HTTPS ve WordPress – Gerçekten İhtiyacınız Var mı?

İnternet gizli konuşmalar için pek güvenli bir yer değil. Sokak adresiniz, telefon numaranız ve kredi kartı bilgileriniz gibi kişisel bilgilerinizi çalmayı bekleyen binlerce meraklı göz var. Bu nedenle çoğu şirket, gizli görevleri işlerken Güvenli HTTP (HTTPS) protokolünü kullanır. Bugün HTTPS hakkında konuşacağız ve sitelerimizde gerçekten buna ihtiyacımız olup olmadığını tartışacağız.

Biraz Teknik Çay

HTTP, web sayfalarını ve dosyaları iletmek ve aktarmak için web sunucuları ve istemciler (tarayıcılar) tarafından kullanılan bir protokoldür. FTP, SSH ve BitTorrent gibi bir sürü başka protokol var.

HTTPS, SSL (Güvenli Yuva Katmanı) şifrelemesini kullanan HTTP protokolünün güvenli bir sürümüdür. SSL'nin arka planda nasıl çalıştığı, Bilgisayar Bilimleri alanında lisans derecesi ve sağlam bir şifreleme anlayışı gerektirir. Soyutlama kavramı sayesinde, bunun için endişelenmemize gerek yok. Sadece hatırlıyorum:

HTTP + SSL = HTTPS

Özetle, HTTPS, verileri aktarmadan önce "el sıkışma mekanizması" ile eşleşen bir genel ve özel anahtar kullanır. El sıkışma tamamlandıktan sonra bağlantı kurulur ve güvenli oturum başlar. Bir HTTPS sitesini ziyaret ettiğinizde, tüm bunlar, tarayıcınızın adres çubuğunda yeşil göstergeyi görmeden hemen önce gerçekleşir.

HTTPS'nin Harika Olmasının Dört Nedeni

1. Birinci Sınıf Güvenlik: SSL ile bağlantınız şifrelenir. Yalnızca sunucu ve tarayıcının iletişim kurabileceği sanal bir tünel oluşturulur. O kanalı başka kimse yorumlayamaz. Saldırgan o kanala girse bile şifrelenmiş verileri anlamlandıramaz. Yalnızca tarayıcı tarafından bilinen özel anahtara ihtiyacı olacaktır.

2. İnceleme: HTTPS, SSL sertifikası gerektirir ve bir işletme için ikincisini edinmek ciddi bir süreçtir. Sertifika Yetkilisi (CA) tarafından doğrulanmış resmi belgelerin sunulmasını gerektirir. Yalnızca belgeler doğrulama testlerini geçtiğinde SSL sertifikası verilir.

3. İşletmeleri Meşrulaştırır: SSL güvenli bir siteyi ziyaret ettiğinizde sitenin güvenilirliğinden emin olabilirsiniz. Sahibinin gerekli iletişim bilgilerini her zaman sitenin SSL sertifikasından alabilirsiniz.

4. Veri Bütünlüğü: Veri bütünlüğü, talep edilen veri ile alınan gerçek verinin tutarlılığını ifade eder. Şu örneği düşünün: Birisi, XYZ sunucusu kurulum talimatlarıyla ilgili belirli bir gönderi için sitenizi ziyaret ediyor . Gönderinin sonunda bir bağlı kuruluş bağlantısı bırakırsınız. Güvenli olmayan bir sitede, bir saldırgan bağlantıya kolayca erişebilir ve güvenliği ihlal edilmiş verileri ziyaretçinize gönderebilir. Her durumda, bağlı kuruluş bağlantınızı bir kimlik avı bağlantısıyla değiştirecektir. Bu nedenle, talep edilen verilerle fiilen alınan veriler arasında muazzam bir fark vardır – verilerin bütünlüğü bozulur. SSL ile bunların hiçbiri mümkün değil!

İşte Yakalama:

Güvenli bir bağlantı kurmak, hem sunucu hem de istemci tarafından önemli bir hesaplama gücü gerektirir. Bu sonuç, HTTP ile karşılaştırıldığında daha yavaş bir aktarım hızıdır . Bu nedenle çoğu site her zaman HTTPS kullanmaz. Giriş yapmaya veya satın almaya çalıştığınız ana kadar beklerler. Amazon ve Newegg gibi e-ticaret siteleri bu kuralı takip eder. Bu şekilde tarama çok hızlı gerçekleşir ve satın alma işlemleri güvenlidir.

WordPress Sitemde Gerçekten HTTPS'ye İhtiyacım Var mı?

Güzel soru, ama bu basit bir evet veya hayır cevabı değil. O halde bunu uzun uzun tartışalım.

Arama Motorları HTTPS Sitelerini tercih ediyor (evet)

İşte Google Web Yöneticisi Merkezi blogundaki yakın tarihli bir gönderiden bir alıntı.

…son birkaç aydır, sitelerin arama sıralama algoritmalarımızda sinyal olarak güvenli, şifreli bağlantılar kullanıp kullanmadığını dikkate alan testler yapıyoruz.

Bu, sitenizde HTTPS yoksa SERP sıralamanızın düşeceği anlamına gelmez. Şimdilik. Uyanık insanlar bunu geleceğin neler getireceğinin erken bir göstergesi olarak alacaklardır. Birçok kişi Google'ın kararından şikayetçi ve sorguluyor. Neden statik blogunuzda HTTPS kullanasınız ki? Bilgisayar korsanlarının ziyaretçilerinizin yorumlarını okumasını önlemek için mi? Heck, Google Web Yöneticisi Blogu bile SSL kullanmıyor!

Sitelerin HTTPS Kullanması Gereken Senaryolar

HTTPS'nin ek bir güvenlik katmanı olarak kullanılması gereken birçok durum vardır. Uygulanması gereken bazı örnekler:

1. E-ticaret Mağazaları

WooCommerce veya iThemes Exchange kullanarak bir WordPress mağazası işletiyorsanız, sitenin işlem sayfalarında HTTPS kullanmak en akıllıca olacaktır. Bildiğiniz gibi HTTPS, HTTP'den daha yavaştır ve bu nedenle kullanıcının tarama deneyimi üzerinde bir etkisi vardır. Ancak, bir kişinin ev adresi, telefon numarası veya kredi kartı bilgileri gibi gizli bilgileri söz konusu olduğunda, güvenlik yerine hızdan ödün vermek bir zorunluluktur. Aşağıdaki senaryolarda her zaman HTTPS kullanmalısınız:

• Yeni bir kullanıcı kaydolur veya oturum açar
• Bir kullanıcı ödeme yapmak üzere

2. Bağış Sayfaları

Bazı siteler kenar çubuklarında küçük bir bağış düğmesi görüntüler ve neredeyse tamamı HTTPS kullanmaz. İşte yanlış gidebilecek şeyler. Site güvenli olmadığı için saldırgan, PayPal bağış düğmesini bir kimlik avı sitesiyle değiştirmek gibi sahte bilgileri göstermek için sitenin verilerini kolayca değiştirebilir. Bir ziyaretçi (daha doğrusu bağışçı) bu sahte bağlantıya tıkladığında, hesabının tehlikeye girme riski vardır. Bu nedenle, sitenizde bir bağış düğmesi kullanıyorsanız, SSL'yi dahil etmeye çalışın.

3. Üyelik Siteleri

Birçok İnternet girişimcisi, WordPress kullanarak özel forumlar ve üyelik siteleri işletiyor. Bu tür siteler özel veriler taşır – halkın görmesini istemediğiniz veriler. Bu gibi durumlarda SSL kullanılması, veri bütünlüğü tehditlerini ortadan kaldıracak ve üyelerinizin etkileşimi için güvenli bir ortam oluşturacaktır. Bir taşla iki kuş vurmak gibi:

1. Daha iyi güvenlik
2. Müşteri güvenini ve güvenini artırın

4. Geçmişte Hacklenen Siteler

Siteniz hedefli bir saldırının kurbanıysa veya yakın zamanda saldırıya uğradıysa, SSL şifreli bir siteye geçmeyi ciddi olarak düşünmelisiniz. Saldırıya uğramış bir siteden kurtarma, kişisel uzmanlık kullanılarak ve/veya WordPress güvenlik uzmanlarının (Sucuri gibi) yardımıyla yapılabilir.

Kendinizi gelecekteki saldırılara karşı korumak ve ekstra bir güvenlik katmanı eklemek için sitenizin tamamında HTTPS'yi kullanmaya zorlayın. Ancak SSL çok fazla sunucu kaynağı tükettiğinden, sunucu yapılandırmanıza bağlı olarak siteniz oldukça yavaşlayabilir. Bunu istemiyorsun. Böylece, SSL'yi yalnızca oturum açma sayfalarında ve WordPress yönetici panosunda çalışırken seçerek de kullanabilirsiniz.

WordPress'te SSL Kurulumu

SSL kurulumu karmaşık ve sıkıcı bir süreçtir. Teknik uzmanlık, önemli zaman gerektirir ve hataya çok yer vardır. SSL kurulumunu yapmanıza yardımcı olması için barındırma yöneticinizle konuşmanızı şiddetle tavsiye ederim (GoDaddy'yi kontrol edin, bağlantımızla bir SSL sertifikasında %25 tasarruf edebilirsiniz). Bir HTTPS sitesine geçmeye kararlıysanız, bütçenizin yönetilen bir WordPress barındırma şirketinin maliyetini içerebileceğini varsaymak güvenli bir bahistir.

WPExplorer olarak WPEngine kullanıyoruz ve sitemiz bilgisayar korsanlarından, kötü amaçlı yazılımlardan ve DDoS saldırılarından korunuyor. Üstelik gerçekten hızlı. WPEngine gibi şirketler size entegre bir SSL sertifikası satın alma seçeneği sunar. Maliyet yılda 49 ila 199 USD arasında değişmektedir. Üçüncü taraf SSL'yi de kullanabilirsiniz ve bunlar sitenizde HTTPS'yi kurmanıza ve yapılandırmanıza yardımcı olur.

Çözüm

Size göre – bu özel konu hakkındaki düşünceleriniz nelerdir? HTTPS'de evet mi hayır mı? Sitenizde daha önce SSL kullandınız mı? Düşüncelerinizi bizimle paylaşın!