HTTPS ve SEO: SSL sertifikası sıralamayı etkiler mi?

HTTPS, Google’ın sıralama sinyallerinden biridir ama ağırlığı çok küçüktür. Google 2014’te HTTPS’i “çok hafif bir sinyal” olarak tanımladı. HTTPS’in bugünkü asıl önemi başka yerde: Tarayıcılar HTTP siteleri “güvenli değil” diye işaretler, Google aynı sayfanın HTTPS sürümünü canonical olarak tercih eder ve sertifika sorunları siteyi ziyaretçiler için açılmaz hale getirebilir. Sertifikanın türü ya da fiyatı ise SEO’yu etkilemez.

“SSL sertifikası SEO’yu nasıl etkiler?” diye arattığınızda karşınıza çıkan sonuçların çoğu hosting ve sertifika satan firmaların sayfaları. Bu yüzden konunun “SEO uyumlu SSL sertifikası” gibi gerçekte var olmayan bir ürünle anlatıldığını görebilirsiniz. Bu yazıda Google’ın HTTPS hakkında gerçekte ne söylediğini, sitenizde nelerin kontrol edilmesi gerektiğini ve HTTP’den HTTPS’e geçerken yapılan hataları anlatıyorum.

HTTPS sıralamayı ne kadar etkiler?

Google, Ağustos 2014’te Search Central blogunda HTTPS’i sıralama sinyali olarak kullanmaya başladığını duyurdu. Aynı yazıda bu sinyalin şimdilik çok hafif olduğunu ve yüksek kaliteli içerik gibi sinyallerden daha az ağırlık taşıdığını belirtti.

Google’ın bugünkü sayfa deneyimi belgesinde HTTPS, site sahiplerinin kendine sorması gereken sorular arasında yer alıyor: Sayfalarınız güvenli şekilde sunuluyor mu? Aynı belge, Core Web Vitals dışındaki sayfa deneyimi unsurlarının sitenizin doğrudan daha üst sıraya çıkmasına yardım etmediğini de söylüyor.

Pratikte şu sonucu çıkarabilirsiniz: HTTPS’e geçmek tek başına sıralamanızı yükseltmez. Ama bugün sitelerin çok büyük kısmı HTTPS kullanıyor. HTTP’de kalan bir site, rakiplerine göre bir avantaj kazanmıyor, tarayıcı uyarıları ve kullanıcı güveni yüzünden kaybediyor.

Hangi sertifika seçilmeli?

SSL sertifikaları doğrulama seviyesine göre üçe ayrılır: alan adı doğrulamalı (DV), kurum doğrulamalı (OV) ve genişletilmiş doğrulamalı (EV). Fiyatları arasında ciddi farklar var. SEO açısından aralarında hiçbir fark yok.

Google’ın HTTPS sinyali, sayfanın geçerli bir sertifikayla HTTPS üzerinden sunulup sunulmadığına bakar. Sertifikayı kimin verdiğine ya da doğrulama seviyesine bakmaz. Let’s Encrypt gibi ücretsiz sertifikalar ve Cloudflare gibi hizmetlerin verdiği sertifikalar, SEO için pahalı sertifikalar kadar işe yarar.

Sertifika seçerken dikkat etmeniz gereken üç şey var. Sertifika, sitenin kullandığı bütün alan adlarını kapsamalı: www ve wwwsuz sürüm, varsa alt alan adları. Sertifika otomatik yenilenmeli. Süresi dolan bir sertifika, ziyaretçilere tam sayfa bir güvenlik uyarısı gösterir. Hazır e-ticaret altyapılarında ise sertifika çoğu zaman altyapı tarafından otomatik sağlanır ve ek bir şey satın almanız gerekmez.

Google HTTPS sürümünü canonical olarak seçer

Sitenizin hem HTTP hem HTTPS sürümü açılıyorsa, Google aynı sayfanın iki kopyasını görür. Google’ın kopya adresleri birleştirme belgesine göre Google, sorun ya da çelişen sinyal olmadığı sürece eşdeğer HTTP sayfasına göre HTTPS sayfasını canonical olarak tercih eder.

Belge, bu tercihi bozabilecek durumları da sayıyor:

• SSL sertifikasının geçersiz olması.
• HTTPS sayfasının görsel dışında güvenli olmayan kaynaklar yüklemesi.
• HTTPS sayfasının HTTP sürümüne yönlenmesi ya da canonical’ının HTTP sürümünü göstermesi.

Google’ın HTTPS’i tercih etmesini sağlamak için belgenin önerileri şunlar: HTTP adreslerini HTTPS’e yönlendirin, HTTP sayfalarına HTTPS sürümünü gösteren bir canonical ekleyin ve HSTS uygulayın. Belge, site haritasında ve hreflang etiketlerinde HTTP adreslerini kullanmamanızı da söylüyor.

Karışık içerik

Karışık içerik (mixed content), HTTPS ile açılan bir sayfanın bazı dosyaları HTTP üzerinden yüklemesidir. Sayfanın adresi https:// ile başlar ama içindeki bir ürün görseli http://cdn.ornek.com/urun.jpg adresinden gelir.

web.dev’deki karışık içerik rehberine göre tarayıcıların çoğu artık güvenlik nedeniyle karışık içeriği engelliyor. Betikler, stil dosyaları ve iframe’ler gibi aktif içerikler çoğu tarayıcıda varsayılan olarak engelleniyor. Görsel, video ve ses gibi pasif içerikleri Chrome bazı durumlarda HTTPS’e otomatik yükseltiyor, ama dosyanın HTTPS sürümü yoksa dosya yüklenmiyor.

E-ticaret sitesinde bunun sonucu şöyle görünür: Ürün görselleri boş çıkar, ödeme sayfasındaki bir betik çalışmaz ya da sepet düğmesi tepki vermez. Bu hatalar genellikle eski ürün açıklamalarının içine elle yazılmış HTTP görsel adreslerinden, temaya sabit yazılmış eski CDN adreslerinden ya da HTTPS’i desteklemeyen eski bir üçüncü taraf betiğinden kaynaklanır.

Karışık içeriği bulmak için tarayıcının geliştirici araçlarında Konsol sekmesine bakın. Karışık içerik uyarıları burada görünür. Sitenin tamamını taramak için bir tarama aracıyla HTTPS sayfalarında http:// ile başlayan kaynakları listeleyebilirsiniz.

HSTS

HSTS (HTTP Strict Transport Security), tarayıcıya sitenin yalnızca HTTPS ile açılması gerektiğini söyleyen bir sunucu başlığıdır. Tarayıcı bu başlığı bir kez gördükten sonra, kullanıcı adres çubuğuna http:// yazsa bile siteyi doğrudan HTTPS ile açar. Bu, her ziyarette HTTP’den HTTPS’e yapılan yönlendirmeyi ortadan kaldırır.

Google, HTTPS’in canonical olarak seçilmesine yardım eden yöntemler arasında HSTS’i de sayıyor. HSTS’i açmadan önce sitenin bütün alt alan adlarının HTTPS ile çalıştığından emin olun. Özellikle includeSubDomains ayarıyla açılan HSTS, HTTPS’i olmayan bir alt alan adını ziyaretçiler için açılmaz hale getirir ve tarayıcılar bu ayarı uzun süre hatırlar.

HTTP’den HTTPS’e geçiş

Siteniz hâlâ HTTP ile çalışıyorsa ya da geçişi yeni yaptıysanız, şu adımları kontrol edin:

1. Bütün HTTP adresleri, karşılık gelen HTTPS adresine tek adımda 301 ile yönlenmeli. Bütün sayfaları ana sayfaya yönlendirmeyin.
2. http://www.ornek.com gibi adresler önce https://www.ornek.com’a, sonra https://ornek.com’a giden iki adımlı bir yönlendirme zinciri oluşturmamalı. Her eski adres son adrese tek adımda gitmeli.
3. Sitedeki iç linkler doğrudan HTTPS adreslerini göstermeli. Yönlendirme çalışsa bile iç linklerin eski adresleri göstermesi gereksiz yönlendirme demektir.
4. Canonical etiketleri, XML site haritası ve hreflang etiketleri HTTPS adreslerini kullanmalı.
5. Sayfalarda karışık içerik kalmamalı.
6. Search Console’da HTTPS sürümü mülk olarak tanımlı olmalı. Alan adı mülkü kullanıyorsanız HTTP ve HTTPS sürümleri zaten aynı mülkte görünür. Mülk türlerini Search Console kurulumu yazısında anlattım.
7. Google Analytics ve reklam hesaplarındaki site adresi HTTPS olarak güncellenmeli.

Geçişten sonraki haftalarda Search Console’daki Sayfa dizine ekleme raporunda “Yönlendirmeli sayfa” sayısının artması normaldir. Bunlar eski HTTP adresleridir. Kontrol etmeniz gereken, HTTPS adreslerinin “Dizine eklendi” sayısının eski HTTP sayısına yaklaşmasıdır.

Hızlı kontrol

Sitenizin HTTPS kurulumunu birkaç dakikada kontrol edebilirsiniz. Tarayıcıda http:// ile ve www ile wwwsuz sürümleri tek tek açın, hepsinin aynı HTTPS adrese tek adımda gittiğini görün. Birkaç sayfanın kaynak kodunda canonical etiketinin https:// ile başladığını kontrol edin. Tarayıcı konsolunda karışık içerik uyarısı olup olmadığına bakın. Sertifikanın bitiş tarihine adres çubuğundaki kilit simgesinden ulaşabilirsiniz.

Bu kontrollerden biri sorun çıkarıyorsa ve altyapınızda bunu nasıl düzelteceğinizden emin değilseniz, teknik SEO danışmanlığı sayfasına göz atabilirsiniz.