Bir müşteri Valorant VP'si almak için sitenize girdiğinde tarayıcısında kırmızı bir uyarı görürse ne olur? Kart bilgisini yazmadan sekmeyi kapatır. E-pin ve dijital ürün satışında güven, üründen bile önce gelir; çünkü müşteri parayı önce verip kodu sonra alıyor. SSL sertifikası olmayan bir site bu güven denklemini daha ilk saniyede bozar. Bu yazıda SSL eksikliğinin somut olarak neye mal olduğunu ve Pinova gibi bir altyapıda bu riskin nasıl kapandığını anlatıyoruz.
Tarayıcı "Güvenli Değil" Yazınca Müşteri Ne Yapar?
Chrome, Firefox ve Edge yıllardır HTTP üzerinden çalışan, yani SSL sertifikası olmayan siteleri adres çubuğunda açıkça uyarıyor: "Güvenli değil". Bu uyarı özellikle bir ödeme veya kart formu olan sayfada göründüğünde kullanıcı davranışı çok net: geri tuşuna basıp siteyi terk ediyor. E-pin sektöründe müşteri zaten fiyat karşılaştırıp güven arayan, tedirgin bir alıcı profili; bir de tarayıcı "buraya bilgi girme" derse ikna şansı neredeyse sıfırlanıyor.
- Sepete kadar gelen kullanıcıların önemli bir kısmı sadece kilit ikonunu göremediği için ödeme adımını tamamlamıyor.
- Mobil kullanıcılarda bu uyarı tam ekran kaplayan bir engelleme sayfasına dönüşebiliyor.
- Sosyal medyadan veya reklamdan gelen yeni ziyaretçi, markanızı hiç tanımadığı için uyarıyı "dolandırıcılık" olarak yorumluyor.
Yani SSL eksikliği sadece teknik bir detay değil, doğrudan dönüşüm oranını düşüren bir güven problemi.
SSL Olmadan Ödeme Bilgileri Gerçekten Tehlikede mi?
SSL/TLS, tarayıcı ile sunucu arasındaki veriyi şifreler. Bu şifreleme yoksa aynı Wi-Fi ağını kullanan biri, kötü niyetli bir ağ yöneticisi ya da araya giren bir saldırgan (man-in-the-middle) kullanıcı adı, şifre, e-posta ve hatta bazı durumlarda kart bilgilerini düz metin olarak okuyabilir. Modern ödeme altyapılarında kart numarası genelde bankanın kendi sayfasında girilir, ama e-pin sitesinde şifresiz aktarılan diğer veriler de az tehlikeli değil:
- Site cüzdanı/bakiye girişinde kullanılan hesap şifresi
- Bayi panelindeki API anahtarları ve komisyon bilgileri
- Sipariş sonrası ekrana düşen e-pin kodunun kendisi
Özellikle son madde kritik: teslimat anında ekrana gelen e-pin kodu şifresiz bir bağlantıdan geçiyorsa, araya giren biri kodu sizden önce kopyalayıp kullanabilir. Müşteri "kodu aldım ama çalışmıyor" der, siparişi siz üstlenirsiniz — üstelik olay hiçbir zaman sisteminizde görünmez, çünkü sızıntı iletim sırasında, sunucunuzun dışında gerçekleşir.
Google Sizi SSL'siz Diye Cezalandırır mı?
Google, 2014'ten beri HTTPS'i doğrudan bir sıralama sinyali olarak kullanıyor. Bu, SSL'siz sitenin otomatik olarak son sıraya düşeceği anlamına gelmiyor ama eşit koşullarda HTTPS'li rakip önde çıkıyor. Daha somut zarar başka yerde: Google Ads ve Google Merchant Center, ödeme veya form içeren sayfalarda SSL şartı arıyor; SSL yoksa reklam onayı ya reddediliyor ya da "yanıltıcı içerik" gerekçesiyle hesap askıya alınabiliyor. Organik tarafta da arama sonucunda "Güvenli değil" ibaresi görmüş bir kullanıcı tıklasa bile hemen çıkıyor, bu da Google'a "bu sayfa kullanıcıyı tatmin etmiyor" sinyali gönderiyor ve zamanla sıralamayı geriletiyor.
PayTR, Shopier Gibi Sağlayıcılar SSL'siz Siteyi Kabul Eder mi?
Türkiye'deki başlıca ödeme sağlayıcılarının hemen hepsi (PayTR, Shopier, iyzico) üye işyeri başvurusunda geçerli bir SSL sertifikası şart koşuyor. Bunun nedeni PCI-DSS uyumluluğu: kart bilgisinin geçtiği veya kart bilgisine yönlendirme yapılan her sayfanın şifreli olması zorunlu. SSL'siz bir domainle başvurursanız:
- Başvuru daha ilk aşamada teknik kontrolden geçemez.
- Daha önce onaylanmış bir hesabınız varsa, sertifika süresi dolup yenilenmediğinde ödeme entegrasyonu otomatik olarak devre dışı kalabilir.
- Bazı sağlayıcılar dönemsel güvenlik taramasında SSL kontrolü yapıp uyumsuz siteleri geçici olarak askıya alıyor.
Yani SSL, sadece müşteri güveni değil, ödeme alabilme yetkinizin de ön koşulu.
| Konu | Manuel / Elle | Pinova ile |
|---|---|---|
| SSL kurulumu ve yönlendirme | cPanel'den elle Let's Encrypt kurup .htaccess ile HTTP→HTTPS yönlendirmesini kendiniz yazmanız gerekir | Kurulum sonrası tüm sayfalar HTTPS üzerinden çalışacak şekilde tasarlanmıştır, karışık içerik (mixed content) riski minimize edilir |
| Ödeme sayfası şifrelemesi | Ödeme formu yanlışlıkla HTTP'de kalırsa PayTR/Shopier entegrasyonu hata verir veya reddeder | PayTR ve Shopier modülleri HTTPS zorunluluğuyla birlikte çalışacak şekilde kurgulanmıştır |
| Sertifika yenileme takibi | Let's Encrypt sertifikası 90 günde bir yenilenmezse site aniden "güvenli değil" uyarısı vermeye başlar | Sunucu tarafında otomatik yenileme (cron/ACME) kurulduğunda süreç manuel takip gerektirmez |
| Admin ve bayi paneli oturumları | SSL yoksa admin şifresi ve bayi API anahtarları düz metin olarak iletilir | Admin ve bayi girişleri HTTPS üzerinden çalışacak şekilde geliştirilmiştir |
| Google/Chrome güven sinyali | SSL'siz sitede kilit ikonu yerine uyarı çıkar, ödeme öncesi terk oranı artar | HTTPS ile kilit ikonu görünür, kod teslim ekranına kadar güven kesintisiz sürer |
E-Pin Kodları Çalınırsa Sorumluluk Kime Kalır?
E-pin ticaretinde en pahalı hata, tedarikçiden satın alınmış ama kullanıcıya ulaşmadan çalınan koddur. Bu durumda üç taraf da zarar görür: tedarikçi kodu zaten sizden tahsil etmiştir, müşteri parasını ödemiş ama kod işe yaramamıştır, siz ise hem tedarikçiye hem müşteriye karşı açık kalırsınız. Şifresiz bir bağlantı üzerinden iletilen kod, bu senaryoyu tetikleyen en sık nedenlerden biri; çünkü sızıntı sizin sunucunuzda değil, iletim yolunda gerçekleşir ve loglarda hiçbir iz bırakmaz. Chargeback (ters ibraz) süreçlerinde de bankalar, güvenli olmayan bir bağlantı üzerinden yapılmış işlemlerde işyerini daha kolay sorumlu tutar. Sonuç olarak SSL eksikliği, tek bir sızıntıyla hem ürün hem itibar kaybına dönüşebilir.
Ücretsiz SSL Yeterli mi, Ücretli mi Almalısınız?
E-pin sitesi için Let's Encrypt gibi ücretsiz sertifikalar teknik olarak aynı şifreleme gücünü sağlar; tarayıcıda görünen kilit ikonu ücretli sertifikadan farksızdır. Aradaki gerçek fark garanti tutarı ve doğrulama seviyesidir:
- Ücretsiz (DV) sertifika: Küçük-orta ölçekli e-pin siteleri için yeterlidir, tek eksiği 90 günde bir yenilenmesi gerektiğidir — otomatik yenileme kurulursa sorun kalmaz.
- Ücretli (OV/EV) sertifika: Şirket adının doğrulanmış olarak görünmesini isteyen, yüksek hacimli ve kurumsal görünüm hedefleyen siteler için tercih edilebilir; maliyeti yıllık birkaç yüz liradan başlar.
Yeni başlayan bir e-pin sitesi için doğru yaklaşım, ücretsiz SSL'i doğru kurup otomatik yenilemeyi unutmamaktır — bütçeyi pahalı sertifikaya değil, tedarikçi entegrasyonuna ve reklam bütçesine ayırmak daha mantıklıdır.
Sertifikanızı kurduktan sonra tek bir eksik HTTP linki bile "mixed content" uyarısına yol açabilir. Ödeme sayfanızı, ürün görsellerinizi ve teslimat ekranınızı https:// önekiyle tek tek kontrol edin; script veya görsel etiketlerinde unutulmuş bir http:// bağlantısı kilit ikonunu bozar ve kullanıcıya yine "tam güvenli değil" mesajı gösterir.
SSL Meselesini Bir Daha Hiç Düşünmemek İster misiniz?
Pinova, ödeme sayfalarından bayi paneline kadar HTTPS üzerinde çalışacak şekilde kurgulanmış e-pin altyapısıdır; PayTR/Shopier entegrasyonu ve otomatik teslimat, sertifika doğru kurulduğunda kesintisiz akar.
Ücretsiz SSL sertifikası e-pin sitesi için güvenli mi?
Evet, Let's Encrypt gibi ücretsiz sertifikalar aynı şifreleme standardını (TLS) kullanır ve tarayıcıda ücretli sertifikadan farksız görünür. Tek fark, 90 günde bir yenilenmesi gerektiği için otomatik yenileme ayarlamanız gerektiğidir.
SSL sertifikam süresi dolarsa ne olur?
Sertifika süresi dolduğunda tarayıcı siteyi tekrar "güvenli değil" olarak işaretler, ödeme sağlayıcı entegrasyonları hata verebilir ve Google Ads gibi reklam hesapları sayfayı reddedebilir. Otomatik yenileme kurulmazsa bu durum fark edilmeden haftalarca sürebilir.
SSL kurmak PayTR/Shopier başvurusu için zorunlu mu?
Evet. PCI-DSS uyumluluğu gereği hemen tüm Türkiye ödeme sağlayıcıları geçerli bir SSL sertifikası şart koşar; SSL'siz domainle yapılan üye işyeri başvuruları teknik kontrolden geçemez.
Pinova kurulumunda SSL'i ben mi ekliyorum?
Pinova kendi sunucunuza kurulan bir script olduğu için SSL sertifikasını barındırma sağlayıcınız (cPanel/Let's Encrypt gibi) üzerinden siz kurarsınız; Pinova tarafı ise ödeme ve teslimat modülleriyle HTTPS üzerinde sorunsuz çalışacak şekilde hazırdır.