HSTS Nedir (HTTP Strict Transport Security)

HSTS (HTTP Strict Transport Security) Nedir ve Nasıl Çalışır?

İnternet dünyasında web sitelerinin güvenliği, kullanıcı verilerinin gizliliği ve kurumsal itibarın korunmasında şifreleme protokolleri (SSL/TLS) temel taştır. Ancak sitenizde bir SSL sertifikası kurulu olması ve tüm linklerin HTTPS'e yönlendirilmesi, sitenizin %100 güvende olduğu anlamına gelmez. Bir kullanıcı tarayıcısının adres çubuğuna dijitaloop.com yazdığında, tarayıcı varsayılan olarak önce güvensiz olan http:// protokolü üzerinden bir istek başlatır. Sunucu ise bu isteği karşılayıp 301 yönlendirmesiyle https:// adresine aktarır.

İşte tam bu milisaniyelik ilk yönlendirme anı, siber saldırganlar için en savunmasız penceredir. "SSL Stripping" (SSL Soyma) saldırılarında, saldırgan araya girerek yönlendirmeyi engeller ve kullanıcıyı sahte, şifrelenmemiş bir HTTP sürümünde tutarak kredi kartı, şifre ve kişisel verileri ele geçirebilir. HSTS (HTTP Strict Transport Security), tam olarak bu zafiyeti kalıcı şekilde yok etmek üzere geliştirilmiş bir web güvenlik standardıdır (RFC 6797).

HSTS etkinleştirildiğinde sunucu, tarayıcıya şu yanıt başlığını (header) gönderir:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Bu başlığı alan tarayıcı şu kuralları derhal yürürlüğe koyar:

• Şifresiz HTTP'yi Tamamen Reddetme: Kullanıcı açıkça http:// yazsa bile tarayıcı hiçbir zaman ağ üzerinden HTTP isteği göndermez; kendi içinde anında HTTPS'e dönüştürür (Internal Redirect - 307).
• Sertifika Hatalarında Girişi Engelleme: Geçersiz, süresi dolmuş veya güvenilmeyen bir SSL sertifikası varsa "Gelişmiş > Yine de devam et" seçeneği tamamen kapatılır; kullanıcının güvensiz siteye girmesine izin verilmez.
• Alt Domain Koruması (includeSubDomains): Ana domainin yanı sıra api., mail., panel. gibi tüm alt alan adları da otomatik olarak zorunlu HTTPS kapsamına alınır.
• Preload (Önceden Yüklenmiş Liste): Alan adınız doğrudan Google Chrome, Safari, Firefox ve Edge tarayıcılarının kaynak kodlarına gömülür; ilk ziyarette bile saldırı ihtimali sıfırlanır.

Web sitenizin teknik güvenliğini ve kurumsal mimarisini en üst seviyeye taşımak için SEO Uyumlu Web Tasarımı çözümlerimizden yararlanabilirsiniz.

Nginx, Apache ve Cloudflare Üzerinde HSTS Başlığı Yapılandırma

HSTS korumasını aktif etmek sunucu seviyesinde veya CDN katmanında yapılacak tek satırlık bir konfigürasyona dayanır. Hangi sunucu mimarisini kullanıyorsanız, HTTP yanıt başlıklarına HSTS direktifini eklemeniz gerekir.

Farklı sunucu ortamları için standart HSTS yapılandırma yönergeleri:

• Nginx Yapılandırması: Sunucu blok dosyanızın (server { listen 443 ssl; ... }) içerisine şu direktif eklenir:

  add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
  

• Apache (.htaccess) Yapılandırması: Sitenizin kök dizinindeki .htaccess dosyasına eklenir:

  <IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
  </IfModule>
  

• Cloudflare ile Tek Tıkla Entegrasyon: Cloudflare kontrol panelinde "SSL/TLS > Edge Certificates > HSTS" sekmesine gidilerek "Enable HSTS" açılır, max-age süresi 1 yıl olarak seçilir ve "No-Sniff" opsiyonlarıyla birlikte aktif edilir.

HSTS yapılandırılırken always bayrağının kullanılması hayati önem taşır; aksi takdirde sunucu 404 veya 500 gibi hata sayfalarında HSTS başlığını göndermeyi unutabilir.

Sunucu optimizasyonlarınızı güvenli ve kesintisiz biçimde yönetmek için Profesyonel Web Tasarımı ekibimizle iletişime geçebilirsiniz.

HSTS Preload Listesi Nedir ve Sitenizi Nasıl Dahil Edebilirsiniz?

Standart HSTS başlığının tek bir zayıf noktası vardır: Kullanıcı sitenizi hayatında ilk defa ziyaret ediyorsa, tarayıcısı sitenizin HSTS kullandığını henüz bilmemektedir. Bu ilk bağlantı anındaki güvenlik açığını kapatmak için Google liderliğinde "HSTS Preload" listesi oluşturulmuştur.

HSTS Preload listesi; Chromium, Mozilla ve Apple tarayıcılarının içine doğrudan derlenen bir domain listesidir. Bu listede yer alan bir web sitesine kullanıcı ilk kez girse bile, tarayıcı ağ kablosuna veya Wi-Fi ağına hiçbir HTTP sinyali göndermez, doğrudan güvenli HTTPS oturumu başlatır.

HSTS Preload listesine (hstspreload.org) kabul edilmek için gereken katı kriterler:

• Geçerli Bir SSL Sertifikası: Sitenin tamamında geçerli ve güvenilir bir sertifika bulunmalıdır.
• HTTP'den HTTPS'e 301 Yönlendirmesi: 80 portundaki tüm HTTP istekleri aynı host üzerindeki HTTPS'e yönlenmelidir.
• includeSubDomains Şartı: İstisnasız tüm alt alan adlarının (mail, portal, blog vb.) geçerli SSL sertifikasına sahip olması zorunludur.
• Minimum Max-Age Süresi: Başlıktaki sürenin en az 1 yıl (31536000 saniye) olması gerekir.
• Preload Bayrağı: Başlığın sonunda preload parametresi yer almalıdır.

Kurumsal web varlıklarınızı küresel güvenlik ve SEO standartlarına ulaştırmak için Kurumsal Web Tasarım hizmetlerimizden faydalanabilirsiniz.

HSTS Yapılandırmasında Yapılan Kritik Hatalar ve Domain Kilitlenme Riskleri

HSTS son derece güçlü bir güvenlik aracıdır; ancak bilinçsizce uygulandığında bir web sitesini veya alt alan adlarını aylarca erişilemez hale getirebilir ("Domain Bricking"). HSTS tarayıcılara kesin bir emir verir ve tarayıcılar bu emri yerel önbelleklerinde saklar; bu karardan kolay kolay geri dönülemez.

En sık karşılaşılan tehlikeli hatalar:

• Alt Domainlerde SSL Olmadan includeSubDomains Eklemek: Eğer şirketinizin erp.sirketiniz.com gibi dahili bir alt domaini varsa ve orada SSL sertifikası bulunmuyorsa, HSTS açıldığı anda hiçbir çalışan o sisteme erişemez hale gelir.
• Test Etmeden 1 Yıllık Süre Tanımlamak: İlk kurulumda doğrudan 1 yıl tanımlamak yerine, önce 5 dakikalık (max-age=300) kısa bir test süresiyle başlanmalı, her şeyin çalıştığı teyit edildikten sonra kademeli olarak süre artırılmalıdır.
• Preload Listesinden Çıkmanın Zorluğu: HSTS Preload listesine giren bir domaini listeden çıkarmak aylar sürebilir; çünkü güncellemenin tüm dünyadaki tarayıcı güncellemelerine yayılması beklenir.
• Geliştirme Ortamında HSTS: Yerel geliştirme ortamlarında (localhost veya staging) kontrolsüz HSTS açılması geliştiricilerin yerel projelerine erişimini engelleyebilir.

Teknik altyapınızı sıfır riskle yapılandırmak için Kurumsal SEO Ajansı teknik danışmanlarımızla adımlarınızı güvenle atın.

HSTS ve HTTPS Güvenliğinin Google Sıralamalarına (SEO) Doğrudan Etkisi

Google, 2014 yılından bu yana HTTPS'i resmi bir sıralama sinyali (ranking signal) olarak kabul etmektedir. Ancak 2026 yılı arama ekosisteminde arama motorları sadece şifreli bağlantıya değil; web sitesinin güvenilirlik, teknik hijyen ve kullanıcı koruma mimarisine (E-E-A-T ve Page Experience) bakmaktadır.

HSTS'in SEO performansına doğrudan ve dolaylı katkıları:

• 301 Yönlendirme Gecikmesini Ortadan Kaldırma: Kullanıcılar HTTP linkine tıkladığında tarayıcı sunucuya gitmeden kendi içinde HTTPS'e geçer (Internal 307 Redirect). Bu da sayfa yüklenme süresini (TTFB ve LCP) 100-300ms hızlandırarak Core Web Vitals skorunu yükseltir.
• Karma İçerik (Mixed Content) Engelleme: Sayfadaki bazı resim veya scriptlerin HTTP üzerinden çağrılarak Google nezdinde güvensiz işaretlenmesi riskini önler.
• Yapay Zeka ve LLM Sistemlerinde Güvenilirlik Derecesi: ChatGPT, Perplexity ve Google AI Overviews; kullanıcıları yönlendirdikleri kaynakların yüksek güvenlik standartlarına sahip siteler olmasını önceliklendirir.
• Marka İtibarı ve Dönüşüm Oranı: Güvenlik uyarısıyla karşılaşmayan kullanıcıların sitede kalma süresi ve alışveriş tamamlama oranları belirgin biçimde artar.

Yapay zeka arama motorlarında markanızı otoriter bir kaynak haline getirmek için GEO & LLM Arama Optimizasyonu stratejilerimizi keşfedin.

Kurumsal Web Sitelerinde HSTS Doğrulama ve Test Araçları

HSTS başlığının sunucunuz tarafından doğru biçimde yayınlandığından emin olmak için düzenli güvenlik denetimleri yapılmalıdır. Bir başlık yanlış parametreyle gönderilirse tarayıcılar tarafından sessizce yok sayılabilir.

HSTS doğrulamasında kullanılan profesyonel araçlar:

• cURL Komut Satırı Testi: Terminal üzerinden curl -s -D- https://dijitaloop.com | grep -i Strict komutuyla başlığın varlığı saniyeler içinde kontrol edilebilir.
• Qualys SSL Labs (SSL Test): Dünyaca kabul gören SSL Labs testinde "A+" notu alabilmenin zorunlu ön şartı HSTS'in doğru yapılandırılmış olmasıdır.
• HSTS Preload Status Check:hstspreload.org adresine domain adı yazılarak sitenizin uygunluk durumu ve varsa eksik gereksinimleri listelenir.
• Chrome DevTools Network Analizi: Geliştirici konsolunda isteklerin "Status: 307 Internal Redirect" ve "Non-Authoritative-Reason: HSTS" verip vermediği incelenir.

Web sitenizin global güvenlik testlerinden tam puan almasını sağlamak için Uluslararası SEO Danışmanlığı modellerimizden faydalanın.

Dijitaloop ile İleri Düzey Güvenlik ve Kurumsal Web Mimarisi

Dijitaloop, kurumsal markaların dijital altyapılarını sadece estetik tasarım ve pazarlama açısından değil; siber güvenlik, veri bütünlüğü ve teknik arama motoru optimizasyonu açısından da zırhlandırır. HSTS, CSP (Content Security Policy) ve modern güvenlik başlıklarını sitenize kusursuz biçimde entegre ediyoruz.

Dijitaloop kurumsal altyapı hizmetlerinin kapsamı:

• A+ Seviyesinde Güvenlik Başlıkları Yapılandırması: HSTS, X-Frame-Options, X-Content-Type-Options ve Referrer-Policy entegrasyonları.
• Sıfır Hata ile Preload Başvuru Süreci: Alan adınızın tüm alt servisleriyle birlikte güvenli listelere dahil edilmesini sağlıyoruz.
• Core Web Vitals ve Sunucu Performansı: Güvenlik katmanlarının siteyi milisaniye dahi yavaşlatmadan çalışacağı hafif ve modern altyapılar inşa ediyoruz.
• Dönüşüm Odaklı Kullanıcı Deneyimi: Kullanıcılarınıza %100 güven hissettiren arayüzlerle e-ticaret ve lead toplama oranlarınızı maksimize ediyoruz.

Dijital varlıklarınızı geleceğin standartlarında koruma altına almak için hemen uzmanlarımızla görüşün.

Sıkça Sorulan Sorular (SSS)