site: operatörünü -inurl:https komutuyla birleştirerek Google’da dizine eklenmiş HTTPS olmayan sayfaları bulabilirsiniz. Arama çubuğuna ‘site:yourdomain.com -inurl:https’ girerek, arama motoruna dizine eklenmiş URL dizelerinde güvenli protokol eksik olan alan adınızdaki sayfaları göstermesini söylersiniz. Bu doğrudan yöntem, üçüncü taraf tarama yazılımına ihtiyaç duymadan site güvenlik yapılandırmanızı denetlemenize yardımcı olur.
Bu sayfaları tanımlamak, ziyaretçilerinizi karma içerik uyarılarından korumanın ilk adımıdır. Bir tarayıcı bir HTTPS sayfasını yüklediğinde ancak resimler veya komut dosyaları gibi kaynakları bir HTTP kaynağından çektiğinde, bu bir güvenlik uyarısını tetikler. Google arama komutlarını kullanmak, arama motorunun tam olarak ne gördüğünü görmenizi sağlar ve acil dikkat gerektiren URL’lerin net bir listesini sunar.
Google neden HTTPS olmayan sayfaları dizine ekler?
Google, sunucu yapılandırmanız güvenli olmayan istekleri güvenli karşılıklarına yönlendiremediğinde HTTPS olmayan sayfaları dizine ekler. Bir SSL sertifikası yüklü olsa bile, uygun olmayan sunucu tarafı kuralları veya tutarsız dahili bağlantılar, bir sayfanın her iki sürümünün de dizinde var olmasına yol açabilir. Arama motorları, kanonik kaynağı açıkça tanımlamadığınız sürece bunları ayrı varlıklar olarak değerlendirir.
Tipik bir sunucu kurulumunda, yapılandırma hataları genellikle eski dosyalardan kaynaklanır. Siteniz birkaç yıl içinde geliştiyse, SSL’i zorlamak için hiç yapılandırılmamış eski klasörleriniz veya alt dizinleriniz olabilir. Bu sayfalar 80 numaralı bağlantı noktası üzerinden erişilebilir kalır ve erişilebilir oldukları için Google tarayıcısı bunları geçerli içerik olarak doğrulamaya devam eder ve güvenli alternatifleriyle birlikte dizinde tutar.
Bu davranışın bir diğer nedeni de sabit kodlanmış bağlantıların varlığıdır. Dahili bağlantı yapınız göreli yol veya ‘https’ sürümü yerine ‘http://example.com’a işaret ediyorsa, tarayıcılar bu yolları izleyecek ve buna göre dizine ekleyecektir. 301 yönlendirmesi yerinde olsa bile, ilk HTTP sürümü, tarayıcı tüm site yapısını yeniden işleyene kadar arama sonuçlarında kalabilir.
Arama operatörlerini kullanarak denetim nasıl yapılır
Bu sayfaları tanımlamak için kendi sitenizi sorgulamak adına sistematik bir yaklaşım benimsemelisiniz. Potansiyel güvensiz URL’leri izole ederek başlayın ve ardından durum kodlarını manuel olarak doğrulayın. Amaç, kullanıcıların her zaman şifrelenmiş içerik almasını sağlamak ve sitenizin güvenlik profilinin bütünlüğünü korumak için dizininizi bu girişlerden temizlemektir.
- Güvenli protokol olmadan şu anda dizine eklenmiş tüm sayfaları listelemek için Google arama çubuğunda ‘site:yourdomain.com -inurl:https’ kullanın.
- Karma içerik sorunlarına neden olabilecek belirli HTTP durumlarını bulmak için ‘site:yourdomain.com inurl:http’ kullanın.
- HTTPS sürümlerinin taranmasının yanlışlıkla engellenmediğinden emin olmak için robots.txt dosyanızı kontrol edin.
- .htaccess veya Nginx yapılandırmanızın gelen tüm HTTP trafiği için kalıcı bir 301 yönlendirmesi içerdiğini doğrulayın.
Bu denetimi yaparken, alt alan adlarınızı da araştırmaya hazır olun. Genellikle ana site güvenlidir, ancak unutulmuş bir test ortamı veya farklı bir sunucudaki eski bir blog alt alan adı hala HTTP üzerinden içerik sunuyor olabilir. Bu alanları özellikle kontrol etmek için ‘site:subdomain.yourdomain.com -inurl:https’ komutunu kullanın.
Alien Road bu süreci nasıl uygular
Alien Road’da güvenlik denetimlerini her teknik çalışmanın temeli olarak görürüz. Bir müşteriyi bünyemize kattığımızda, daha büyük teknik denetimlere başlamadan önce manuel bir arama dizini doğrulaması yaparız. Hedeflenen site yapısı ile Google’ın sonuç sayfalarında gerçekte görüntüledikleri arasındaki tutarsızlıkları ararız ve hiçbir eski güvensiz sayfanın sitenin otoritesini zayıflatmadığından emin oluruz.
Yakınlık kısıtlamaları getirerek, arama profesyonelleri, ilgili kavramların bir makale gövdesi veya başlık yapısı içinde ne kadar yakın oturduğunu inceleme yeteneği kazanırlar.
Google Search Central
Örneğin, bir perakende müşterisi için yakın zamanda yapılan bir denetim sırasında, resim CDN’lerinin eski ürün galerileri için hala HTTP uç noktaları kullandığını keşfettik. Arama operatörlerini kullanarak, bu galeri sayfalarının düzinelercesinin güvensiz olarak dizine eklendiğini belirledik. Müşteriye bu URL’lerin doğrudan bir listesini sağladık, bu da geliştiricilerinin bağlantı referanslarını güncellemelerine ve bir sonraki tarama döngüsünden sonraki iki hafta içinde karma içerik hatalarını temizleyen küresel bir yönlendirme kuralı uygulamalarına olanak tanıdı.
Karma içeriği görmezden gelmenin riskleri nelerdir?
Karma içeriği görmezden gelmek, ziyaretçileri sitenizle etkileşim kurmaktan caydıran tarayıcı uyarılarına yol açar. Chrome gibi tarayıcılar HTTP sayfalarını ‘Güvenli değil’ olarak işaretler, bu da daha yüksek hemen çıkma oranlarına yol açabilir. Ayrıca, arama motorları HTTPS’i bir sıralama sinyali olarak tercih eder, bu nedenle güvenli bir dizin tutmak modern performans için bir gerekliliktir.
- Kalıcı tarayıcı güvenlik uyarıları nedeniyle azalan kullanıcı güveni.
- Kullanıcılar HTTPS sitelerinden HTTP sayfalarınıza geçtiğinde yönlendirme verilerinin kaybı.
- Kopya içerik sinyallerinin neden olduğu arama sıralaması metriklerinde tutarsız performans.
- Şifrelenmemiş sayfalarda siteler arası komut dosyası çalıştırma veya veri ele geçirmeye karşı artan savunmasızlık.
Bu sorunlar sadece teorik değildir. Bir kullanıcı güvenli olması gereken bir HTTP sayfasına ulaşırsa, ‘Bağlantı gizli değil’ uyarısı görebilir. Bu, çoğu kullanıcının siteyi anında terk etmesine neden olan acil bir caydırıcıdır. Bu sayfaları düzenli olarak arayarak, bu olumsuz kullanıcı deneyimlerinin marka itibarınızı etkilemesini önlersiniz.
Bu hafta nereden başlamalı
Denetiminize bu hafta alan adınız için ‘site:’ arama komutunu çalıştırarak başlayın. Sonuçlarda görünen her HTTP URL’sinin bir listesini oluşturun. Bu listeye sahip olduğunuzda, bu belirli yolları HTTPS’e yönlendirmek için sunucu ayarlarınızı güncelleyin. Büyük bir siteniz varsa, en önemli içeriğinizin hemen güvenli olduğundan emin olmak için önce en iyi performans gösteren sayfalarınıza odaklanın.
Yönlendirmeleri uyguladıktan sonra, eski HTTP bağlantılarına tıklayarak değişiklikleri doğrulayın. Sunucunuz doğru yapılandırılmışsa, otomatik olarak HTTPS sürümüne yönlendirilmelisiniz. Bulgularınızın bir günlüğünü tutun ve Google’ın güvensiz sürümleri dizininden kaldırmaya başladığını doğrulamak için yedi gün sonra arama operatörünü yeniden çalıştırın.