Halk sağlığı ve tıp etiği tarihinde çok temel bir ahlak çizgisi vardır: Bazı medikal koruma kalkanları ticari bir meta olamaz; onlar tüm toplumun varoluşsal güvenliği için "kamusal bir hak" olmak zorundadır.

Örneğin tetanoz, kızamık veya çocuk felci aşıları... Bir devlet veya sağlık otoritesi bu aşıları asla parayla satmaz; sağlık ocaklarında, kapıda duran her vatandaşa ücretsiz ve koşulsuz olarak uygular. Çünkü amaç sadece o bireyi korumak değil, toplumun genelinde sürü bağışıklığı oluşturarak salgının yayılmasını engellemektir.

Şimdi bir özel kliniğin kapısında durup, sağlık ocağında ücretsiz yapılan o hayat kurtarıcı tetanoz aşısını sakladığını; kapıdan giren yoksul insanlara "Bakın devletin bedava aşısı kalitesizdir, sizi korumaz. Gelin size bizim VIP Altın Korumalı özel aşımızı 500 dolara yapalım" diyerek korku pazarlaması yaptığını hayal edin.

Bunun adı ticaret değildir; cehaleti ve korkuyu sömüren ahlaksız bir manipülasyondur.

İnternet dünyasında, web hosting sektöründe ve e-ticaret altyapılarında da tam olarak bu sahte aşı tüccarlığını kopyalayan, 2026 yılında bile hâlâ yüz binlerce KOBİ'yi aldatmaya devam eden devasa bir şark kurnazlığı vardır: Let's Encrypt İle Bedava Hale Gelen SSL Sertifikasını Gizleyip, Müşteriye Hâlâ Yıllık Yüzlerce Liraya "Özel Güvenlikli SSL" Satma Tiyatrosu.

Eski Dünyanın Ayrıcalığı: Parası Olanın Kilit Simgesi

2015 yılından önce web dünyası karanlık ve güvensizdi.
İnternet trafiğinin %80'i şifresiz, düz metin halinde (http://) akıyordu. Kafede otururken yan masadaki bir lise öğrencisi bile Wi-Fi ağını dinleyip şifrelerinizi havada yakalayabiliyordu.

O yıllarda tarayıcı adres çubuğunda yeşil bir kilit simgesi (https://) görmek tam anlamıyla bir zenginlik ve kurumsallık göstergesiydi.
Çünkü bir SSL/TLS sertifikası almak:

  • VeriSign, GeoTrust, Thawte veya Comodo gibi devasa sertifika otoritelerine (CA) yıllık 100 ila 300 Dolar para ödemeyi,
  • Şirket evraklarını, vergi levhalarını noter onaylı olarak İngilizceye çevirip Amerika'ya fakslamayı,
  • Sunucuya özel statik bir IPv4 adresi (aylık ek ücret!) tahsis etmeyi gerektiriyordu.

SSL lüks bir kravattı; sadece bankalar ve büyük e-ticaret devleri takabiliyordu.

Devrim: Let's Encrypt ve Şifrelemenin Demokratikleşmesi

Ve 2015 yılının sonunda, küresel sivil toplum örgütleri (EFF - Electronic Frontier Foundation), Mozilla, Cisco, Akamai ve Michigan Üniversitesi bir araya gelerek internet tarihinin en büyük devrimini başlattı: İnternet Güvenlik Araştırma Grubu (ISRG) ve Let's Encrypt!

Felsefe tek bir cümleyle özetlendi:
"Şifrelenmiş bir internet, temel bir insan hakkıdır. Hiç kimse internette güvenle gezinmek ve verisini korumak için para ödemek zorunda kalmamalıdır."

Let's Encrypt, ACME (Automated Certificate Management Environment) protokolünü geliştirdi:

  • Sertifika başvurusu saniyelik bir API isteğiyle otomatikleşti.
  • 90 günlük ömür biçildi ve sunucu arka planda kendi kendine, insan eli değmeden bu sertifikayı sonsuza kadar yenilemeye başladı.
  • Ve en can alıcı nokta: Tamamen, koşulsuz, sonsuza kadar ÜCRETSİZ oldu!

Bugün dünyadaki internet trafiğinin %95'inden fazlası HTTPS üzerinden akıyorsa, bu başarının tek mimarı Let's Encrypt'tir.

Şark Kurnazlığı: Menüden Gizlenen "Bedava" Butonu

Peki bu devrim gerçekleştiğinde Türkiye'deki ve dünyadaki geleneksel, kurnaz hosting firmaları ne yaptı?
"Harika, artık tüm müşterilerimize ücretsiz ve otomatik SSL veriyoruz" mu dediler?
Asla!

Çünkü o güne kadar müşteriye hiçbir maliyeti olmayan o dijital sertifikaları "güvenlik" adı altında yıllık 250 - 500 liraya satmak, hosting firmalarının en tatlı, sıfır maliyetli kâr kapılarından biriydi! Bu tatlı musluğun kesilmesini kabullenemediler.

Ve o meşhur manipülasyon teknikleri sahneye konuldu:

1. Panelden Modülü Kasıtlı Olarak Kapatmak

cPanel ve DirectAdmin yönetim panelleri Let's Encrypt entegrasyonuyla birlikte gelir; tek bir tıkla tüm sitelere ücretsiz SSL basabilirsiniz.
Fakat kurnaz hosting sağlayıcısı ne yapar?
Sunucu konfigürasyonundan o ücretsiz AutoSSL ve Let's Encrypt eklentisini kasten kapatır veya panelden gizler!
Müşteri panele girdiğinde "SSL Yükle" dediğinde karşısına sadece "Sertifika Kodu (CRT) ve Özel Anahtar (KEY) Girin" diyen karmaşık bir form çıkarır.

2. Satın Alma Sepetinde Korku Pazarlaması

Müşteri 100 liraya bir web sitesi veya domain siparişi verirken, sepet aşamasında önüne devasa kırmızı uyarı pencereleri patlatılır:

"DİKKAT! Siteniz tarayıcılarda 'GÜVENSİZ' olarak işaretlenecektir! Müşterileriniz kredi kartı bilgilerini girmekten korkacaktır!
[ ] Standart Güvenlikli 256-Bit SSL Sertifikası Ekle (Yıllık 399 TL) - ŞİDDETLE TAVSİYE EDİLİR!"

Korkutulan esnaf veya acemi webmaster titreyerek o kutucuğu işaretler. 100 liralık hizmet 500 liraya fırlar!

3. "Bizim SSL'imiz Paralı, O Yüzden Daha Güvenli" Yalanı

Destek masasına "Let's Encrypt varmış, siz niye paralı satıyorsunuz?" diye soran uyanık müşterilere verilen cevap ise trajikomik bir mühendislik cehaletidir:
"Efendim Let's Encrypt korsan ve açık kaynaklıdır, bankalar tanımaz, Google ceza verir, şifrelemesi zayıftır. Bizim sattığımız Comodo/Sectigo sertifikası 250.000 Dolar sigorta garantilidir ve askeri düzeyde şifreler!"

Matematik Yalan Söylemez: Şifrelemenin Gerçeği

Bir siber güvenlik uzmanının bu pazarlama yalanı karşısında söyleyeceği şey çok nettir:
Matematik paralı veya parasız diye ikiye ayrılmaz!

  • Yıllık 500 dolara aldığınız o süslü kurumsal SSL sertifikası hangi algoritmayı kullanır? RSA 2048/4096 bit veya ECDSA P-256 / P-384, şifreleme olarak AES-256.
  • Let's Encrypt'in size bedavaya verdiği o 90 günlük otomatik sertifika hangi algoritmayı kullanır? Birebir aynı RSA 2048 veya ECDSA P-256, birebir aynı AES-256!

Veri paketi havada akarken, NSA veya dünyanın en güçlü hacker grubu bile o trafiği dinlemeye kalksa; o trafiğin Let's Encrypt ile mi yoksa 500 dolarlık sertifikayla mı şifrelendiğini ayırt edemez! Çünkü arkasındaki matematiksel eliptik eğri veya çarpanlara ayırma zorluğu kuruşu kuruşuna aynıdır!

Peki o paralı sertifikaların broşüründe yazan "100.000 Dolar Sigorta Garantisi" nedir?
Tarihte o sigortadan tek bir kuruş tazminat alabilmiş dünyada tek bir şirket bile yoktur! Çünkü o sigorta sizin sitenizin hacklenmesini değil; sertifika otoritesinin kendi ana kök şifresini çaldırması durumunu kapsar ki bu ihtimal nükleer bir savaş çıkması ihtimalinden daha düşüktür.

(Not: Eskiden tarayıcılarda şirketin adını yeşil kutucukta gösteren EV - Extended Validation sertifikaları vardı; fakat Google Chrome ve Apple Safari yıllar önce o yeşil barı kaldırıp sıradan gri kilide dönüştürerek bu statü ticaretine son noktayı koydu).

Özgür İnternetin Tarafında Durmak

Bugün 2026 yılında, müşterisine tek tıkla ücretsiz Let's Encrypt veya CloudLinux AutoSSL sağlamayan bir hosting firması:

  • Ya teknolojik olarak on yıl geriden gelen bir dinozordur,
  • Ya da müşterisinin bilgisizliğini sömürerek havadan para kazanmayı alışkanlık haline getirmiş bir şark kurnazıdır.

Eğer çalıştığınız hosting firması sizden standart bir web sitesi veya e-ticaret başlangıcı için hâlâ yıllık SSL parası talep ediyorsa; yapacağınız tek bir hareket vardır:
O firmayı terk etmek.

Çünkü şifreleme bir ayrıcalık veya lüks bir aksesuar değildir; modern internetin en temel hijyen standardıdır. Temel aşıya para isteyen hastaneden nasıl kaçıyorsanız; temel şifrelemeye para isteyen hosting firmasından da öyle uzak durun.