Bir internet sitesi HTTP adresini hemen HTTPS’e yönlendiriyorsa çoğu kişi aradaki ilk bağlantının zararsız olduğunu düşünür. Oysa saldırgan için tek bir şifresiz yönlendirme bile trafiği başka yere çevirmek, zararlı içerik göstermek veya sahte giriş sayfasına taşımak için fırsat olabilir. Google, Chrome 154 ile Ekim 2026’da “Her zaman güvenli bağlantılar kullan” ayarının genel varsayılanını değiştirmeyi planlıyor. Site sahiplerinin önünde, uyarıyı kullanıcı görmeden önce bulmak için kısa ama değerli bir hazırlık dönemi var.

Chrome 154’te tam olarak ne değişecek?

Google Chrome Güvenlik ekibinin 28 Ekim 2025 tarihli planına göre Chrome 154, herkese açık bir siteye ilk kez HTTPS olmadan erişilmeden önce kullanıcıdan izin isteyecek. Tarayıcı önce HTTPS bağlantısını deneyecek; güvenli sürüm yoksa aşılabilir bir uyarı gösterecek. Bu, her HTTP sayfasının tamamen engelleneceği anlamına gelmiyor. Kullanıcı devam edebilir ve düzenli ziyaret ettiği aynı güvensiz site için sürekli uyarı görmemesi hedefleniyor.

Takvim iki aşamalı. Nisan 2026’da Chrome 147 ile Enhanced Safe Browsing’i seçmiş bir milyardan fazla kullanıcı için “yalnız herkese açık siteler” çeşidi varsayılan oldu. Ekim 2026’daki Chrome 154 planı aynı yaklaşımı tüm kullanıcıların varsayılanına taşımayı amaçlıyor. Google’ın resmî metni sürüm planıdır; dağıtım tarihinde değişiklik olabileceği için kurumsal ekipler güncel Chrome sürüm notlarını da izlemelidir.

Modem paneli ve intranet aynı uyarıyı mı alacak?

Varsayılan olması planlanan seçenek herkese açık siteleri hedefliyor. Yerel IP adresleri, tek parçalı intranet adları ve özel ağdaki cihazlar ayrı değerlendiriliyor. Google, özel adlara tarayıcıların güvendiği sertifika sağlamanın daha zor olduğunu kabul ediyor; bu nedenle genel varsayılanda özel sitelere ilişkin uyarılar dışarıda bırakılıyor. Kullanıcı ayarı genişletirse özel adreslerde de uyarı görebilir.

Bu ayrım, yerel ağdaki HTTP’nin güvenli olduğu anlamına gelmez. Aynı Wi‑Fi ağındaki saldırgan trafiği görebilir veya değiştirebilir. Kurum içi paneli internete açmak, “nasıl olsa özel site” diye sertifikasız bırakmak özellikle risklidir. Buradaki hedef, kullanıcı sürtünmesini azaltan bir geçiş; HTTP’ye güvenlik onayı vermek değil.

En çok hangi siteler sorun yaşayacak?

Yalnız yönlendirmede HTTP kullananlar

http://ornek.com isteği 301 ile HTTPS’e gidiyor olabilir. Ancak ilk bağlantı şifresizdir ve uyarı yönlendirmeden önce çıkabilir. Alan adının HTTP sürümü güvenli HTTPS’e kesintisiz yükseltilebilmeli; tüm varyantlar geçerli sertifika ve doğru sunucu yapılandırmasıyla cevap vermelidir.

Eski alt alan adları ve kampanya bağlantıları

Ana site güvenli olsa da unutulmuş bir kampanya alt alan adı, kısa bağlantı servisi, dosya indirme alanı veya eski destek paneli HTTP’de kalabilir. Kullanıcı en çok eski e-postalardaki bağlantıda uyarıyla karşılaşır. Yalnız ana sayfayı test etmek bu nedenle yeterli değildir.

Sertifikası var ama zinciri bozuk siteler

Süresi dolmuş sertifika, eksik ara sertifika, yanlış alan adı veya yalnız bazı istemcilerde çalışan TLS yapılandırması da güvenli geçişi bozabilir. “Adres çubuğunda kilit gördüm” tek başına kapsamlı test değildir. Türkiye’de farklı operatör, eski Android cihaz ve kurumsal proxy kullanan ziyaretçiler için dışarıdan test yapılmalıdır.

WordPress sitesi için 30 dakikalık test

  1. Chrome ayarlarında Güvenlik bölümüne gidip “Her zaman güvenli bağlantılar kullan” seçeneğini açın; mümkünse yalnız herkese açık siteler seçeneğini kullanın.
  2. Ana alan adının http://, https://, www ve www’siz dört varyantını gizli pencerede deneyin.
  3. Sitemap, görsel, RSS, giriş, ödeme ve eski kampanya URL’lerinden örnekler açın.
  4. Sayfa kaynağındaki HTTP görsel, komut dosyası, form hedefi ve canonical bağlantılarını arayın.
  5. Sertifikanın alan adı, bitiş tarihi ve zincirini bağımsız TLS testiyle kontrol edin.
  6. Search Console’daki HTTPS ve sayfa dizine ekleme raporlarında beklenmeyen varyantları inceleyin.
  7. Mobil veri ve ev dışındaki başka bir ağdan aynı bağlantıları yeniden deneyin.

Düzeltme sırası nasıl olmalı?

Önce geçerli sertifikayı ve sunucunun 443 bağlantısını düzeltin. Ardından bütün HTTP isteklerini tek adımda doğru HTTPS canonical adresine yönlendirin. WordPress’te Site Adresi ve WordPress Adresi alanlarını kontrol edin; tema, eklenti, veritabanı veya içerikte sabit yazılmış HTTP kaynaklarını güvenli biçimde güncelleyin. Değişiklikten önce yedek alın ve seri değiştirme işleminde kodlanmış veriyi bozmayın.

Sonra iç bağlantılar, sitemap ve canonical sinyallerini HTTPS hedefinde birleştirin. Bu işlem, daha önce ele aldığımız SSL sertifikasının temel güven rolünü gerçek bir geçiş planına dönüştürür. HSTS ise ancak HTTPS’in bütün alt alanlarda sorunsuz çalıştığını kanıtladıktan sonra düşünülmelidir; yanlış ve uzun süreli HSTS ayarı erişimi kesebilir.

Başarı testi: uyarı yok, tek hedef var

Düzeltmeden sonra her eski HTTP bağlantısı tek ve açık bir yönlendirmeyle beklenen HTTPS sayfasına ulaşmalı. Zincir hâlinde üç dört yönlendirme, farklı canonical veya sonsuz döngü olmamalı. Güvenli sayfada HTTP formu ve karışık içerik kalmamalı. Sunucu günlüklerinde eski HTTP bağlantıların kaynağını izleyip yüksek trafik alan e-posta, QR kod veya reklam URL’lerini de güncelleyin.

Kullanıcı açısından sonuç basittir: beklenmedik güvenlik ekranı güveni ve dönüşümü düşürür. Site sahibi açısından ise Ekim 2026’yı beklemek gereksizdir. Ayarı bugün etkinleştirip gerçek bağlantı envanterinizi tararsanız Chrome 154 geldiğinde uyarı, müşterinin değil sizin test listenizin konusu olur.

Kaynak