SSL, Güvenlik ve SEO İlişkisi: Hacklenen Sitenin Sıralama Kaybı

SSL, güvenlik ve SEO ilişkisi, site sahiplerinin çoğunun göz ardı ettiği ama bir gecede trafiği yok edebilen kritik konudur: Google, HTTPS’i 2014’ten beri hafif bir sıralama sinyali olarak kullanır; daha önemlisi, hacklenmiş siteler için krom tarayıcı ve arama sonuçlarında “Bu site saldırıya uğramış olabilir” uyarısı gösterir ve trafik %90’a varan oranda çöker. Diyez Media’da danışmanlık verdiğim sitelerde gördüğüm en büyük kayıp, şifresiz geçişin değil, hack sonrası müdahale edilmeyen güvenlik açığının yarattığı uzun vadeli sıralama kaybıdır. Bu rehberde SSL’in sıralamadaki gerçek ağırlığını, hacklenen sitelerin trafik tablolarını ve hack sonrası temizlik ile Google’a yeniden değerlendirme başvurusu sürecini adım adım ele alıyoruz.

SSL Sertifikası Nedir ve SEO’ya Etkisi Nasıl Ölçülür?

SSL (Secure Sockets Layer), tarayıcı ile sunucu arasındaki veriyi şifreleyen güvenlik protokolüdür; bugün kullanılan sürümü TLS’dir ve “HTTPS” olarak adres çubuğunda görünür. SEO açısından etkisi iki katmanlıdır: sıralama sinyali ve kullanıcı güveni. Google’ın resmi açıklamalarına göre HTTPS, yüzlerce sinyalden yalnızca biridir; tek başına sıralama kazandırmaz ama eksikliği, özellikle form ve ödeme içeren sayfalarda kullanıcı dönüşümünü doğrudan düşürür.

• Chrome, HTTPS olmayan sitelere “Güvenli değil” etiketi gösterir; bu etiket form doldurma oranını ölçülebilir şekilde düşürür.
• HTTPS sitelerde tarayıcı güvenlik uyarıları nedeniyle hemen çıkma oranı daha düşüktür; ziyaret süresi ve etkileşim metrikleri iyileşir.
• Referrer verisi HTTPS’ten HTTPS’e aktarılırken tam olarak korunur; böylece Analytics’te trafik kaynağı doğru raporlanır.

Ölçüm için basit bir test yapabilirsiniz: sitenizi PageSpeed Insights’ta analiz edin, ardından “Güvenli değil” uyarısı olan sayfadaki form dönüşümlerini bir hafta izleyin. SSL yükleme sonrası organik tıklamalarda küçük ama kalıcı bir artış, dönüşüm oranında ise genelde %2-8’lik iyileşme görürsünüz.

Sıralama Faktörü Olarak HTTPS: Gerçek Ağırlığı Ne Kadar?

SEO dünyasında “HTTPS sıralama faktörüdür” söylemi abartıldığında, “hiç etkisi yok” söylemi de indirgemedir; gerçek ortadadır. Google, HTTPS’in ağırlığını “hafif” olarak tanımlar ve rakip sitelerin tamamı HTTPS olduğunda sinyal etkisizleşir; yani HTTPS bugün bir rekabet avantajı değil, rekabetin ön şartıdır.

Kritik teknik detay: sertifika kurulumu sonrası eski HTTP adreslerinden HTTPS’e 301 yönlendirmesi yapılmalıdır. Yönlendirme yapılmadan sertifika yüklemek, aynı içeriğin iki adreste görünmesine ve index karmaşasına yol açar. Sertifika kurulumundan sonra Search Console’da yeni “https://” mülkünü ekleyin, mevcut mülkün adres değişikliği aracını kullanın ve site: sorgusuyla indeks durumunu doğrulayın.

Hacklenen Sitenin Sıralaması Neden Düşer?

Hack sonrası sıralama düşüşü tek nedene bağlı değildir; dört ayrı mekanizma aynı anda devreye girer. Birincisi, Google sitenin güvenlik taramasında kötü amaçlı kod bulur ve sayfaları “hacklendi” olarak etiketler. İkincisi, hacklenen sayfalar genellikle spam içeriğe yönlendirilir (SEO spam injection) ve bu sayfalar arama sonuçlarında markanıza zarar verecek sorgularda görünür. Üçüncüsü, Google’ın otomatik algoritmaları güvenlik ihlali tespit ettiği sitelerin trafiğini kısıtlar. Dördüncüsü, topluluk raporlamaları ve sayfa dışı sinyaller olumsuz etkilenir.

Diyez Media dönemimde takip ettiğim bir e-ticaret sitesi, WordPress eklenti güncellemesi yapılmadığı için hacklendiğinde organik trafiği 21.400 ziyaretten 3.100 ziyarete düşmüştü; düşüş %85’i bulmuştu. İyileşme yalnızca temizlik değil, güvenlik altyapısı değişikliği sonrası mümkün oldu. Bu tablo, “temizleyip unutma” yaklaşımının neden işlemediğini gösterir: Google, aynı açığın tekrarlanma riskine karşı yeniden taramaları sürdürür.

Hack Tespiti Nasıl Yapılır? Erken Uyarı Sistemleri

Hacklerin çoğu haftalar boyunca fark edilmez; çünkü saldırganlar görünür değişiklik yapmak yerine arka plana kod enjekte eder. Erken tespit için üç katmanlı izleme kurulmalıdır:

1. Google Search Console Güvenlik ve Manuel İşlem raporları: Haftalık kontrol edin; “güvenlik sorunu” veya “manuel işlem” görünüyorsa süreç başlamış demektir.
2. SiteMonitör ve UptimeRobot gibi izleme araçları: Site çökmesi veya içerik değişikliği anlık bildirir; bu araçlar ücretsiz kademede ayda 50 kontrol sunar.
3. Sucuri SiteCheck ve VirusTotal: URL’yi tarayarak bilinen kötü amaçlı kod imzalarını arar; sonuçlar güvenlik seviyesini gösterir.

Tespit için bir diğer pratik yöntem, Search Console’daki “Performans” raporunda sayfaların tıklamadığı halde gösterim aldığı sorguları incelemektir. Siteniz İngilizce, Çince veya Rusça spam kelimelerde gösterim alıyorsa, SEO spam injection ile karşı karşıyasınız demektir. Kaynak kodda “eval”, “base64_decode”, “gzinflate” gibi fonksiyonların anormal kullanımı da sık rastlanan hack belirtisidir.

En Sık Rastlanan Güvenlik Açıkları Hangileri?

Sitelerin büyük çoğunluğu %80’in üzerinde aynı açıklar yüzünden hacklenir; bunların ortak özelliği, temel bakım rutiniyle önlenebilir olmalarıdır:

• Güncellenmemiş yazılım: WordPress çekirdeği, tema ve eklentilerin eski sürümleri bilinen açıklar içerir; saldırıların önemli kısmı bu yoldan girer.
• Zayıf yönetici şifreleri: “admin” kullanıcı adı + basit şifre kombinasyonu, brute force saldırılarıyla dakikalar içinde kırılır.
• Gereksiz eklenti ve tema: Kullanılmayan ama kurulu olan her bileşen saldırı yüzeyini genişletir.
• Sınırlandırılmamış oturum denemeleri: Login sayfasına IP bazlı sınırlama konulmazsa otomatik şifre deneme botları serbest çalışır.
• FTP/sFTP zayıflıkları: Şifrelenmemiş dosya transfer protokolü ve herkese açık portlar veri sızıntısına yol açar.
• Eski PHP sürümleri: Desteklenmeyen sürümlerde güvenlik yamaları gelmez; kontrol panelinden sürümünüzü doğrulayın.

Bu açıklardan herhangi birinin sizde olup olmadığını görmek için hosting kontrol panelinizdeki yazılım sürümlerini listeleyin, aktif olmayan eklentileri kaldırın ve kullanıcı listesinde yetkisi fazla hesapları denetleyin. Güvenlik taraması yapan Wordfence ve iThemes Security eklentileri, açık listesini otomatik raporlar.

Site Sahibi Düzeyinde Temel Sertleştirme Adımları Nelerdir?

Sertleştirme, saldırganın içeri girme ihtimalini teknik uzmanlık gerektirmeden düşüren önlemler bütünüdür. Aşağıdaki 8 adım, küçük ve orta ölçekli sitelerin tamamına uygulanabilir:

• Tüm yazılımları otomatik güncellemeye alın; kritik eklenti güncellemelerini yayınlandığı gün yapın.
• Kullanıcı adı olarak “admin” kullanmaktan vazgeçin; uzun ve benzersiz parola + iki adımlı doğrulama (2FA) kurun.
• Giriş ekranına IP bazlı sınırlama ve captcha ekleyin; başarısız deneme sayısını 5 ile sınırlayın.
• Üretim ortamında hata raporlamayı kapatın; hata mesajları sunucu yolunu ve yazılım sürümünü ele verir.
• Dosya yönetimi için FTP yerine sFTP kullanın; sadece ihtiyacı olan klasörlere yazma izni verin.
• Web uygulaması güvenlik duvarı (WAF) kuran Cloudflare benzeri bir CDN arkasına geçin; kötü istekleri kaynağında engeller.
• Günlük otomatik yedek alın ve yedekleri sunucu dışında saklayın; hack sonrası temiz yedek kurtuluştur.
• Yılda en az iki kez tam güvenlik taraması yapın ve raporu arşivleyin.

Bu adımların tamamı, hosting kontrol panelinden ve birkaç ücretsiz araçla uygulanabilir; amacı, sitenizi saldırganın gözünde “uğraşmaya değmez” hale getirmektir. Saldırıların çoğu tesadüfi hedeflerle başladığından, temel korumaya sahip siteler doğal olarak elenir.

Hack Sonrası Temizlik ve Kurtarma Süreci Nasıl İşler?

Hack tespit edildiğinde panik yapmak yerine sıralı bir temizlik protokolü uygulanmalıdır; rastgele dosya silmek iyileşmeyi zorlaştırır. Profesyonel kurtarma süreci şu sırayla ilerler:

1. Siteyi yayından geçici olarak çıkarın veya bakım moduna alın; saldırganın aktif erişimini kesin.
2. Hosting günlüklerini (access/error log) inceleyerek saldırının giriş noktasını belirleyin; aynı açık kapatılmazsa temizlik anlamsızdır.
3. Temiz bir yedekten (hack tarihinden önce) siteyi geri yükleyin veya virüslü dosyaları Sucuri/Wordfence taramasıyla ayıklayın.
4. Tüm şifreleri değiştirin: hosting, e-posta, veritabanı, FTP, sosyal medya hesapları.
5. Giriş noktası olan yazılımı güncelleyin veya kaldırın; gereksiz eklentileri silin.
6. Güvenlik taramasını tekrar çalıştırın; temiz rapor alana kadar siteyi açmayın.
7. Search Console’dan “Güvenlik Sorunları” sekmesinde “Temizledim” (Cleanup) işaretini verin.

Temizliğin ardından kısa vadede geri dönüş beklenmemelidir; Google sitenin tamamını yeniden tarar ve güvenlik raporlarını doğrular. Gerçekçi beklenti, ilk haftalarda trafik tabanı oluşması, 1-3 ay içinde kademeli toparlanmadır; tam iyileşme süresi hackin derinliğine ve sayfa gücüne göre değişir.

Google’ın Hack Uyarısı Nasıl Kaldırılır? Reconsideration Süreci

Google’ın “Bu site saldırıya uğramış olabilir” uyarısı, Search Console’da görünür ve ziyaretçileri siteye girmeden uyarır. Uyarının kaldırılması iki ayrı süreçten geçer. Birincisi, sitenin kötü amaçlı kod içermesi durumunda Search Console “Güvenlik Sorunları” sayfasından temizlik doğrulaması istenir. İkincisi, spam içerik enjeksiyonu varsa “Manuel İşlemler” sayfasındaki nedenlere göre yeniden inceleme talebi (reconsideration request) gönderilir.

Yeniden inceleme talebi gönderirken dikkat edilecekler:

• Talebi yalnızca site tamamen temizlendiğinde ve tarama raporu temiz çıktığında gönderin; erken başvuru reddedilir.
• Başvuru metninde bulunan sorunu, giriş noktasını ve alınan kalıcı önlemleri adım adım açıklayın; genel geçer “temizledik” cümlesi yetersizdir.
• Aynı sorunun tekrarlanmaması için kurulan izleme sistemini ve otomatik güncelleme planını belirtin.
• Talebin değerlendirme süresi genellikle 2-8 hafta arasındadır; bu sürede siteye yeni içerik eklemeye ve güvenlik altyapısını güçlendirmeye devam edin.

Reddedilen başvurular için önce eksik noktaları tespit edip düzeltici adımları uygulamadan yeniden başvurmayın; her başvuru yeniden inceleme süresi başlatır. Bu süreçte ajans desteği almak isteyenler için SEO ve teknik danışmanlık hizmetimiz kurtarma planını baştan sona yönetir.

Güvenlik Skoru ve Sürekli İzleme: Hangi Araçlar Kullanılmalı?

Hack sonrası kalıcı önlem, tek seferlik temizlik değil sürekli izleme kültürüdür. Kullanılan araçlar ve maliyetleri şöyledir:

İzleme ritmi şöyle kurulmalıdır: günlük yedek kontrolü, haftalık Search Console güvenlik raporu, aylık tam tarama ve çeyreklik güvenlik gözden geçirmesi. SSL sertifikaları da izleme kapsamındadır; Let’s Encrypt sertifikaları 90 günde bir yenilenir ve yenileme otomasyonu kurulmazsa site günlerce HTTP’de kalabilir. Güvenlik artık SEO’nun “varsa fark etmez” değil, “yoksa kaybettirir” katmanıdır.

Sonuç

SSL, güvenlik ve SEO ilişkisi tek yönlü değildir: HTTPS artık rekabetin ön şartı, güvenlik ise sıralamanın sessiz sigortasıdır. Hacklenen sitelerin trafik tabloları, kaybın büyük bölümünün temizlenebilir kodlardan değil, kalıcı önlem eksikliğinden kaynaklandığını gösterir. Yapmanız gerekenler özetle: sertifika kurulumu ve 301 planı, günlük yedek, otomatik güncelleme, güçlü kimlik doğrulama, haftalık Search Console kontrolü ve yıllık güvenlik revizyonu. Siteniz hacklendiyse süreci adım adım yönetmek ve Google’a eksiksiz bir yeniden değerlendirme başvurusu hazırlamak için dijital pazarlama danışmanlığı sayfamızdan destek alabilirsiniz.

Son güncelleme: Ağustos 2026. Google güvenlik uygulamaları ve tarayıcı politikalarına göre bu rehber yıllık revize edilir; güncel güvenlik pratikleri için Cuma Bozkurt blogunu takip edin.

Sık Sorulan Sorular

Bu rehber 14 Ağustos 2026 tarihinde gözden geçirildi.