, daha uzun abonelik süreleri, wildcard ve çoklu alan adı desteği, garanti ve gerçekten ulaşabileceğiniz bir destek kanalı ekler. Hangisinin "daha iyi" olduğu; neyi, kimin için güvence altına aldığınıza bağlıdır.

Ücretsiz SSL Sertifikası Aslında Ne Sağlar?

Ücretsiz bir SSL sertifikası tek bir şeyi kanıtlar: sertifikayı talep edenin o alan adını kontrol ettiğini. Buna alan adı doğrulama (DV) denir — sertifika otoritesi bir DNS kaydını, bir HTTP dosyasını ya da alan adına bağlı bir e-posta adresini kontrol eder ve sertifikayı otomatik olarak verir. Bu doğrulamanın tam olarak nasıl işlediğini, ücretsiz ya da ücretli fark etmeksizin, alan adı doğrulaması (DCV) rehberimizde anlatıyoruz.

Let's Encrypt, maliyeti ortadan kaldırarak HTTPS'i internetin standardı haline getiren en bilinen ücretsiz sertifika kaynağıdır. Karşılığında birkaç sorumluluk sizde kalır:

• Sertifikalar 90 gün geçerlidir, bu yüzden yenileme mutlaka otomatikleştirilmelidir (Certbot gibi ACME istemcileri bunu yapar) — kaçırılan bir yenileme, süresi dolmuş bir sertifika ve tarayıcı uyarısı demektir.
• Ücretsiz verim, alan adı başına belirli oran sınırlarına tabidir; bu genellikle kısa sürede çok sayıda sertifika üreten büyük siteleri ilgilendirir.
• Let's Encrypt'te hiçbir fiyata kurum doğrulaması yoktur — tasarım gereği yalnızca DV sunar.
• Destek topluluk forumlarıyla sınırlıdır; bir sorun olduğunda arayabileceğiniz bir tedarikçi yoktur.

Web sitelerinin büyük bir kısmı için bu denge oldukça makuldür. ACME otomasyonunu kendiniz yönetmek istemiyorsanız, ticari bir CA'dan alınan bağımsız bir DV SSL sertifikası, aynı alan adı doğrulamasını daha uzun bir geçerlilik süresi ve bir destek kanalıyla birlikte sunar.

Ücretli SSL Neler Katar? Doğrulama, Garanti ve Destek

Ücretli SSL sertifikaları aynı DV temelinden başlar ve ücretsiz sertifikaların hiçbir fiyata sunmadığı özellikleri ekler. Bunların en önemlisi doğrulama seviyesidir: bir OV SSL sertifikası, alan adının arkasında gerçek, tescilli bir kurum olduğunu doğrular; bir EV SSL sertifikası ise kurumun hukuki, fiziksel ve operasyonel varlığını en kapsamlı şekilde inceler. Tarayıcılar 2019'dan bu yana EV için adres çubuğunda yeşil ibare veya şirket adı göstermiyor, ancak doğrulanmış kurum bilgileri sertifikanın kendisinde yer almaya devam ediyor — B2B siteler, finans hizmetleri ve müşterinin kiminle muhatap olduğunu teyit etmek isteyebileceği her yer için değerli.

Ücretli sertifikalar ayrıca ücretsiz SSL'in iyi karşılamadığı senaryoları da kapsar: bir wildcard SSL sertifikası, tek bir sertifika altında bir seviyedeki sınırsız sayıda alt alan adını güvence altına alır (genellikle çıplak alan adıyla birlikte — ürün detaylarını kontrol edin); bir çoklu alan adı (SAN) SSL sertifikası ise tek bir sertifikada birden fazla farklı alan adını kapsar ve birden fazla siteyi yöneten herkes için işleri sadeleştirir.

Doğrulama ve kapsamın ötesinde, ücretli bir sertifika genellikle bir garanti, birden fazla yılı kapsayan bir abonelik (sertifikanın kendisi bu süre içinde periyodik olarak yeniden düzenlenir) ve başvurabileceğiniz bir bayi veya tedarikçi destek kanalıyla birlikte gelir — bunların hiçbiri ücretsiz SSL'de bulunmaz.

Şifreleme Aynıdır — Fark Güvenlikte Değil, Güvende

Açıkça tekrar etmekte fayda var: DV, OV ve EV sertifikaları — ücretsiz ya da ücretli fark etmeksizin — aynı şifrelemeyi kullanır. Ziyaretçinin tarayıcısı, sertifikanın doğrulama seviyesi veya fiyatı ne olursa olsun aynı TLS el sıkışmasını ve aynı şifreleme gücünü müzakere eder.

Doğrulama seviyesinin değiştirdiği şey, sertifikanın ziyaretçiye (veya bir denetçiye) siteyi kimin işlettiği hakkında ne söylediğidir — bağlantının ne kadar iyi korunduğu değil. Bir DV sertifikası alan adı kontrolünü doğrular; OV ve EV ise buna kurumun doğrulanmasını ekler — tam tabloyu DV, OV ve EV farkları karşılaştırmamızda bulabilirsiniz. Bu bir güven ve hesap verebilirlik meselesidir, şifreleme meselesi değil — ve ücretsiz-ücretli tartışmasındaki en yaygın yanlış anlaşılma da tam olarak budur.

Ücretsiz ve Ücretli SSL Karşılaştırma Tablosu

Ücretsiz ve ücretli SSL sertifikalarını, seçim yaparken gerçekten önemli olan başlıklara göre karşılaştıralım.

Ücretsiz SSL Ne Zaman Yeterlidir?

Ücretsiz SSL şu durumlarda iyi, hatta çoğu zaman ideal bir seçimdir:

• Kişisel bir blog, portföy, dokümantasyon sitesi ya da yalnızca alan adı doğrulamasının yeterli olduğu bir iç araç işletiyorsanız.
• Zaten güvenilir bir ACME otomasyonunuz varsa (çoğu modern barındırma paneli ve web sunucusu bunu destekler), 90 günlük yenileme bir bakım riski oluşturmaz.
• Kurum doğrulamasının veya garantinin gerçek bir değer katmayacağı geliştirme, test ya da kısa ömürlü ortamlar kuruyorsanız.
• Bütçe belirleyici faktörse ve site ödeme, hassas veri işlemiyorsa ya da ziyaretçi güven sinyallerinin kritik olduğu bir marka değilse.

Bu durumlarda ücretli bir sertifika almak, anlamlı şekilde daha iyi bir güvenlik satın almaz — sadece henüz ihtiyacınız olmayan bir doğrulama seviyesi ve destek kanalı eklemiş olursunuz.

Ücretli SSL Sertifikası Gerekli mi? Ücretli SSL Ne Zaman Mantıklıdır

Ücretli SSL, ücretsiz sertifikaların sunmadığı şu unsurlardan bir ya da daha fazlasına ihtiyacınız olduğunda maliyetini fazlasıyla karşılar:

• Kurum kimliği. Bir e-ticaret sitesi, bir finans hizmeti ya da müşterilerin kiminle muhatap olduğunu doğrulamak isteyebileceği herhangi bir B2B site, OV veya EV doğrulamasından fayda görür.
• Garanti ve hesap verebilirlik. Regüle sektörler ve daha büyük işletmeler genellikle yalnızca şifrelemeyi değil, ücretli bir sertifikayla gelen garantiyi ve tedarikçi ilişkisini de arar.
• Ölçekte sadeleştirilmiş kapsam. Wildcard ve çoklu alan adı ürünleri, birçok alt alan adı veya varlık genelinde takip etmeniz gereken sertifika sayısını azaltır.
• Müşteri projeleri. Onlarca ya da yüzlerce müşteri alan adı için SSL yöneten ajanslar ve barındırma sağlayıcıları, genellikle her hesap için kendi ACME otomasyonunu kurmak yerine destek kanalı ve öngörülebilir yeniden düzenleme takvimiyle gelen sertifikaları tercih eder.
• Daha az otomasyon riski. Yenileme otomasyonunu kimse yakından izlemiyorsa, 90 günde bir süresi dolmayan bir sertifika, fark edilmeyen bir kesintiyi önler.

Bu maddelerden birkaçı sizin için geçerliyse, ücretli bir sertifika genellikle buna değer — SSLCipher'ın yayımladığı bayilik fiyatları gibi rakamlarla aradaki fark, çoğu kişinin tahmin ettiğinden daha küçüktür.

İkisi de Kısalıyor: Azalan Maksimum Geçerlilik Süresi

Ücretsiz-ücretli tartışmasının hangi tarafında olursanız olun, sertifika geçerlilik süreleri sektör genelinde kısalıyor. CA/Browser Forum'un SC-081 numaralı kararının ardından, herkese açık güvenilen TLS sertifikalarının azami geçerlilik süresi 398 günden, 15 Mart 2026'dan itibaren verilen sertifikalar için 200 güne, 15 Mart 2027'den itibaren 100 güne ve 15 Mart 2029'dan itibaren 47 güne düşüyor. Alan adı doğrulamasının yeniden kullanılabilme süreleri de paralel şekilde kısalıyor. Bunun pratikte ne anlama geldiğini 200 günlük geçerlilik süresi değişikliğini anlattığımız yazımızda ele aldık.

Ücretsiz sertifikalar zaten kısa bir geçerlilik süresiyle yaşıyor (Let's Encrypt'in 90 günü bu değişiklikten önce de böyleydi), bu yüzden orada otomasyon hiçbir zaman tartışmaya açık olmadı. Ücretli sertifikalar ise bu noktaya yaklaşıyor: çok yıllık bir "SSL sertifikası" aboneliği olarak satılan şey, aslında sertifikanın perde arkasında daha kısa bir takvimle yeniden düzenlendiği bir dönemdir. İster ücretsiz ister ücretli seçin, çalışan bir yenileme otomasyonu artık bir lüks değil, bir gereklilik haline geliyor.

Let's Encrypt mi, Ücretli SSL mi? Sonuç

Ücretsiz ve ücretli SSL sertifikaları bir bağlantıyı aynı şifrelemeyle korur — asıl karar doğrulama seviyesi, geçerlilik süresi ve otomasyon ile sertifikanın arkasında bir garanti ve destek kanalı olup olmadığıyla ilgilidir. Bir blog ya da iç araç, sağlam bir otomatik yenilemeyle çalışan ücretsiz bir DV sertifikasından fazlasına nadiren ihtiyaç duyar. Bir e-ticaret sitesi, bir müşterinin kurumsal sitesi ya da kurumsal güven ve hesap verebilirliğin önemli olduğu her yer, genellikle ücretli bir OV, EV, wildcard ya da çoklu alan adı sertifikasıyla daha iyi hizmet görür.

Kararın maliyet tarafını değerlendiriyorsanız, SSLCipher; DV, OV, EV, wildcard ve çoklu alan adı sertifikaları için bayilik fiyatlarını üye olmaya gerek kalmadan fiyat sayfasında yayımlar; böylece hangi yöne gideceğinize karar vermeden önce gerçek rakamları karşılaştırabilirsiniz.

Sık sorulan sorular