E-pin ve dijital ürün satan bir site için SSL sertifikası, "adres çubuğunda kilit görünsün" meselesinin çok ötesinde bir zorunluluktur. Kartlı ödeme alan, kullanıcı bakiyesi tutan ve API üzerinden tedarikçiyle konuşan bir sistemde SSL eksikliği hem ödeme altyapısını devre dışı bırakır hem de tarayıcıların "Güvenli Değil" uyarısıyla müşteriyi kapıdan geri çevirir. Peki kurulum sırasında SSL tam olarak nerede devreye girer, hangi sertifika türü seçilmeli ve en sık nerede tıkanılır?
SSL, E-Pin Sitesinde Neden Sadece Bir Kilit İkonundan İbaret Değildir?
Bir e-pin yazılımı çalışırken arka planda sürekli hassas veri taşır: kullanıcı girişleri, cüzdan/bakiye işlemleri, Turkpin veya Pinabi gibi tedarikçi API'lerine giden istekler, PayTR/Shopier ödeme bildirimleri (webhook) ve bayi panelindeki fiyat/komisyon verileri. Bunların hepsi HTTPS üzerinden şifrelenmeden taşınırsa, aradaki her ağ (özellikle paylaşımlı Wi-Fi, VPN çıkışları) trafiği okuyabilir.
SSL burada üç ayrı işi birden görür:
- Şifreleme: Kart bilgisi ve oturum verisi ele geçirilemez hale gelir.
- Doğrulama: Ziyaretçi gerçekten sizin sunucunuzla konuştuğunu bilir, ortadaki adam (MITM) saldırısı engellenir.
- Uyumluluk: PayTR, Shopier gibi ödeme sağlayıcıları ve tedarikçi API'leri, callback/webhook adreslerinin HTTPS olmasını şart koşar; aksi halde entegrasyon baştan reddedilir.
Dolayısıyla SSL, e-pin yazılımı kurulumunun "sonradan eklenecek" bir adımı değil, domain bağlandığı anda tamamlanması gereken bir ön koşuldur.
DV mi, OV mu, Wildcard mı: Hangi Sertifika Türü Size Uyar?
Piyasada üç ana sertifika seviyesi vardır ve her biri farklı bir doğrulama derinliği sunar:
- DV (Domain Validation): Sadece domain sahipliğini doğrular, dakikalar içinde çıkar. Let's Encrypt bu sınıftadır ve çoğu e-pin sitesi için yeterlidir.
- OV (Organization Validation): Şirket bilgilerini de doğrular, sertifika detayında firma adı görünür. Kurumsal görünüm isteyen, tüzel kişilik üzerinden fatura kesen siteler tercih eder.
- Wildcard: Ana domain ile birlikte tüm alt domainleri (panel.siteniz.com, api.siteniz.com gibi) tek sertifika ile kapsar. Bayi paneli ayrı bir alt domainde çalışıyorsa işinizi kolaylaştırır.
Çoğu bağımsız e-pin girişimi için DV yeterlidir; asıl kritik olan sertifikanın var olması değil, sunucuda doğru şekilde bağlanmış, otomatik yenilenen ve tüm alt yollarda (panel, API endpoint'leri, webhook adresleri) zorunlu kılınmış olmasıdır.
Ücretsiz SSL Kurmak Gerçekten Yeterli mi, Nasıl Aktif Edilir?
Let's Encrypt bugün e-ticaret siteleri dahil milyonlarca sitede kullanılıyor ve tarayıcılar tarafından tam güvenilir kabul ediliyor. cPanel tabanlı barındırmalarda süreç genelde şu adımları izler:
- Domain, hosting'in nameserver'larına yönlendirilir ve DNS yayılımı tamamlanır (genelde birkaç saat, bazen 24 saate kadar sürer).
- cPanel içinde "SSL/TLS Status" veya "AutoSSL" bölümünden domain seçilip "Run AutoSSL" tetiklenir; bu Let's Encrypt sertifikasını otomatik alır ve kurar.
- VPS/özel sunucu kullanılıyorsa certbot komut satırı aracıyla `certbot --nginx` veya `certbot --apache` çalıştırılır; sertifika otomatik olarak web sunucusu yapılandırmasına eklenir.
- Kurulum sonrası tüm HTTP trafiğinin HTTPS'e yönlendirildiği `.htaccess` veya nginx `server` bloğu kuralı eklenir (301 redirect).
AutoSSL veya certbot çalıştırdıktan sonra sertifikanın gerçekten aktif olduğunu tarayıcıdan değil, komut satırından doğrulayın: curl -vI https://siteniz.com çıktısında "SSL certificate verify ok" ifadesini görmelisiniz. Tarayıcı önbelleği bazen eski uyarıyı göstermeye devam edebilir.
Sertifika Kurulduğu Halde Site Neden Hâlâ "Güvenli Değil" Uyarısı Veriyor?
Bu, e-pin yazılımı kurulumlarında en sık karşılaşılan sorundur ve genelde sertifikanın kendisiyle değil, sitenin geri kalanıyla ilgilidir:
- Karışık içerik (mixed content): Sayfa HTTPS üzerinden yükleniyor ama logo, script veya ödeme iframe'i hâlâ `http://` ile çağrılıyorsa tarayıcı uyarı verir. Tüm görsel/script yollarının `https://` veya protokolden bağımsız (`//`) olması gerekir.
- Veritabanındaki eski site URL'si: CMS tabanlı kurulumlarda ayarlar tablosundaki site adresi hâlâ `http://` ile kayıtlıysa, sistem kendi ürettiği linkleri http ile basar.
- Eksik ara sertifika (intermediate) zinciri: Manuel kurulan bazı sertifikalarda ara sertifika eklenmezse mobil tarayıcılar ve bazı API istemcileri (özellikle tedarikçi entegrasyonları) bağlantıyı güvensiz sayar.
- CDN/Proxy katmanında SSL modu yanlış ayarlanmış: Cloudflare gibi bir katman kullanılıyorsa "Flexible" mod yerine "Full (Strict)" seçilmelidir; aksi halde sunucu ile Cloudflare arası şifresiz kalır.
| SSL Kurulum Adımı | Manuel / Elle | Pinova ile |
|---|---|---|
| Sertifika seçimi ve doğrulama türü | Kullanıcı araştırıp karar verir | Kurulum sırasında önerilir, hazır yapılandırılır |
| AutoSSL/certbot tetikleme | Panel veya komut satırından elle çalıştırılır | Kurulum paketiyle birlikte otomatik uygulanır |
| Karışık içerik taraması | Sayfa sayfa elle kontrol edilir | Şablon baştan tam HTTPS yollarıyla üretilir |
| HTTP→HTTPS yönlendirme kuralı | .htaccess/nginx elle yazılır | Kurulumla birlikte hazır gelir |
| Ödeme webhook adreslerinin HTTPS uyumu | Her entegrasyonda tek tek doğrulanır | PayTR/Shopier bağlantıları HTTPS varsayımıyla kurulur |
PayTR ve Shopier Neden SSL'siz Bir E-Pin Sitesinde Çalışmayı Reddeder?
PayTR ve Shopier gibi ödeme sağlayıcıları, bildirim (callback/webhook) URL'nizi kendi sunucularından tetikler. Bu adresin HTTPS olmaması iki şekilde sorun çıkarır: birincisi, sağlayıcı panelinde bildirim URL'si kayıt sırasında zaten `https://` bekler ve http adresini reddedebilir. İkincisi, sertifika kurulu olsa bile geçersiz/süresi dolmuş bir sertifikaya karşı POST isteği gönderen sağlayıcı sunucusu, kendi güvenlik politikası gereği bağlantıyı kapatabilir — bu durumda ödeme başarıyla alınsa dahi bildirim size ulaşmaz ve sipariş otomatik teslimat tetiklenmeden beklemede kalır.
Aynı mantık, Turkpin veya Pinabi gibi tedarikçi API'lerinden gelen stok/fiyat güncellemeleri için de geçerlidir; API anahtarınız geçerli olsa bile SSL zinciri kırıksa bazı istemciler isteği tamamlamadan düşürür. Bu yüzden SSL'i "site açılıyor mu" testiyle değil, "ödeme bildirimi ve API çağrıları uçtan uca sorunsuz mu" testiyle doğrulamak gerekir.
Sertifika Süresi Dolduğunda Ne Olur, Kimse Fark Etmeden Önlem Nasıl Alınır?
Let's Encrypt sertifikaları 90 gün geçerlidir ve otomatik yenileme mekanizması (cron veya AutoSSL) her seferinde tetiklenmezse sessizce süresi dolar. Sonuç genelde ilk fark edildiği an, bir müşterinin "ödeme yapamıyorum, site güvensiz diyor" mesajı olur — yani gelir kaybı yaşandıktan sonra.
- Yenileme cron görevinin (`certbot renew` veya AutoSSL zamanlayıcısı) gerçekten çalıştığını ayda bir manuel kontrol edin.
- Sertifika bitiş tarihini izleyen bir uptime/SSL izleme aracı (ücretsiz seçenekler dahil) kurun; süre dolmadan 15 gün önce e-posta uyarısı alacak şekilde ayarlayın.
- Domain nameserver veya DNS sağlayıcı değişikliği yapıyorsanız, değişiklikten sonra AutoSSL/certbot'u elle bir kez daha tetikleyerek doğrulamanın koptuğundan emin olun — DNS değişiklikleri sertifika yenilemesini sessizce bozabilir.
Bu izleme adımını kurulumun bir parçası haline getirmek, ileride "neden ödemeler gelmiyor" tarzı acil müdahalelerin önüne geçer.
E-Pin Yazılımınızı SSL Dahil, Kurulu Teslim Almak İster misiniz?
Pinova, sunucunuza kurulurken SSL yapılandırması, HTTPS yönlendirmesi ve PayTR/Shopier webhook uyumluluğunu baştan hazır getirir; siz sertifika/karışık içerik detaylarıyla uğraşmadan satışa odaklanırsınız.
E-pin sitem için ücretsiz SSL yeterli mi, ücretli sertifika almam gerekir mi?
Çoğu durumda Let's Encrypt gibi ücretsiz DV sertifikası teknik olarak yeterlidir; ödeme sağlayıcıları ve tarayıcılar bunu tam güvenilir kabul eder. Kurumsal marka görünümü veya alt domain kapsaması (wildcard) istiyorsanız ücretli OV/Wildcard seçeneklerine geçebilirsiniz.
SSL kurulumundan sonra site hâlâ "Güvenli Değil" uyarısı veriyorsa ilk ne kontrol edilmeli?
Öncelikle karışık içerik (görsel/script'lerin hâlâ http:// ile çağrılıp çağrılmadığı) ve sistem ayarlarındaki site URL'sinin https olarak kayıtlı olup olmadığı kontrol edilmelidir. Cloudflare kullanılıyorsa SSL modunun "Full (Strict)" olduğundan emin olun.
PayTR veya Shopier bildirimi neden bazen SSL sorunundan dolayı gelmez?
Sağlayıcı sunucusu bildirim adresinize POST isteği gönderirken geçersiz veya eksik ara sertifika zinciri görürse bağlantıyı güvenlik gereği kesebilir; ödeme alınmış görünse bile bildirim size ulaşmadığı için otomatik teslimat tetiklenmez.
Let's Encrypt sertifikası neden zaman zaman kendiliğinden süresi doluyor?
Sertifika 90 gün geçerlidir ve otomatik yenileme görevi (cron/AutoSSL) bir sebeple çalışmazsa (DNS değişikliği, sunucu bakımı, disk doluluğu gibi) yenileme sessizce başarısız olur. Bu yüzden bitiş tarihini izleyen bir uyarı mekanizması kurmak önerilir.