HTTPS ve Güvenlik SEO'yu Ne Kadar Etkiler?

HTTPS, bir sayfa ile tarayıcı arasındaki bağlantıyı şifreleyen güvenlik protokolüdür ve HTTPS’in SEO’yu ne kadar etkilediği sorusunun cevabı Google’ın kendi 2014 rakamına göre küçüktür: küresel sorguların %1’inden azı. Bu rakam on iki yıldır güncellenmedi ve Türkçe sektör içeriği bunu neredeyse hiç doğru aktarmıyor; “hafif sinyal” yerine “ceza” diliyle yazıyor. HTTPS 2021’den sonra tek başına anılan bir sinyal olmaktan çıktı, Core Web Vitals’ın da içinde olduğu bir “sayfa deneyimi” paketine girdi ve 2025-2026 itibarıyla Google’ın güncel temel uygunluk sayfasında adı bile geçmiyor. Buna karşılık TechnoRadical’ın kendi denetim aracı HTTPS eksikliğini kritik seviyede, en ağır tekli puan kaybıyla işaretliyor; bu çelişki gibi görünen durumun gerekçesi sıralamadan değil birleşik bir güven ve tarayıcı riskinden geliyor. En somut çıkarım, HTTP’den HTTPS’e geçerken Google’ın sinyali aktarması için sekiz koşulun karşılanması gerektiğidir; modern barındırma kullanan çoğu okur için bu kararı platform çoktan vermiştir.

HTTPS SEO’yu ne kadar etkiler: Google’ın kendi rakamı

Google’ın 2014 resmi duyurusuna göre HTTPS “çok hafif bir sinyal”dir ve küresel sorguların %1’inden azını etkiler; yüksek kaliteli içerikten daha az ağırlık taşır. Bu cümle Google Search Central Blogu’nun 7 Ağustos 2014 tarihli “HTTPS as a ranking signal” yazısından birebir geliyor.

Duyuru aynı zamanda sinyalin zamanla güçlendirilebileceğini de ekliyor. Ama 2014’ten 2026’ya kadar geçen on iki yılda Google bu rakamı tekrar güncellediğine dair resmi bir açıklama yapmadı. %1 rakamı fiilen dondurulmuş durumda.

TR SERP taraması (9 Ekim 2026), bu rakamın Türkçe sektör içeriğinde neredeyse hiç doğru aktarılmadığını gösteriyor. Taranan kaynaklar “hafif sinyal” yerine “ceza”, “ciddi sorun” gibi büyütülmüş bir dil kullanıyor ve hiçbiri Google’ın resmi sayfasına link vermiyor; en az üçü kaynaksız yüzdesel iddialar taşıyor.

HTTPS 2014’ten bugüne nasıl değişti: tek sinyalden sayfa deneyimi paketine

HTTPS, 2014’te tek başına adlandırılmış bir sıralama sinyaliyken 2021’den sonra dört/beş sinyalli bir sayfa deneyimi paketinin parçası haline geldi ve 2025-2026 itibarıyla Google’ın temel uygunluk listesinde adı bile geçmiyor. Beş dönüm noktası bu küçülmeyi tek bir çizgide gösteriyor.

Tarih	Olay	Kaynak	HTTPS’in o andaki statüsü
7 Ağustos 2014	Google HTTPS’i resmi bir sıralama sinyali olarak duyurdu	Google Search Central Blog	Tek başına, adlandırılmış, hafif sinyal
17 Aralık 2015	Sekiz koşul karşılanırsa HTTPS sürümü HTTP yerine varsayılan olarak dizine eklendi	Google Search Central Blog	Tek başına sinyal + varsayılan indeksleme tercihi
Temmuz 2018 (Chrome 68)	Tüm HTTP sayfaları tarayıcıda “Not Secure” işaretlendi	The Chromium Projects	Google Arama kararı değil, tarayıcı (Chromium) kararı
15 Haziran-Ağustos 2021	Core Web Vitals; mobil uyumluluk, güvenli gezinme, HTTPS güvenliği ve müdahaleci ara sayfa ilkeleriyle birleştirildi	Google Search Central Blog	Tek başına değil, dört/beş sinyalli paketin bir parçası
2025-2026 (güncel)	Search Essentials sayfası HTTPS’i hiç anmıyor; page-experience dokümantasyonu nitel bir soru olarak tutuyor	Google Search Central	Temel giriş bileti listesinden çıktı, nitel soru olarak kaldı

2014’teki tek satırlık duyuru ile 2021’deki paketleme arasında yedi yıl var. Bu yedi yılda HTTPS kendi başına anılan bir sinyal olmaktan çıkıp Core Web Vitals’ın yanında dört/beş maddelik bir sinyal grubunun bir satırına indi.

HTTPS’in 2021’de tek başına değil bir sayfa deneyimi paketinin parçası haline gelmesi, kendi aracımızın denetim çerçevesine de yansıyor: beş kontrolden birinin HTTPS kullanımı olduğu teknik SEO denetim çerçevesi, HTTPS’i tarama ve indeksleme katmanının dört komşu kontrolüyle (robots.txt, sitemap, yönlendirme zinciri) birlikte değerlendiriyor, tek başına değil.

Google bugün HTTPS’i hangi sinyallerle birlikte değerlendiriyor

HTTPS bugün Core Web Vitals, mobil uyumluluk, güvenli gezinme ve müdahaleci ara sayfa ilkeleriyle birlikte sayfa deneyimi sinyal ailesinde değerlendiriliyor; tek başına bir yüzde taşımıyor. Bu paketlenmenin pratik karşılığı iki araçta görünür.

Search Console’un HTTPS raporu bir sitedeki hangi URL’lerin güvenli bağlantı üzerinden sunulduğunu listeler. Chrome’un adres çubuğundaki bağlantı güvenliği göstergesi aynı bilgiyi ziyaretçiye gerçek zamanlı gösterir. İkisi de sıralama puanı vermez, durum raporu verir.

Dürüst sınır burada net: Google, sayfa deneyimi ailesindeki sinyallerin (Core Web Vitals, mobil uyumluluk, güvenli gezinme, HTTPS, müdahaleci arayüz) birbirine göre ağırlığını hiçbir zaman sayısallaştırmadı. HTTPS’in bu ailede Core Web Vitals’a kıyasla ne kadar önemli olduğu bilinmiyor; bu bilgi boşluğu on iki yıl önceki %1 rakamı gibi Google tarafından resmen kapatılmadı.

HTTPS tek başına yaşadığı bu küçülmeyi tek başına yaşamadı; mobil uyumluluğun da aynı 2021 paketine girip kendi ölçüm aracını kaybettiği süreç, sayfa deneyimi sinyallerinin art arda nasıl birleştirildiğini gösteren paralel bir örnektir.

Google’ın temel uygunluk listesi HTTPS’ten neden hiç bahsetmiyor

Google’ın güncel “Search Essentials” (temel uygunluk) sayfası “secure”, “https” veya “encrypt” kelimelerinin hiçbirini içermiyor. Sayfa, bir sitenin arama sonuçlarında görünmesi için gereken asgari teknik koşulları listeliyor: Googlebot’un siteye erişebilmesi, sunucunun başarılı bir HTTP yanıtı döndürmesi ve içeriğin dizine eklenebilir olması.

Bu, HTTPS’in Google’ın “arama sonuçlarında görünmek için asgari koşul” listesinden çıktığı anlamına geliyor. 2014-2015’te ayrı bir blog yazısına konu olan bir sinyal, 2025-2026 itibarıyla Google’ın kendi temel uygunluk sayfasında isim bile geçmiyor.

Dürüst sınır: bu bir yokluk gözlemi, bir reddiye değil. Search Essentials’tan çıkmış olması HTTPS’in Google için artık hiç önemsiz olduğu anlamına gelmiyor; sayfa deneyimi çerçevesi (yukarıdaki bölüm) hâlâ geçerli ve HTTPS o çerçevenin bir parçası olarak kalıyor.

HTTPS olmayan bir site hangi somut riskle karşılaşır (sıralama dışında)

HTTP bir sayfanın en somut, ölçülebilir riski bir Google Arama cezası değil, tarayıcı uyarısıdır. Bu uyarı Chrome’da üç aşamada geldi ve hiçbir aşaması bir arama sıralama kararı değil.

1. Ocak 2017: Chrome, yalnızca şifre veya kredi kartı alanı içeren HTTP sayfalarını “Not Secure” olarak işaretlemeye başladı.
2. Ekim 2017: işaretleme, gizli (incognito) modda açılan tüm HTTP sayfalarına ve herhangi bir giriş alanı içeren sayfalara genişledi.
3. Temmuz 2018 (Chrome 68): koşul tamamen kalktı, tüm HTTP sayfaları koşulsuz olarak “Not Secure” işaretlendi.

Bu zaman çizelgesi, Google Arama’nın 2014/2015 kararlarından tamamen ayrı bir Chromium projesi kararıdır. Biri arama motorunun sıralama mantığı, diğeri tarayıcının kullanıcı güveni mekanizmasıdır. TR sektör içeriği bu ikisini sık sık tek bir “Google cezası” anlatısında birleştiriyor, oysa ikisi ayrı kurumun ayrı kararı.

Sıralama dışındaki somut riskler üçe çıkıyor. Mixed content engelleri, HTTPS bir sayfa içinde HTTP bir kaynak çağırdığında tarayıcının bu kaynağı engellemesidir. HSTS (HTTP Strict Transport Security) başlığı olmayan bir sitede SSL stripping saldırısına açık kalma riski vardır. Bazı tarayıcı API’leri (konum bilgisi, servis çalışanı gibi) yalnızca güvenli bağlamda, yani HTTPS üzerinde çalışır.

Kendi denetim aracımız HTTPS eksikliğini neden yine de kritik işaretliyor

TechnoRadical’ın kendi teknik SEO denetim aracı, HTTPS eksikliğini SEO-HTTPS-YOK koduyla, kritik seviyede ve 100 puanlık toplam skordan 15 puan düşüren bir bulgu olarak üretiyor. Bu, aracın ürettiği tüm kritik bulgular içinde tek başına en ağır puan kaybı.

05-araclar/denetim/kontroller.py dosyasının 120-128. satırları bu kontrolü doğrudan tanımlıyor: site adresi https:// ile başlamıyorsa bulgu üretiliyor. Kod içindeki açıklama metni şöyle: “Güvenli bağlantı yok. Bu hem sıralama hem güven açısından temel bir eksik.” Aynı dosyadaki diğer kritik bulgular daha düşük puan taşıyor: başlık (<title>) etiketi eksikliği 12 puan, site haritası okunamaması 10 puan.

Bu puanlama, Google’ın 2014’teki %1 rakamına dayanmıyor. 15 puanlık ağırlık yalnızca bir sıralama iddiasına değil, kullanıcı güveni, Chrome’un tarayıcı uyarısı ve Google’ın 2015’teki HTTPS’i varsayılan tercih etme kararı gibi birleşik bir risk setine dayanıyor. Bu ayrım TR-42’nin tam karşılığı: aracın editoryal ağırlıklandırması, kanıtlanmış bir Google sıralama katsayısı değildir.

Bu doğrulama tek bir dosya ve tek bir kontrol örneklemine dayanıyor; aracın tüm puanlama mantığına genellenmez.

Bu gerekçenin soyut bir iddia olmadığını görmek için çalıştırılabilecek somut bir örnek var: HTTPS eksikliğini 15 puanlık kritik bulgu olarak işaretleyen bir teknik SEO denetim aracı, kendi sitenizde bu kontrolü ve diğer dört komşu bulguyu aynı taramada gösterir.

HTTP’den HTTPS’e geçerken sinyal hangi sekiz koşulda gerçekten aktarılır

Google, aynı içeriğin HTTP ve HTTPS sürümlerinden sekiz koşul karşılandığında HTTPS sürümünü otomatik olarak tercih ediyor; bu sekiz koşul aynı zamanda bir geçiş kontrol listesidir. Google’ın 17 Aralık 2015 tarihli duyurusu bu koşulları tanımlıyor.

1. Sayfada güvensiz bağımlılık (mixed content) bırakmayın.
2. HTTPS sürümünü robots.txt ile engellemeyin.
3. Kullanıcıyı güvensiz bir HTTP sayfasına yönlendirmeyin.
4. HTTP sayfasına rel="canonical" ile işaret etmeyin.
5. HTTPS sayfasında yanlışlıkla noindex etiketi bırakmayın.
6. Kendi barındırdığınız sayfalardan HTTP sürümüne link vermeyin.
7. Sitemap’te hâlâ HTTP sürümünü listelemeyin, HTTPS URL’lerini bildirin.
8. Geçersiz veya süresi dolmuş TLS sertifikası bırakmayın.

Google’ın kendi önerisi şudur: 301 yönlendirme ve HSTS başlığı eklemek bu tercihi diğer arama motorları için de netleştirir. Sekiz koşul karşılansa da bu iki adım olmadan geçiş sinyali belirsiz kalabilir.

Bu sekiz koşuldan biri, görünüşte doğru kurulmuş bir sitede bile sessizce bozulabiliyor: canonical etiketinin HTTP sürümüne sessizce işaret ettiği kurulum hatası, Google’ın HTTPS tercihini tek bir satırla geçersiz kılabilir.

HTTPS’i ne zaman hiç düşünmenize gerek yok

Sitenizi 2020 sonrası kurulmuş ana akım bir barındırma, CDN veya statik site platformunda (Cloudflare Pages, Netlify, Vercel, çoğu Türkiye hosting sağlayıcısı) çalıştırıyorsanız TLS sertifikası size varsayılan olarak ve ücretsiz sağlanıyor; bu kararı sizin adınıza platform çoktan vermiş. Bu durumda okuduktan sonra yapılacak bir ek işlem yok.

Gerçek risk yalnızca üç durumda ortaya çıkıyor: eski veya özel sunucu altyapısı kullanan siteler, HTTPS’e geçmiş ama HTTP sürümünü hâlâ canlı ve yönlendirmesiz bırakan siteler, veya alt alan adı ya da üçüncü taraf entegrasyonlarında unutulan mixed content.

Dürüst olumsuz: “HTTPS kurmalı mıyım” sorusunun cevabı çoğu okur için zaten “evet, muhtemelen kurulu”dur. Asıl değerli olan HTTP’den HTTPS’e geçiş sırasındaki sekiz koşulu kontrol etmektir, yeni bir sertifika satın almak değil.

SSL sertifikası olmazsa SEO’ya ne olur?

SSL sertifikası (TLS sertifikası, HTTPS’in çalışması için gereken güvenlik belgesi) eksikliği sayfanın dizine eklenmesini engellemez; Google HTTP sayfaları da tarar ve indeksler. Etkisi sıralamada küçük ve dondurulmuş bir dezavantajdır, küresel sorguların %1’inden azı. Daha somut ve görünür risk tarayıcıda çıkan “Not Secure” uyarısı ve buna bağlı kullanıcı güven kaybıdır.

SSL sertifikası almak zorunlu mu?

Google tarafından zorunlu kılınan bir kural yok, ama pratikte hemen hemen zorunlu. Modern barındırma sağlayıcılarının çoğu TLS sertifikasını varsayılan sunuyor, tarayıcılar HTTP sayfaları 2018’den beri “Not Secure” işaretliyor ve iyzico veya Stripe gibi ödeme sağlayıcıları kendi servisini yalnızca HTTPS üzerinden çalıştırıyor; HTTPS olmayan bir sitede bu servisler hiç kurulamıyor.