HSTS Nedir, Açmalı mı?

Kısa cevap: HSTS, tarayıcıya "bu siteye her zaman şifreli bağlan" talimatı veren bir ayardır. Güvenliği artırır, ancak yanlış yapılandırıldığında sitenizi erişilemez hâle getirebilir.

Hangi sorunu çözüyor?

Ziyaretçi adres çubuğuna sadece alan adınızı yazdığında, tarayıcı önce şifresiz bağlantı dener. Yönlendirme devreye girip şifreli sürüme gönderir.

Sorun: Bu ilk şifresiz istek sırasında, ağı dinleyen biri araya girebilir.

HSTS ile: Tarayıcı, siteye daha önce girmişse şifresiz istek hiç yapmaz; doğrudan şifreli bağlanır.

Nasıl çalışır?

1. Ziyaretçi siteye ilk kez girer
2. Sunucu bir talimat gönderir: "bana hep şifreli bağlan"
3. Tarayıcı bunu belirli bir süre hatırlar
4. Sonraki ziyaretlerde şifresiz denemez
5. Süre dolduğunda talimat yenilenir

Kritik nokta: Bu talimat tarayıcıda saklanır ve sunucudan geri alınması zordur.

Ne sağlar?

• İlk istekteki açığı kapatır
• Sürüm düşürme girişimlerini zorlaştırır
• Yönlendirme adımını ortadan kaldırır (hafif hız kazancı)
• Kullanıcının sertifika uyarısını geçmesini engeller

Son madde hem avantaj hem risktir: Kullanıcı, sertifika sorunu olan bir sayfada "yine de devam et" diyemez. Güvenlik açısından iyidir; ancak sertifikanız dolarsa siteniz tamamen erişilemez hâle gelir.

Riskler

1. Geri dönüşü zor

Talimat tarayıcılarda saklanır. Ayarı kapatsanız bile, daha önce siteye girmiş kullanıcıların tarayıcıları belirlenen süre boyunca şifreli bağlanmaya devam eder.

2. Sertifika sorunu tam kesintiye dönüşür

Sertifika dolduğunda ya da bir hata olduğunda, kullanıcı uyarıyı geçemez. Site tamamen erişilemez olur.

3. Alt alan adları etkilenebilir

Alt alan adlarını da kapsayan bir yapılandırma seçilirse, sertifikası olmayan her alt alan adı erişilemez hâle gelir.

4. Test ve iç sistemler etkilenebilir

Sertifikasız çalışan iç sistemleriniz varsa, kapsam dahilindeyse erişilemez olurlar.

Açmadan önce kontrol listesi

• ☐ Tüm adreslerimizde geçerli sertifika var
• ☐ Alt alan adlarının tamamı kapsanıyor
• ☐ İç sistemler ve paneller de kapsanıyor
• ☐ Test ortamları değerlendirildi
• ☐ Yönlendirmeler doğru çalışıyor
• ☐ Karma içerik sorunu yok
• ☐ Sertifika yenileme düzeni sağlam
• ☐ İzleme kurulu
• ☐ Otomatik yenileme çalışıyor
• ☐ Acil müdahale planı var

Yedinci ve sekizinci maddeler zorunludur. HSTS, sertifika yönetiminizin sağlam olmasını şart koşar. Zayıf bir yenileme düzeniyle HSTS açmak, riski katlar.

Kademeli açma yaklaşımı

HSTS, süre belirtilerek uygulanır. Doğru yaklaşım kademelidir:

1. Kısa süreyle başlayın — sorun çıkarsa etkisi sınırlı olur
2. Gözlemleyin — bir hafta sorun var mı bakın
3. Süreyi kademeli artırın
4. Alt alan adlarını sonra dahil edin — hepsinin sertifikalı olduğundan emin olduktan sonra
5. Uzun süreye geçin

Bu yaklaşım, bir sorun çıkarsa geri dönüş imkânı bırakır.

Ön yükleme listesi

HSTS'in bir de "ön yükleme" adı verilen ileri bir seviyesi vardır: siteniz tarayıcılara gömülü bir listeye eklenir ve ilk ziyarette bile şifresiz bağlantı denenmez.

Bu adım çok dikkatli değerlendirilmelidir:

• Listeden çıkmak uzun sürer
• Tarayıcı güncellemeleriyle yayılır
• Geri dönüş pratikte çok zordur
• Tüm alt alan adlarını kapsar

Öneri: Ön yükleme listesine, ancak sertifika yönetiminiz tamamen oturmuşsa ve tüm alt alan adlarınız kalıcı olarak sertifikalıysa başvurun. Aksi hâlde bu adımı atmayın.

Kimler açmalı?

Kim yapar?

HSTS, sunucu ya da panel düzeyinde bir ayardır. Sistem yöneticiniz ya da hosting sağlayıcınız uygular.

• ☐ Sağlayıcıya soruldu
• ☐ Destekleniyor mu, öğrenildi
• ☐ Panelden yapılabiliyor mu
• ☐ Süre ayarlanabiliyor mu
• ☐ Alt alan adı kapsamı seçilebiliyor mu
• ☐ Geri alma prosedürü öğrenildi

Sorun çıkarsa

HSTS açıkken bir sertifika sorunu yaşarsanız:

1. Sertifikayı en hızlı şekilde düzeltin — başka yol yoktur
2. Kullanıcılar uyarıyı geçemez
3. Ayarı kapatmak, mevcut ziyaretçileri hemen etkilemez
4. Süre dolana kadar tarayıcılar talimatı hatırlar

Bu yüzden HSTS, sertifika yönetimini bir tercih olmaktan çıkarıp zorunluluk hâline getirir.

Karar özeti

HSTS güçlü bir güvenlik önlemidir ve modern web güvenliğinin bir parçasıdır. Ancak:

• Sertifika yönetiminiz sağlam değilse açmayın
• Tüm adresleriniz kapsanmıyorsa açmayın
• İzleme yoksa açmayın
• Kademeli açın
• Ön yükleme listesine acele etmeyin

Önce sertifika yönetimini düzeltin, sonra HSTS'i değerlendirin. Sıralama böyledir.