HSTS Nedir ve Neden Önemlidir?

HSTS Nedir?

HSTS, “HTTP Strict Transport Security” ifadesinin kısaltmasıdır. HSTS, web tarayıcıları ve web sunucuları arasında iletişimde kullanılan bir güvenlik politikasıdır.

Temel amacı, kullanıcıların tarayıcıları aracılığıyla web siteleriyle kurdukları bağlantıları daha güvenli hale getirmektir. Bu sayede, HTTPS protokolü zorunlu hale getirilerek, saldırılara karşı koruma sağlanır.

Temel özellikleri şunlardır:

1. Güvenli Bağlantı Zorunluluğu: HSTS, tarayıcının web sitesine yalnızca güvenli (HTTPS) bağlantılar kurmasını zorunlu kılar. Bu, saldırganların HTTP üzerinden gerçekleştirebileceği saldırıları önler.
2. Zorunlu HSTS Bildirimi: Web sitesi, HSTS kullanımını tarayıcıya bildirir. Bu bildirim sayesinde tarayıcı, gelecekte aynı siteye yalnızca güvenli bağlantılar kurma zorunluluğunu öğrenir.
3. HSTS Politika Süresi: HSTS politikası, belirli bir süre boyunca tarayıcıda saklanır. Bu süre boyunca tarayıcı, aynı siteyle iletişim kurarken yalnızca güvenli bağlantıları kullanmaya devam eder.
4. Ekstra Güvenlik Sağlar: HSTS, kullanıcıları SSL/TLS üzerinden şifrelenmiş bağlantılara yönlendirerek, veri çalma, saldırı veya kötü niyetli araştırma gibi tehlikeli durumları önlemeye yardımcı olur.

Önemli Not:

HSTS’nin etkili olabilmesi için web sitesinin SSL/TLS sertifikası ile güvence altına alınmış olması gerekmektedir. Aksi takdirde, HSTS politikası uygulanamaz.

HSTS Neden Önemlidir?

HTTP Strict Transport Security (HSTS), web güvenliğini artıran önemli bir mekanizmadır. İşte HSTS’nin neden önemli olduğuna dair temel nedenler:

1. Güvenli Bağlantı Zorunluluğu:
   HSTS, tarayıcıları web sitesiyle yalnızca güvenli (HTTPS) bağlantılar kurmaya zorlar. Bu, kullanıcıların hassas bilgilerini iletim sırasında korur ve ortadaki adam saldırıları (Man-in-the-Middle) gibi tehditleri önler.
2. Man-in-the-Middle Saldırılarına Karşı Koruma:
   HTTP üzerinden yapılan bağlantılar, saldırganlar tarafından manipüle edilebilir. HSTS, tarayıcının yalnızca HTTPS bağlantılarını kabul etmesini sağlayarak bu tür saldırılara karşı etkili bir koruma sağlar.
3. Güvenlik Politikasının Tarayıcıya Bildirilmesi:
   HSTS, web sitesinin güvenlik politikasını tarayıcıya bildirir. Bu sayede tarayıcı, gelecekte aynı siteyle iletişim kurarken otomatik olarak güvenli bağlantılar kullanır. Kullanıcılar, siteye döndüklerinde her zaman şifrelenmiş bir bağlantı üzerinden iletişim kurar.
4. Veri Güvenliği:
   Kullanıcıların giriş bilgileri, ödeme bilgileri ve diğer hassas verileri, HSTS sayesinde şifrelenmiş bir bağlantı üzerinden iletilir. Bu, veri çalma ve kötü niyetli saldırılara karşı ek bir koruma sağlar.
5. Phishing ve Sahte Sitelerden Koruma:
   HSTS, web sitesinin güvenilir bir SSL/TLS sertifikasına sahip olduğunu doğrular. Bu, kullanıcıların sahte sitelere yönlendirilmesini önler ve phishing saldırılarına karşı koruma sağlar.
6. Web Güvenliğini Artırır:
   HSTS, web trafiğini daha güvenli hale getirerek hem kullanıcıların hem de web sitelerinin güvenliğini artırır. Özellikle güvenlik bilincinin arttığı günümüzde, HSTS gibi önlemler, web uygulamalarının ve kullanıcı bilgilerinin korunmasında kritik bir rol oynar.

HSTS Nasıl Kurulur?

HTTP Strict Transport Security (HSTS), genellikle web sunucuları üzerinde yapılandırılır ve web sitenizin güvenliğini artırmak için önemli bir adımdır. Aşağıda, Apache ve Nginx gibi popüler web sunucularında HSTS kurulumunun temel adımları yer almaktadır:

HSTS Kurulumu İçin Gereksinimler

HSTS’yi etkinleştirmeden önce aşağıdaki gereksinimlerin karşılandığından emin olun:

• SSL/TLS Sertifikası: Web sitenizin HTTPS üzerinden çalışıyor olması gerekir. HSTS, yalnızca HTTPS bağlantıları için geçerlidir.
• Web Sunucusu Erişimi: Sunucu yapılandırma dosyalarına erişiminiz olmalıdır (örneğin, Apache veya Nginx yapılandırma dosyaları).

Apache Sunucularında HSTS Kurulumu

Apache üzerinde HSTS’yi etkinleştirmek için aşağıdaki adımları izleyin:

1. Apache Modülünü Etkinleştirme: Apache’de mod_headers modülü kullanılarak yapılandırılır. Bu modül genellikle varsayılan olarak etkindir. Ancak emin olmak için aşağıdaki komutu kullanabilirsiniz:

a2enmod headers

HSTS Eklemek:

Apache konfigürasyon dosyasında (genellikle httpd.conf veya apache2.conf) veya sanal ana konfigürasyon dosyanızda aşağıdaki gibi bir satır ekleyin:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Bu satır, tarayıcılara web sitenizin 1 yıl (31536000 saniye) boyunca sadece güvenli bağlantıları kullanması gerektiğini bildirir. includeSubDomains seçeneği, tüm alt alanlar için de HSTS politikasını zorunlu kılar.

Nginx Sunucularında HSTS Kurulumu

Nginx üzerinde HSTS’yi etkinleştirmek için şu adımları izleyin:

1. Nginx Konfigürasyon Dosyasını Düzenleme: Nginx’de add_header direktifi kullanılarak yapılandırılır. Nginx konfigürasyon dosyanızı (genellikle /etc/nginx/nginx.conf veya /etc/nginx/sites-available/default) düzenleyin.
2. HSTS Eklemek: Güvenli bağlantıları zorlamak için şu satırı ekleyin:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";

Yeniden Başlatma:

Yapılandırmaları uygulamak ve Nginx’i yeniden başlatmak için şu komutları kullanın:

sudo nginx -t
sudo service nginx restart

Bu adımları takip ettikten sonra, web siteniz HSTS kullanmaya başlayacaktır. Unutmayın ki, HSTS politikasını ekledikten sonra, sitenizi sadece HTTPS üzerinden ziyaret edebilecek ve tarayıcılar bu politikayı anladıkları sürece HTTP üzerinden erişim engellenecektir.

cPanel üzerinde HSTS aktif etme:

cPanel üzerinde HTTP Strict Transport Security (HSTS)‘yi doğrudan aktifleştirmek için genellikle bir kontrol paneli seçeneği bulunmaz. Ancak, sunucunun genel yapılandırmalarını yönetme yeteneğiniz varsa veya alternatif yöntemler kullanarak HSTS’yi etkinleştirebilirsiniz. İşte cPanel üzerinde HSTS’yi aktif etmek için izleyebileceğiniz yollar:

Eğer cPanel’de özel bir seçenek bulunmuyorsa ve sunucu yönetimine tam erişim sağlayamıyorsanız, etkinleştirmek için birkaç alternatif yol vardır:

1. Desteklenen Bir SSL/TLS Sertifikası Kullanma

• cPanel üzerindeki “SSL/TLS” menüsünden güvenlik sertifikalarınızı yönetebilirsiniz.
• Bir SSL/TLS sertifikası ekleyerek, tarayıcılar zaten güvenli bir bağlantıyı zorlayacak ve HSTS politikasını destekleyecektir.
• HSTS’nin etkin çalışabilmesi için web sitenizin HTTPS üzerinden çalıştığından emin olun.

2. .htaccess Dosyasını Kullanma

cPanel’de HSTS’yi etkinleştirmenin en yaygın yollarından biri, .htaccess dosyasını düzenlemektir. Aşağıdaki adımları izleyebilirsiniz:

cPanel Dosya Yöneticisine Gidin:

cPanel kontrol panelinizde Dosya Yöneticisini açın ve web sitenizin kök dizininde .htaccess dosyasını bulun. Eğer bu dosya yoksa, yeni bir .htaccess dosyası oluşturabilirsiniz.

HSTS Başlığını Ekleyin:

.htaccess dosyanıza aşağıdaki satırı ekleyin:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

• max-age=31536000: HSTS politikasının tarayıcıda 1 yıl boyunca geçerli olmasını sağlar.
• includeSubDomains: HSTS politikasını tüm alt alan adları için de geçerli kılar.
• preload: Sitenizi HSTS Preload List’e eklemek için kullanılır.

Değişiklikleri Kaydedin:

Dosyayı kaydedin ve çıkın. Değişikliklerin etkili olması için Apache web sunucusunun yeniden başlatılması gerekebilir. Ancak, cPanel kullanıcılarının genellikle sunucuyu yeniden başlatma yetkisi yoktur. Bu durumda, hosting sağlayıcınızla iletişime geçebilirsiniz.

Hosting Sağlayıcınızla İletişime Geçin

Eğer yukarıdaki adımları uygulayamıyorsanız veya cPanel kontrol panelinizde bu seçenekleri bulamıyorsanız, hosting sağlayıcınızla iletişime geçebilirsiniz. Hosting sağlayıcınız, sunucu düzeyinde yapılandırma yapma yetkisine sahipse, HSTS’yi etkinleştirme konusunda size yardımcı olabilir.

Önemli Notlar:

• HSTS’nin Etkili Olması İçin HTTPS Zorunludur: HSTS yalnızca HTTPS üzerinden çalışan web sitelerinde çalışır. Bu nedenle, sitenizin SSL/TLS sertifikasıyla güvence altına alındığından emin olun.
• Geri Dönüş Zorluğu: HSTS etkinleştirildikten sonra HTTP bağlantılarına geri dönmek zordur. Bu nedenle, değişiklikleri yapmadan önce dikkatlice test edin.
• HSTS Preload List: Eğer sitenizi HSTS Preload List‘e eklemek istiyorsanız, preload parametresini eklemeyi unutmayın ve HSTS Preload List web sitesinden başvuru yapın.

Plesk üzerinde HSTS aktif etme:

Plesk kontrol paneli, web sunucularını yönetmek için kullanılan bir araçtır. (HTTP Strict Transport Security) aktifleştirmek için Plesk üzerinde birkaç adım izlenebilir. Ancak, sunucu yapılandırması ve kullanılan web sunucu yazılımına bağlı olarak adımlar biraz farklılık gösterebilir.

Aşağıda, Plesk üzerinde etkinleştirilmesi için genel bir rehber bulunmaktadır:

Nginx Sunucuları için:

Plesk Kontrol Paneli Üzerinden:

• Plesk kontrol paneline giriş yapın.

• “Domains” (Alanlar) sekmesine gidin ve etkinleştirmek istediğiniz alanı seçin.

• “Hosting Settings” (Barındırma Ayarları) sekmesine gidin.

• “Additional Nginx directives” (Ek Nginx direktifleri) bölümüne aşağıdaki satırı ekleyin:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";

• Değişiklikleri kaydedin ve ardından Plesk kontrol panelinden çıkın.

Manuel Olarak .htaccess veya Nginx Konfigürasyon Dosyalarını Düzenleme:

Alternatif olarak, Plesk kontrol paneli üzerinden bu seçenekleri bulamıyorsanız, bağlı olduğunuz sunucunun yapılandırma dosyalarını doğrudan düzenleyebilirsiniz.

• SSH üzerinden sunucuya bağlanın.

• İlgili alanın Nginx konfigürasyon dosyasını düzenleyin.

Bu dosya genellikle /var/www/vhosts/domain.com/conf/nginx.conf şeklinde bir yolda bulunabilir.

• Aşağıdaki satırı ekleyin:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";

Değişiklikleri kaydedin ve ardından Nginx’i yeniden başlatın:

service nginx restart

Apache Sunucuları için:

Plesk Kontrol Paneli Üzerinden:

• Plesk kontrol paneline giriş yapın.

• “Domains” (Alanlar) sekmesine gidin ve etkinleştirmek istediğiniz alanı seçin.

• “Hosting Settings” (Barındırma Ayarları) sekmesine gidin.

• “Additional Apache directives” (Ek Apache direktifleri) bölümüne aşağıdaki satırı ekleyin:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

• Değişiklikleri kaydedin ve ardından Plesk kontrol panelinden çıkın.

Manuel Olarak .htaccess veya Apache Konfigürasyon Dosyalarını Düzenleme:

• SSH üzerinden sunucuya bağlanın.

• İlgili alanın Apache konfigürasyon dosyasını düzenleyin.

Bu dosya genellikle /var/www/vhosts/domain.com/conf/httpd.conf şeklinde bir yolda bulunabilir.

• Aşağıdaki satırı ekleyin:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Değişiklikleri kaydedin ve ardından Apache’i yeniden başlatın:

service apache2 restart

Bu adımları takip ederek Plesk üzerinde etkinleştirebilirsiniz. Ancak, her zaman önce değişiklikleri dikkatlice inceleyin ve gerektiğinde bir uzmana veya hosting sağlayıcınıza danışın.

WordPress’te HSTS Nasıl Aktif Edilir?

WordPress üzerinde (HTTP Strict Transport Security) aktifleştirmek için genellikle .htaccess dosyasını düzenlemek yeterlidir.

Aşağıda, WordPress üzerinde HSTS’nin etkinleştirilmesi için adım adım bir rehber bulunmaktadır:

htaccess Dosyasını Düzenleme:

WordPress sitenizin ana dizininde .htaccess adlı bir dosya bulunur. Bu dosyayı bir metin düzenleyici ile düzenleyerek HSTS ekleyebilirsiniz.

• Bir dosya yöneticisi veya FTP kullanarak WordPress sitenizin ana dizinine gidin.

• .htaccess dosyasını düzenleyin veya yoksa oluşturun.

• Aşağıdaki satırı dosyanın en üstüne ekleyin:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Bu satır, tarayıcılara web sitenizin 1 yıl boyunca sadece güvenli bağlantıları kullanması gerektiğini bildirir ve tüm alt alanlar için HSTS politikasını zorunlu kılar.

• Dosyayı kaydedin ve güncelleyin.

Değişiklikleri Kontrol Etme:

Tarayıcıda sitenizi ziyaret edin ve tarayıcı geliştirici araçları veya tarayıcıdaki “Security” bölümü gibi araçlarla HSTS politikasını kontrol edin. Bu, tarayıcının HSTS politikasını doğru bir şekilde anladığından emin olmanıza yardımcı olacaktır.

1. Önemli Notlar:
   • Etkinleştirdikten sonra, sitenize yalnızca HTTPS üzerinden erişim sağlanacaktır. Bu nedenle, SSL/TLS sertifikasının doğru bir şekilde yapılandırılmış ve geçerli olduğundan emin olun.
   • HSTS politikasının etkilerini azaltmak için, etkinleştirmeden önce SSL/TLS sertifikasını doğrulamak ve sitenin doğru bir şekilde çalıştığından emin olmak önemlidir.
   • Etkinleştirildiğinde, ziyaretçilerinizin tarayıcıları, belirttiğiniz max-age değeri boyunca (örneğin, 1 yıl) HTTPS kullanmak zorunda kalacaktır.

Unutmayın ki, .htaccess dosyasını düzenleme işlemi sırasında bir hata yapmamak için önce dosyanızın yedeğini almanız iyi bir uygulamadır.

HSTS kontrolü nasıl yapılır?

(HTTP Strict Transport Security) kontrolü yapmak için birkaç farklı yöntem bulunmaktadır. Bu kontroller, bir web sitesinin HSTS politikasının tarayıcılar tarafından doğru bir şekilde uygulanıp uygulanmadığını belirlemeye yardımcı olur. İşte HSTS kontrolü yapmak için kullanılabilecek yöntemler:

1. Tarayıcı İncelemesi:

Tarayıcı kontrolü için en basit yöntem, bir tarayıcı kullanarak ilgili web sitesini ziyaret etmektir. Tarayıcı, HSTS politikasını kabul ettiğinde, tarayıcı adres çubuğunda genellikle bir kilit simgesi görünür. Ayrıca, tarayıcı geliştirici araçlarını kullanarak aşağıdaki adımları takip edebilirsiniz:

1. Tarayıcı geliştirici araçlarını açın (Genellikle F12 tuşuna basarak veya sağ tıklayıp “İncele” seçeneğini seçerek).
2. “Network” (Ağ) sekmesine gidin.
3. Web sitesini ziyaret edin.
4. İsteğin ayrıntılarını inceleyin ve Response Headers (Yanıt Başlıkları) bölümünde “Strict-Transport-Security” başlığının varlığını kontrol edin.

2. Online Araçlar Kullanma:

Bazı online araçlar, bir web sitesinin HSTS politikasını kontrol etmenize yardımcı olabilir. Bu araçlar genellikle bir web sitesinin güvenlik durumu hakkında çeşitli bilgiler sunar. Örnek olarak, “Security Headers” veya “SSL Labs” gibi araçları kullanabilirsiniz.

3. Terminal veya Komut İstemi Kullanma:

Linux veya macOS gibi işletim sistemlerinde terminal veya Windows’ta komut istemcisini kullanarak curl veya openssl gibi araçlarla HSTS politikasını kontrol edebilirsiniz. Örnek olarak:

curl -I https://example.com

Yukarıdaki komutu kullanarak, web sitesinin HTTP başlıklarını görebilir ve “Strict-Transport-Security” başlığının varlığını kontrol edebilirsiniz.

4. Online HSTS Header Check Hizmetleri:

Bazı online hizmetler, belirli bir web sitesinin HSTS başlıklarını kontrol etmek için kullanılabilir. Örneğin, https://hstspreload.org/ adresindeki “HSTS Preload List” sayfasında, bir web sitesinin HSTS politikasını kontrol edebilir ve preload durumunu öğrenebilirsiniz.

Bu yöntemlerle HSTS politikasını kontrol edebilirsiniz, genellikle tarayıcılar bu bilgiyi daha hızlı ve kullanıcı dostu bir şekilde sunar. Ayrıca, güvenlik testi araçları da web sitesinin genel güvenlik durumu hakkında bilgi verebilir.

Cloudflare Üzerinde HSTS Nasıl Aktif Edilir?

Cloudflare’da (HTTP Strict Transport Security) etkinleştirmek oldukça basittir. HSTS, web tarayıcılarına sitenin sadece güvenli (HTTPS) bağlantıları kabul etmesini söyler ve böylece güvenlik açısından daha sağlam bir koruma sağlar. İşte Cloudflare üzerinde HSTS’yi etkinleştirmek için adım adım bir rehber:

1. Cloudflare Hesabınıza Giriş Yapın:
   • Cloudflare hesabınıza giriş yapın: Cloudflare Giriş.
2. Alan Adınızı Seçin:
   • Cloudflare kontrol panelinde “Overview” (Genel Bakış) bölümüne gidin.
   • Etkinleştirmek istediğiniz alan adını seçin.
3. SSL/TLS Ayarlarına Girin:
   • Sol taraftaki menüden “SSL/TLS” sekmesine gidin.
4. Edge Certificates (Kenar Sertifikaları) Sekmesine Geçin:
   • “Edge Certificates” (Kenar Sertifikaları) sekmesine gidin.
5. HSTS Bölümünü Ayarlayın:
   • “HTTP Strict Transport Security” bölümünde, etkinleştirmek için ilgili seçeneği açın.
6. HSTS Ayarlarını Yapın:
   • Etkinleştirdikten sonra, aşağıdaki ayarları yapabilirsiniz:
     • Max Age: HSTS politikasının ne kadar süreyle (saniye cinsinden) tarayıcıda saklanacağını belirtin. Genellikle bir yıl (31536000 saniye) önerilir.
     • Include Subdomains: Tüm alt alanlar için HSTS politikasını etkinleştirmek istiyorsanız bu seçeneği açın.
     • Preload: Google Chrome’un HSTS preload listesine eklenmek istiyorsanız bu seçeneği açın.
7. Değişiklikleri Kaydedin:
   • Ayarları yaptıktan sonra, sayfanın alt kısmında bulunan “Save” (Kaydet) düğmesine tıklayarak değişiklikleri kaydedin.
8. Wait for Update (Güncellemeyi Bekleyin):
   • Cloudflare’daki ayarların yürürlüğe girmesi bir süre alabilir. Ayarların tamamen etkinleşmesi için bir süre bekleyin.

HSTS’yi etkinleştirdikten sonra, tarayıcılarınızın siteye erişimi yalnızca güvenli bağlantılar üzerinden gerçekleşecektir. HSTS politikası, güvenlik açısından önemli bir katkı sağlar, ancak yapılandırmaları dikkatlice kontrol etmek ve doğrulamak önemlidir.

HSTS Başlığını Kullanma İpuçları

Web sunucunuzun yapılandırma dosyasında (örneğin, Apache’de httpd.conf veya Nginx’de nginx.conf) ana etki alanı için HSTS başlığını eklemelisiniz. Örnek bir Apache yapılandırması aşağıda verilmiştir:

<VirtualHost *:443>
    ServerName example.com
    DocumentRoot /path/to/your/site

    SSLEngine on
    SSLCertificateFile /path/to/your/ssl-certificate.crt
    SSLCertificateKeyFile /path/to/your/private-key.key
    SSLCertificateChainFile /path/to/your/ssl-bundle.crt

    Header always set Strict-Transport-Security "max-age=10886400; includeSubDomains"
</VirtualHost>

• Bu örnekte, Strict-Transport-Security başlığı, tüm alt alanları (includeSubDomains) içerecek şekilde ayarlanmış ve max-age değeri 18 hafta olarak belirlenmiştir.

Bu adımları gerçekleştirdikten sonra, HSTS politikasını doğru bir şekilde yapılandırmış ve güvenlik önlemlerini artırmış olacaksınız.

HSTS SIKÇA SORULAN SORULAR