# HSTS Nedir ve Neden Kullanılmalıdır?

> HSTS nedir, nasıl çalışır, Nginx ve Apache’de nasıl açılır? Önerilen ayarlar ve “HSTS kullandığından şu anda siteyi ziyaret edemezsiniz” hatasının çözümü.

Kaynak: https://nomabilisim.com/yazi/hsts-nedir-ve-neden-kullanilmalidir

Yayın: 2025-08-20 · Son güncelleme: 2026-10-04 · Kategori: Network & Security · Yazar: Noma Bilişim Teknik Ekibi (Sistem ve Ağ Mühendisliği)

HSTS (HTTP Strict Transport Security), bir web sitesinin tarayıcıya “bana yalnızca HTTPS ile bağlan” demesini sağlayan güvenlik başlığıdır. Tarayıcı bu başlığı gördükten sonra, belirtilen süre boyunca o siteye şifresiz (HTTP) bağlantı kurmaz.

## HSTS Nedir?

HSTS (HTTP Strict Transport Security), bir web sitesinin tarayıcıya yalnızca HTTPS üzerinden bağlanmasını zorunlu kılan bir güvenlik mekanizmasıdır.

- Kullanıcı yanlışlıkla HTTP yazsa bile tarayıcı otomatik olarak HTTPS’e yönlendirir.
- SSL Strip saldırıları gibi orta katman saldırılarını engeller.

Daha fazla bilgi için Mozilla Developer Network HSTS dokümantasyonu sayfasına göz atabilirsiniz.

## HSTS Nasıl Çalışır?

Bir web sunucusu HSTS’yi aktifleştirdiğinde, HTTP header’a şu satırı ekler:

```
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
```

- max-age: HSTS’nin geçerli olacağı süre (saniye cinsinden). Örn. 31536000 = 1 yıl.
- includeSubDomains: Alt alan adlarında da HTTPS zorunlu olsun.
- preload: Tarayıcıların HSTS preload listesine siteyi eklemesi için.

## HSTS Neden Kullanılmalıdır?

1. Kullanıcı Güvenliği: Veri aktarımı şifrelenir, üçüncü kişiler tarafından dinlenemez.
2. Arama motorları: Google, HTTPS’i sıralama sinyali olarak kullanır. HSTS sitenizin her zaman HTTPS ile açılmasını sağlar.
3. Ziyaretçi güveni: Site hiçbir koşulda şifresiz açılmaz; tarayıcı “güvenli değil” uyarısı göstermez.
4. Siber Saldırı Önleme: SSL Strip ve Man-in-the-Middle (MITM) saldırılarını engeller.

Eğer siteniz e-ticaret, kurumsal web sitesi ya da müşteri paneli barındırıyorsa, HSTS kritik bir güvenlik önlemidir.

## HSTS Nasıl Aktifleştirilir? (Adım Adım)

### 1. SSL Sertifikası Kurun

HSTS’yi aktif etmek için önce sitenizin HTTPS üzerinde çalışması gerekir. Henüz SSL sertifikanız yoksa, Noma Bilişim SSL Sertifika Hizmetleri sayfasına göz atabilirsiniz.

### 2. Web Sunucunuza HSTS Header Ekleyin

Nginx için:

```
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
```

Apache için:

```
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
```

### 3. Tarayıcı Preload Listesine Ekleyin

Google’ın HSTS preload listesine kaydolmak için hstspreload.org adresinden sitenizi gönderebilirsiniz.

## Önerilen HSTS ayarları

HSTS’yi tek seferde en katı hâliyle açmak yerine adım adım ilerleyin:

1. Kısa süreyle başlayın: max-age=300 (5 dakika). Sitenin her sayfasının ve her alt alan adının HTTPS ile sorunsuz açıldığını doğrulayın.
2. Süreyi artırın: bir hafta (max-age=604800), sonra bir ay (max-age=2592000).
3. Kalıcı değere geçin: max-age=31536000 (1 yıl).
4. includeSubDomains eklemeden önce tüm alt alan adlarınızda (posta, panel, test) geçerli sertifika olduğundan emin olun.
5. preload’u en son ekleyin. Preload listesine giren alan adını listeden çıkarmak aylar sürebilir; geri dönüşü zordur.

Ayarı kontrol etmek için:

```
curl -sI https://alanadiniz.com | grep -i strict-transport-security
```

## “HSTS kullandığından şu anda siteyi ziyaret edemezsiniz” hatası

Bu uyarı, tarayıcının HSTS açık bir sitede geçersiz bir sertifikayla karşılaştığını gösterir. HSTS açıkken tarayıcı “yine de devam et” seçeneği sunmaz; koruma tam olarak bunun için vardır.

Ziyaretçiyseniz:

- Bilgisayarınızın tarih ve saatini kontrol edin; yanlış tarih sertifikayı geçersiz gösterir.
- Ortak ya da halka açık bir Wi-Fi’da giriş sayfası trafiği kesiyor olabilir; ağa giriş yapın ya da başka bir ağ deneyin.
- Antivirüs yazılımınızın “HTTPS tarama” özelliği sertifikayı değiştiriyor olabilir.
- Sorun sürüyorsa hata büyük olasılıkla sitenin kendisindedir; site sahibine bildirin.

Site sahibiyseniz:

- Sertifikanın süresi dolmuş mu, alan adıyla eşleşiyor mu, ara sertifikalar eksiksiz mi kontrol edin.
- includeSubDomains açıksa hata veren alt alan adında da geçerli sertifika olmalıdır.
- Sertifikayı yenileyin ve otomatik yenilemeyi açın. HSTS’yi kapatmak çözüm değildir: tarayıcılar ayarı max-age süresi boyunca hatırlar.

## HSTS Kullanırken Dikkat Edilmesi Gerekenler

- Yanlış yapılandırma, sitenizin tamamen erişilemez hale gelmesine yol açabilir.
- Tüm alan adlarınızın HTTPS ile düzgün çalıştığından emin olun.
- SSL sertifikanızın süresini aksatmamak için otomatik yenileme ayarlayın.

Sertifikanız yoksa SSL sertifikalarımıza göz atabilirsiniz. NomaCloud Load Balancer kullanıyorsanız sertifika yük dengeleyicide durur.

## Sonuç

HSTS, modern web güvenliğinin olmazsa olmaz bir parçasıdır. Sitenizi HTTPS ile güvence altına aldıktan sonra, HSTS ile bu güvenliği bir adım daha ileri taşıyabilirsiniz.

Okuma Önerisi:

- Google Security Blog – HTTPS as a ranking signal
- Linux web hosting paketleri

İlgili: HSTS hatası nasıl çözülür? · Ücretsiz SSL sertifika ve HSTS kontrolü

## Sık sorulan sorular

### HSTS ne demek?

HSTS, “HTTP Strict Transport Security” ifadesinin kısaltmasıdır. Bir sitenin tarayıcıya yalnızca HTTPS ile bağlanmasını söyleyen güvenlik başlığıdır.

### HSTS nasıl kapatılır?

Sunucudan max-age=0 değeriyle başlık gönderilir; tarayıcılar siteyi yeniden ziyaret ettiklerinde kaydı siler. Preload listesindeki alan adları için ayrıca hstspreload.org üzerinden çıkarma talebi gerekir.

### HSTS ile HTTPS yönlendirmesi aynı şey mi?

Hayır. Yönlendirmede ilk istek yine şifresiz gider ve bu istek araya girilerek değiştirilebilir. HSTS’de tarayıcı şifresiz isteği hiç göndermez.