Domain Yardım
Genel Mar 03, 2026 6 dk okuma

HSTS Nedir?

HSTS Nedir?

HSTS Nedir?: Güvenli Bir İnternet Deneyimi İçin Vazgeçilmez Bir Kalkan

İnternet dünyasında gezinirken güvenliğiniz her zaman öncelikli olmalıdır. Günümüzde siber tehditler her geçen gün artarken, web sitelerinin ve kullanıcıların güvenliğini sağlamak için çeşitli teknolojiler geliştirilmektedir. Bu teknolojilerden biri de HSTS Nedir? olarak karşımıza çıkan HTTP Strict Transport Security'dir. Bu rehberimizde, HSTS'nin ne olduğunu, nasıl çalıştığını, neden önemli olduğunu ve web sitenizde nasıl uygulayabileceğinizi adım adım açıklayacağız.

HSTS Nedir? Tanımla Başlayalım

HSTS, yani HTTP Strict Transport Security, web sitelerinin tarayıcılara sadece HTTPS üzerinden erişilmesi gerektiğini bildiren bir güvenlik protokolüdür. Basitçe ifade etmek gerekirse, bir web sitesi HSTS'yi etkinleştirdiğinde, tarayıcıya "beni her zaman şifreli bağlantı (HTTPS) üzerinden ziyaret et, şifresiz bağlantıya (HTTP) asla izin verme" talimatını verir.

Bu protokol, kullanıcıların istemeden de olsa güvensiz HTTP bağlantıları üzerinden sitenize erişmesini engelleyerek ortadaki adam (Man-in-the-Middle - MitM) saldırıları gibi tehlikelere karşı güçlü bir kalkan oluşturur.

HSTS Neden Önemlidir? İnternet Güvenliğinde Bir Adım Önde Olmak

Günümüzde birçok web sitesi HTTPS kullanıyor olsa da, hala bazı siteler varsayılan olarak HTTP üzerinden hizmet vermektedir. Bu durum, kullanıcıların sitenize ilk kez eriştiğinde veya bir bağlantı hatası durumunda otomatik olarak güvensiz HTTP'ye yönlendirilmesine neden olabilir. İşte HSTS'nin devreye girdiği yer burasıdır.

HSTS'nin temel amacı, tarayıcıları ve kullanıcıları bilinçsizce güvensiz bağlantılara yönlendirilmekten korumaktır. Bir web sitesi HSTS kullandığında, tarayıcı bu siteyi ziyaret etmeden önce otomatik olarak HTTPS'ye geçiş yapar. Bu, özellikle hassas bilgiler (şifreler, kredi kartı bilgileri vb.) iletilen siteler için kritik öneme sahiptir.

HSTS'nin sağladığı başlıca faydalar şunlardır:

Ortadaki Adam (MitM) Saldırılarını Engelleme: En önemli faydalarından biri budur. HSTS sayesinde tarayıcılar, bir web sitesine ilk bağlantıyı bile HTTPS üzerinden kurmaya zorlanır. Bu, saldırganların HTTP trafiğini dinleyerek veya değiştirerek kullanıcı bilgilerini çalmasını engeller.

Protokol Zayıflıklarını Azaltma: HTTP, doğası gereği şifreleme içermez. Bu da verilerin internet üzerinde açık metin olarak iletilmesi anlamına gelir. HSTS, bu zayıflığı ortadan kaldırarak tüm iletişimin şifreli olmasını sağlar.

Kullanıcı Güvenini Artırma: Kullanıcılar, bir web sitesinin HTTPS kullandığını gördüklerinde daha güvende hissederler. Kilit simgesi, tarayıcılarda güvenin bir göstergesidir ve HSTS, bu güvenin sürekli olmasını sağlar.

SEO Avantajı: Google gibi arama motorları, HTTPS kullanan siteleri tercih etmektedir. HSTS, web sitenizin HTTPS'yi doğru bir şekilde uyguladığından emin olarak SEO sıralamanızı olumlu yönde etkileyebilir.

Tarayıcıya Güvenli Bağlantı Alışkanlığı Kazandırma: HSTS, tarayıcıya belirli bir site için HTTPS'yi zorunlu kılma talimatı verir. Bu, tarayıcının gelecekteki ziyaretlerde de otomatik olarak güvenli bağlantıyı tercih etmesini sağlar.

HSTS Nasıl Çalışır? Teknik Detaylara Bir Bakış

HSTS, bir HTTP yanıt başlığı aracılığıyla çalışır. Bir web sitesi HSTS'yi etkinleştirdiğinde, sunucu tarayıcıya `Strict-Transport-Security` başlıklı bir yanıt gönderir. Bu başlık şu şekilde görünür:

Strict-Transport-Security: max-age=; includeSubDomains; preload

Bu başlıkta yer alan parametreler şunlardır:

`max-age=`: Bu, tarayıcının HSTS politikasını ne kadar süreyle hatırlayacağını belirten bir süredir. Süre saniye cinsinden verilir. Örneğin, `max-age=31536000` bir yıl anlamına gelir. Bu sürenin yeterince uzun olması önemlidir, böylece tarayıcı, kullanıcı siteyi tekrar ziyaret ettiğinde bile HSTS politikasını hatırlar.

`includeSubDomains` (İsteğe bağlı): Bu parametre belirtildiğinde, HSTS politikası ana alan adının yanı sıra tüm alt alan adları için de geçerli olur. Örneğin, `example.com` için HSTS etkinleştirilirse ve `includeSubDomains` kullanılırsa, `blog.example.com` veya `shop.example.com` gibi alt alan adları da otomatik olarak HTTPS kullanmaya zorlanır. Bu, tüm web sitenizin güvenliğini sağlamak için şiddetle tavsiye edilir.

`preload` (İsteğe bağlı): Bu parametre, web sitenizin HSTS ön yükleme listesine dahil edilmesini sağlar. Ön yükleme listesi, tarayıcılar tarafından önceden bilinen ve ilk ziyaret bile HTTPS üzerinden yapılan güvenli sitelerin bir listesidir. Bu, bir siteyi ilk kez ziyaret ederken bile güvende olmanızı sağlar. Ancak, ön yükleme listesine dahil olmak için belirli gereksinimler vardır ve genellikle bir başvuru süreci gerektirir.

Tarayıcı, `Strict-Transport-Security` başlığını aldığında, belirtilen süre boyunca bu site için HTTP bağlantılarına izin vermez. Eğer kullanıcı manuel olarak `http://example.com` adresini girmeye çalışsa bile, tarayıcı otomatik olarak `https://example.com` adresine yönlendirir.

HSTS Nasıl Seçilir ve Kullanılır? Adım Adım Uygulama

HSTS'yi web sitenizde uygulamak, sunucu yapılandırmanıza bağlı olarak değişiklik gösterebilir. Ancak genel adımlar şunlardır:

  1. HTTPS'yi Tam Olarak Yapılandırın: HSTS'yi uygulamadan önce web sitenizin tamamen HTTPS üzerinden çalıştığından emin olmanız gerekir. Bu, bir SSL/TLS sertifikası edinmeyi ve sunucunuzda doğru şekilde yapılandırmayı içerir. Tüm HTTP isteklerinin HTTPS'ye yönlendirildiğinden emin olun.
  2. Sunucu Yapılandırmasında `Strict-Transport-Security` Başlığını Ekleyin: Bu adım, kullandığınız web sunucusuna (Apache, Nginx, IIS vb.) göre değişiklik gösterir.

Nginx: `nginx.conf` dosyanızda `server` bloğu içine aşağıdaki gibi bir satır ekleyebilirsiniz:

nginx
        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";

Apache: `httpd.conf` veya sanal host yapılandırma dosyanızda `Header` modülünü kullanarak aşağıdaki gibi bir satır ekleyebilirsiniz:

apache
        Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

IIS: IIS Manager'da "URL Rewrite" modülünü kullanarak veya `web.config` dosyasında aşağıdaki gibi bir kural ekleyebilirsiniz:

xml

  1. `max-age` Değerini Dikkatli Seçin: Başlangıçta daha kısa bir `max-age` değeriyle başlayıp, her şeyin yolunda gittiğinden emin olduktan sonra süreyi artırmanız önerilir. Bu, olası yanlış yapılandırmaların etkisini sınırlar.
  2. `includeSubDomains` Kullanmayı Düşünün: Eğer alt alan adlarınız varsa, bunları da güvence altına almak için bu seçeneği etkinleştirin.
  3. HSTS Ön Yükleme Listesine Başvurmayı Değerlendirin: Maksimum güvenlik için `preload` seçeneğini kullanmayı düşünebilirsiniz. Ancak, bu listeye dahil