Son doğrulama: Eylül 2026 · cPanel 136 test hesabında denendi
Hızlı çözüm
HSTS ayarları nasıl yapılır sorusunun cevabı tek bir sunucu başlığıdır: siteniz zaten hatasız HTTPS ile açılıyorsa .htaccess dosyanıza Strict-Transport-Security başlığını ekleyip tarayıcıya “bu siteye her zaman HTTPS ile gel” talimatını verirsiniz.
.htaccess dosyasını düzenleyin.Strict-Transport-Security başlığını max-age, isteğe bağlı includeSubDomains ve preload parametreleriyle ekleyin.curl -I ile başlığın geldiğini doğrulayın.| Panel | cPanel |
|---|---|
| Sistem | Paylaşımlı hosting (Apache, CloudLinux) |
| Yetki | cPanel kullanıcısı |
| Narhost ürünü | SSL Sertifikası, Web Hosting |
Başlamadan önce
.htaccess dosyasını düzenlemeden önce bir kopyasını indirip yedekleyin.HSTS (HTTP Strict Transport Security), bir web sunucusunun tarayıcıya verdiği tek satırlık bir talimattır: “bu alan adına bir daha asla http ile bağlanma, doğrudan https kullan.” Talimatı bir kez alan tarayıcı, aynı kullanıcı adres çubuğuna “http://” yazsa bile isteği sunucuya gitmeden önce kendi içinde https’e çevirir. Bu, bağlantıyı düşürüp araya girmeye çalışan saldırı türlerine karşı önemli bir kapanmadır; çünkü saldırgan artık ilk isteği yakalayıp yönlendirmeyi bozamaz.
Başlık olmadan da çoğu site .htaccess yönlendirmesiyle http’den https’e geçer, ama bu yönlendirme her seferinde bir ağ isteği gerektirir ve o ilk istek teorik olarak açıkta kalır. HSTS bu ilk isteği tarayıcı tarafında keserek ortadan kaldırır.
.htaccess listede görünmez.
Beklenen sonuç: dosya listesinde .htaccess görünür.
<IfModule mod_headers.c>Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"</IfModule>
Beklenen sonuç: dosya hatasız kaydedilir, cPanel “Değişiklikler kaydedildi” onayı gösterir.
Dikkat
includeSubDomains yazdığınızda mail, webmail, panel gibi tüm alt alan adlarınızın da hatasız HTTPS çalışması şart olur; biri http’de kalırsa erişilemez hâle gelir. preload parametresi sitenizi tarayıcıların yerleşik HSTS preload listesine aday yapar; bu listeye girmek geri dönüşü zor bir adımdır, listeden çıkmak haftalar sürebilir. Emin değilseniz preload’u eklemeyin.
Sonuç
Tarayıcı geliştirici araçlarını açıp Ağ sekmesinden sitenize gelen yanıt başlıklarına bakın; Strict-Transport-Security satırını görüyorsanız işlem tamamlanmıştır. Aynı kontrolü terminalden curl -I https://alanadiniz.com komutuyla da yapabilirsiniz, komut çıktısında aynı başlık listelenir.
Dikkat
HSTS aktifken SSL sertifikanızın süresi dolarsa tarayıcı siteyi http’ye düşürmez, doğrudan erişilemez hata verir. Bu yüzden sertifika yenileme takibini ihmal etmeyin; SSL sertifikası nasıl yenilenir yazısı yenileme adımlarını anlatır.
Alan adınız Cloudflare üzerinden yönetiliyorsa HSTS ayarı .htaccess başlığından ayrı olarak Cloudflare panelinde SSL/TLS → Edge Certificates bölümünden açılır. İki ayarı karıştırmayın: Cloudflare proxy arkasındaysanız ziyaretçiye giden başlığı asıl belirleyen taraf Cloudflare’dir. Ayrıntı için Cloudflare’in HSTS dokümantasyonuna ve Cloudflare SSL ayarları kartına bakabilirsiniz.
includeSubDomains parametresini kaldırıp yeniden test edin.Narhost desteği
Adımları uyguladınız ama sorun sürüyorsa destek talebinize alan adınızı, .htaccess’e eklediğiniz satırı, aldığınız hata mesajını ve denediğiniz tarayıcıyı ekleyin.
Sonraki adımlar
Paylaşımlı hostingde evet; kök dizindeki .htaccess dosyasına Strict-Transport-Security başlığını eklemeniz yeterlidir, ayrı bir sunucu yeniden başlatma gerekmez.
Hayır. max-age ve gerekirse includeSubDomains çoğu site için yeterlidir; preload yalnızca sitenizin tamamı ve tüm alt alan adları kalıcı olarak HTTPS çalışacaksa eklenir.
max-age değerini 0 yapıp bir süre beklemeniz gerekir; tarayıcılar önceden aldıkları talimatı süresi dolana kadar hafızalarında tutar, bu yüzden kapatma anında etkili olmaz.
Bu makale sorununuzu çözdü mü?
Geri bildiriminiz için teşekkürler.
Çözemediniz mi?
Teknik ekibimiz sunucu tarafındaki ayarları sizin için kontrol edebilir. Destek talebinizde alan adınızı ve aldığınız hata metnini paylaşmanız süreci hızlandırır.
