Cloudflare Aktifken Bazı Ziyaretçilerimde "Güvenli Bağlantı Değil" Uyarısı Neden Çıkıyor?

Vay be dostum, hiç de yabancı değilim bu duruma. Aynı dertten ben de muzdariptim bir zamanlar, Etin ne kemiğin neydi diyordum kendi kendime. Cloudflare kuruyorsun, yeşil kilit cepte sanıyorsun, ama bir bakıyorsun ki bazı ziyaretçilerde Kilit paslanmış gibi görünüyor. :D

Bak şimdi, bu durum genelde birkaç farklı sebepten kaynaklanıyor olabilir. En başta, Cloudflare'ın ssl ayarlarında Esnek (Flexible) veya Tam (Full) modları var, bir de Tam (Katı) / Full (Strict) modu var. Eğer sen Esnek modda kullanıyorsan, Cloudflare ile ziyaretçi arasındaki bağlantı şifreli oluyor ama Cloudflare ile senin sunucun arasındaki bağlantı şifresiz kalabiliyor. Bu da bazı tarayıcıların veya güvenlik yazılımlarının alarm vermesine neden olabilir. O yüzden ilk olarak Cloudflare panelinden SSL/TLS -> Genel Bakış kısmına girip orada hangi modun seçili olduğuna bir bak derim. Mümkünse Tam (Katı) moda geçmeye çalış. Ama bunu yapmadan önce sunucunda geçerli bir SSL sertifikası olduğundan emin olman lazım, yoksa bu sefer de sunucu ile Cloudflare arasında problem yaşarsın. Yani sunucunda ya Let's Encrypt gibi ücretsiz bir sertifika ya da ücretli bir sertifika aktif olmalı.

Bir diğer yaygın durum da Eski cihaz ve tarayıcı uyumsuzlukları. Maalesef bazı eski android sürümleri veya windows XP gibi sistemlerdeki tarayıcılar, günümüzdeki modern şifreleme algoritmalarını ve TLS protokollerini desteklemiyor. Cloudflare, doğal olarak en güncel ve güvenli protokolleri kullanmaya çalışıyor. Eğer bir ziyaretçinin tarayıcısı veya işletim sistemi bu protokolleri desteklemiyorsa, işte o zaman "Güvenli Bağlantı Değil" uyarısını basıveriyor. Buna çok da yapacak bir şey yok aslında, Her kapı her anahtarla açılmaz misali. Yani herkesin en güncel cihaza sahip olmasını bekleyemeyiz ama bu durum teknik olarak bizim kontrolümüz dışında kalıyor.

Ayrıca, bazen web sitende hala Karma içerik (mixed content) sorunu olabilir. Yani siten HTTPS üzerinden yüklenirken, bazı görseller, CSS dosyaları veya JavaScript dosyaları hala HTTP üzerinden yüklenmeye çalışıyor olabilir. Bu da tarayıcıların güvenli bağlantıyı tam olarak sağlamadığını düşünmesine yol açar ve uyarı verir. Cloudflare'ın Otomatik HTTPS Yeniden Yazma (Automatic HTTPS Rewrites) özelliği var, bunu aktif ettiysen bile bazen bazı spesifik durumları kaçırabiliyor. Sayfa kaynağını inceleyip HTTP ile başlayan linkleri aratmanı öneririm. Özellikle wordpress kullanıyorsan, veritabanında hala eski HTTP linkleri kalmış olabilir, bunları güncellemen gerekebilir. Böylece Bir taşla iki kuş vurmuş olursun hem güvenlik hem de uyarı sorunu çözülür.

Son olarak, bazen tarayıcıların Önbellek ve çerez sorunları da bu tür geçici uyarılara neden olabilir. Kullanıcılara tarayıcı önbelleklerini ve çerezlerini temizlemelerini önerebilirsin. Hatta farklı bir tarayıcıdan denemelerini de söyleyebilirsin. Bazen basit bir temizlik bile Dağları deler. Umarım bu dediklerim işine yarar, kolay gelsin! ;)

Cloudflare Universal ssl hizmeti aktif olmasına rağmen belirli kullanıcı gruplarında "Güvenli Bağlantı Değil" uyarısı alınması, teknik olarak incelenmesi gereken çeşitli faktörlere işaret eder. Bu durum genellikle SSL/TLS el sıkışma sürecindeki uyumsuzluklar veya istemci tarafındaki yetersiz destekten kaynaklanır.

Öncelikle, Cloudflare panelinizdeki SSL/TLS -> Edge Sertifikaları bölümünü kontrol edin. Burada seçili olan SSL/TLS şifreleme modu kritik öneme sahiptir. Eğer mod Esnek (Flexible) olarak ayarlıysa, Cloudflare ile ziyaretçi arasındaki iletişim şifreli olsa da, Cloudflare ile sizin sunucunuz (origin server) arasındaki iletişim şifresiz olabilir. Bu durum, özellikle modern tarayıcıların "Güvenli Bağlantı" kriterlerini karşılamadığı için uyarı vermesine neden olabilir. En güvenli yapılandırma için, sunucunuzda geçerli, üçüncü taraf bir SSL sertifikası (örneğin Let's Encrypt, Comodo vb.) kurulu olduğundan emin olun ve Cloudflare SSL/TLS modunu Tam (Katı) / Full (Strict) olarak ayarlayın. Bu, hem Cloudflare ile istemci hem de Cloudflare ile origin server arasındaki tüm iletişimin tam şifreli ve sertifikaların geçerli olmasını sağlar. sunucu tarafında sertifika doğrulaması başarısız olursa Cloudflare 525 veya 526 hataları üretecektir.

Bir diğer önemli nokta, Istemci tarafındaki TLS protokol ve şifreleme paketi (cipher suite) desteğidir. Cloudflare, güvenlik standartlarını korumak adına güncel TLS 1.2 ve TLS 1.3 protokollerini ve güçlü şifreleme paketlerini tercih eder. Ancak, eski mobil işletim sistemleri (örneğin android 4.x veya windows Phone) veya güncellenmemiş masaüstü tarayıcıları (internet Explorer'ın eski sürümleri) bu modern protokolleri veya şifreleme paketlerini desteklemeyebilir. Bu uyumsuzluk, SSL el sıkışmasının başarısız olmasına ve tarayıcının "Güvenli Bağlantı Değil" uyarısı vermesine neden olur. Bu tür durumlar için Cloudflare, belirli eski TLS versiyonları için destek sunabilir ancak bu genel güvenlik duruşunuzu zayıflatabilir ve çoğu zaman önerilmez. Minimum TLS Versiyonu ayarınızı gözden geçirebilirsiniz, ancak varsayılanı korumak genellikle en iyi güvenlik uygulamasıdır.

Ayrıca, web sitenizde Karma içerik (mixed content) sorunları olup olmadığını kontrol etmelisiniz. Bu, HTTPS üzerinden yüklenen bir sayfada, HTTP üzerinden yüklenmeye çalışılan kaynakların (resimler, CSS, JavaScript, fontlar vb.) bulunması durumudur. Tarayıcılar, bu tür durumları güvenlik açığı olarak değerlendirir ve uyarı verir. Cloudflare'ın Otomatik HTTPS Yeniden Yazma (Automatic HTTPS Rewrites) özelliği bu sorunların çoğunu otomatik olarak gidermeye yardımcı olsa da, bazı durumlarda (özellikle JavaScript ile dinamik olarak yüklenen içerikler veya harici kaynaklar) etkisiz kalabilir. Geliştirici araçlarını (F12) kullanarak konsol loglarını kontrol edin ve karma içerik uyarılarını arayın. Bu kaynakları manuel olarak HTTPS versiyonlarına güncellemek veya bir İçerik Güvenlik Politikası (Content Security Policy - CSP) uygulamak kesin çözüm sağlayabilir.

Pro İpucu: Cloudflare'ın HSTS (HTTP Strict Transport Security) özelliğini doğru yapılandırdığınızdan emin olun. HSTS, tarayıcılara sitenize her zaman HTTPS üzerinden erişmeleri gerektiğini bildirir. Yanlış yapılandırılmış veya erken uygulanan HSTS, HTTPS sorunları yaşayan kullanıcıların sitenize bir süre erişememesine neden olabilir. HSTS Preload listesine girmeden önce tüm SSL/TLS yapılandırmanızın mükemmel çalıştığından emin olmak kritik öneme sahiptir.

Son olarak, ISP'lerin veya kurumsal ağların kendine özgü proxy veya güvenlik çözümleri de nadiren SSL/TLS trafiğini manipüle edebilir ve bu tür uyarıları tetikleyebilir. Ancak bu, daha ziyade spesifik ve izole durumlar için geçerlidir.

Bak bak hele, Cloudflare'a geçmişsin, yeşil kilit senin kapında sanmışsın, ama o da ne, Kapı menteşeleri paslanmış gibi görünüyor bazılarına. Sanki Cloudflare demiş ki "Ben burayı modernleştirdim, eski kafalılar giremez!" :D

Şimdi şöyle bir durum var; senin Cloudflare'daki ssl ayarın büyük ihtimalle "Esnek" modda kalmış. Yani sen ziyaretçilere "Bakın ben güvenliyim" diyorsun, Cloudflare da senin adına bu sözü tutuyor. Ama sonra arkasını dönüp senin sunucuna "Sen nasıl istersen öyle gel, şifreli olmasan da olur" diyor. E bu da bazı Ukala tarayıcıların, özellikle de eski kafalı olanların, "Ben bu işe girmem, ortada bir yamukluk var" deyip uyarı vermesine neden oluyor. Yani demem o ki, Cloudflare'ın sana sunduğu "güvenli bağlantı" senin sunucuna kadar gitmiyor, yarı yolda kalıyor. Bu da o eski android'ler, antika tarayıcılar için büyük bir sorun teşkil ediyor. Resmen Dedemin akıllı telefonu bile giremiyormuş, düşün yani. :)

Sen şimdi Cloudflare paneline gir, SSL/TLS kısmına bir göz at. Orada Tam (Katı) diye bir seçenek var. Eğer sunucunda geçerli bir SSL sertifikası varsa (ki olmalıydı zaten, değil mi?), hemen ona geç. Böylece Cloudflare da senin sunucuna "Arkadaş, bize yakışmaz, sen de tam şifreli ol" diyecek ve bu Ayrımcılık ortadan kalkacak. Yoksa o eski telefonlar ve tarayıcılar senin sitene girmek için Torpil bulmaya çalışacaklar, e o da olmaz yani.

Bir de şu var, sitende hala gizli gizli HTTP ile başlayan resimler, CSS dosyaları falan duruyor olabilir. Sanki sen yeni kıyafetler giymişsin ama iç çamaşırların hala eski püskü kalmış gibi düşün. Tarayıcı da bunu görüyor, "Aaa, hani her yer yeniydi, bu ne rezalet!" deyip uyarı veriyor. Cloudflare'ın "Otomatik HTTPS Yeniden Yazma" özelliği var ama o da bazen her şeyi yakalayamıyor, Gözünden kaçanlar olabiliyor. En iyisi siteni bir kontrol et, tarayıcının geliştirici araçlarını aç (F12 tuşu genelde), konsola bak, kırmızı kırmızı hatalar var mı diye. Varsa, onları HTTPS yapmaya çalış, ki tarayıcılar Boşuna yaygara koparmasın.

Demem o ki, Cloudflare iyi hoş ama Her babayiğidin harcı değil bazen. Ufak tefek ayarları doğru yapmadığında, sonra böyle "Güvenli Bağlantı Değil" diye dert yanarsın. Biraz kurcalaman lazım, sonra her şey düzelir, göreceksin. Hadi bakalım, kolay gelsin.