Site HTTPS ile açılıyor ve sertifika geçerli görünüyor; buna rağmen tarayıcı adres çubuğunda “Güvenli Değil” uyarısı çıkıyor veya kilit simgesi beklenen biçimde görünmüyor. Genellikle sayfanın kendisi HTTPS iken bir görsel, yazı tipi, JavaScript ya da stil dosyası hâlâ http:// adresinden çağrılır. Buna karma içerik (mixed content) denir.
Kısa yanıt: Önce tam yedek ve geri dönüş noktası alın. Sertifikanın gerçekten çalıştığını, WordPress Adresi ile Site Adresi’nin HTTPS olduğunu ve tarayıcı konsolunda hangi HTTP kaynağının çağrıldığını kontrol edin. Veritabanında toplu değişikliği yalnızca yedek aldıktan sonra, serileştirilmiş veriyi güvenle işleyen araçla yapın; ardından tüm önbellekleri temizleyin.
Sürüm ve kapsam#
Rehber kendi barındırılan güncel WordPress kurulumları içindir. CDN, ters proxy, yük dengeleyici veya Cloudflare benzeri ara katman kullanan sitelerde HTTPS algısı ayrıca proxy başlıklarına bağlı olabilir. WordPress.com yönetilen planlarında sunucu adımları farklıdır.
Başlamadan önce#
- Site dosyalarının ve veritabanının ayrı yedeğini alın.
- Yedeğin indirilip açılabildiğini ve geri yükleme yolunu doğrulayın.
- Bakım penceresi belirleyin; yönetici paneli ve barındırma hesabı erişimini hazır tutun.
- HTTPS sürümünün sertifika hatası vermeden açıldığını test edin.
Adım adım çözüm#
1. Sertifika sorunu ile mixed content sorununu ayırın#
Tarayıcıda siteyi https://alanadiniz.com biçiminde açın. Sertifika süresi, alan adı eşleşmesi veya güven zinciri hatası varsa önce barındırma sağlayıcısında sertifikayı düzeltin. Mixed content düzeltmesi geçersiz sertifikayı onarmaz.
2. WordPress adreslerini HTTPS yapın#
- Ayarlar › Genel bölümünü açın.
- WordPress Adresi (URL) ve Site Adresi (URL) alanlarının doğru alan adıyla
https://başladığını kontrol edin. - Değişiklikten önce yönetici paneline yeniden giriş yapmanız gerekebileceğini bilin.
Alanlar griyse değerler wp-config.php içinde tanımlanmış veya barındırma panelince yönetiliyor olabilir. Rastgele değiştirmek yerine mevcut yapılandırmayı yedekleyip sağlayıcı belgesine göre ilerleyin.
3. Hatalı kaynağı tarayıcı geliştirici araçlarında bulun#
- Sorunlu sayfayı gizli pencerede açın.
- F12 ile geliştirici araçlarını, ardından Console/Konsol sekmesini açın.
- “Mixed Content” uyarısında gösterilen
http://kaynağın adresini not edin. - Kaynağın yazı içeriğinden mi, tema ayarından mı, CSS dosyasından mı, eklentiden mi yoksa haricî hizmetten mi geldiğini belirleyin.
Sadece ana sayfayı değil, yazı, kategori, iletişim formu ve medya içeren örnek sayfaları da kontrol edin.
4. Kaynağı ait olduğu yerde düzeltin#
- Yazı veya sayfa içeriği: Blok düzenleyicide görsel/bağlantı adresini HTTPS sürümüyle değiştirin.
- Tema seçenekleri: Logo, arka plan, özel CSS ve yazı tipi URL’lerini kontrol edin.
- Eklenti: Eklentinin kendi URL/CDN alanını düzeltin ve güncellemesini kontrol edin.
- Haricî kaynak: Kaynağın HTTPS sürümü yoksa güvenilir HTTPS alternatifine geçin veya yerel barındırma için lisans/izin durumunu kontrol edin.
5. Eski HTTP adresleri veritabanına yayılmışsa güvenli arama-değiştirme yapın#
Çok sayıda eski medya URL’si varsa düz SQL sorgusu serileştirilmiş WordPress verisini bozabilir. Önce tam veritabanı yedeği alın. Barındırma aracının güvenli arama-değiştirme özelliğini ya da WP‑CLI’nin wp search-replace komutunu önce --dry-run ile kullanın. Eski alan adını tam olarak hedefleyin; tüm “http” metinlerini körlemesine değiştirmeyin.
wp search-replace 'http://ornek.com' 'https://ornek.com' --all-tables-with-prefix --dry-run
Ön izleme beklenen kayıtları gösteriyorsa yedek ve geri dönüş planıyla gerçek değişikliği uygulayın. Komut satırı deneyiminiz yoksa barındırma desteğinden yardım isteyin.
6. Önbellek ve CDN katmanlarını temizleyin#
- WordPress önbellek eklentisinin tüm önbelleğini temizleyin.
- LiteSpeed Cache kullanıyorsanız sayfa/CSS/JS önbelleklerini temizleyin; optimizasyon dosyalarını yeniden oluşturun.
- Sunucu önbelleği ve CDN temizliğini yapın.
- Tarayıcıda gizli pencereyle yeniden test edin.
7. Ters proxy kullanıyorsanız HTTPS algısını kontrol edin#
WordPress, TLS bağlantısının proxy’de sonlandığı yapılarda isteği HTTP sanabilir ve yönlendirme döngüsü ya da yanlış URL üretebilir. WordPress geliştirici belgesi, doğru yapılandırılmış proxy’nin gönderdiği HTTP_X_FORWARDED_PROTO başlığının dikkate alınabileceğini belirtir. Bu ayarı yalnızca proxy gerçekten başlığı güvenilir biçimde ayarlıyorsa yapın; aksi hâlde sahte başlık güvenlik sorunu oluşturabilir.
Güvenlik notu: Sorunu gizlemek için SSL doğrulamasını kapatmayın, bilinmeyen “SSL düzeltme” eklentileri kurmayın ve veritabanında yedeksiz toplu değiştirme yapmayın. HTTPS yönlendirmesini etkinleştirmeden önce yönetici panelinin HTTPS üzerinden açıldığını doğrulayın.
Çözüm işe yaramazsa#
- WordPress Araçlar › Site Sağlığı ekranında HTTPS durumunu kontrol edin.
- Tema ve eklenti kaynaklarını sahneleme kopyasında tek tek sınayın; canlı sitede gelişigüzel kapatmayın.
- Sunucu erişim ve hata günlüklerini, CDN “origin” ayarını ve sertifika kapsamını barındırma desteğiyle inceleyin.
- Tarayıcı konsolundaki tam kaynak URL’sini eklenti/tema geliştiricisine iletin; yönetici parolanızı paylaşmayın.
Sık sorulan sorular#
SSL sertifikası varsa neden Güvenli Değil uyarısı çıkar?#
Sertifika sayfanın HTTPS sunulmasını sağlar; ancak sayfadaki tek bir HTTP kaynak bile karma içerik uyarısı oluşturabilir.
HTTP’den HTTPS’ye yönlendirme mixed content sorununu tek başına çözer mi?#
Her zaman değil. HTML veya CSS içine yazılmış eski HTTP kaynakları ayrıca düzeltilmelidir.
Veritabanında SQL ile toplu değiştirme güvenli mi?#
WordPress’te serileştirilmiş veriler bulunduğu için düz metin değiştirme risklidir. Yedek, kuru çalışma ve WordPress uyumlu araç kullanılmalıdır.
Kaynaklar#
- WordPress Developer Resources — HTTPS
- WordPress Documentation — Site Sağlığı ekranı
- WP‑CLI — search-replace komutu
