TLS'in hızı kötüleştirdiği düşüncesi modern donanımda büyük oranda geçerli değildir; asıl maliyet el sıkışmadaki gidiş-dönüşlerdir. Doğru ayarlarla HTTPS, şifresiz bağlantıya çok yakın hızlarda çalışabilir.
Önce ölçün
curl -o /dev/null -s -w "connect: %{time_connect}\ntls: %{time_appconnect}\ntotal: %{time_total}\n" https://example.com/time_appconnect ile time_connect arasındaki fark TLS el sıkışma süresidir. Değişiklik öncesi ve sonrası aynı koşullarda ölçüm alın.
Etkili iyileştirmeler
- TLS 1.3: El sıkışma bir gidiş-dönüşe iner; tekrar bağlantılarda 0-RTT seçeneği vardır ancak tekrar saldırısı riski nedeniyle yalnızca idempotent isteklerde düşünülmelidir.
- Oturum yeniden kullanımı: Dönen ziyaretçilerde tam el sıkışmayı atlar.
- OCSP stapling: İstemcinin CA'ya ek sorgu yapmasını önler.
- HTTP/2 (ve HTTP/3): Tek bağlantıda çoklu istek; el sıkışma sayısı azalır.
- ECDSA sertifika: RSA'ya göre daha küçük ve imza işlemi daha hızlıdır; istemci uyumluluğunu önceden değerlendirin.
- Kısa zincir: Gereksiz kök sertifika göndermeyin; her fazla bayt el sıkışmayı uzatır.
Nginx örneği
ssl_protocols TLSv1.2 TLSv1.3;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_session_tickets off;
ssl_stapling on;
ssl_stapling_verify on;
resolver 1.1.1.1 valid=300s;shared:SSL:10m bellekte yaklaşık on binlerce oturum tutabilecek bir önbellek oluşturur; ihtiyaca göre büyütün. Anahtar döndürmesini yönetemiyorsanız ssl_session_tickets off ile ileri gizliliği koruyun.
Tuzaklar
- Her zaman "ssl_ciphers" listesini aşırı daraltmayın; istemci uyumluluğu bozulabilir.
- Stapling için sunucunun DNS çözümleyicisine ve CA'nın OCSP adresine erişmesi gerekir.
- CDN kullanıyorsanız kullanıcıya TLS'i CDN sunar; kaynak sunucu ayarlarının etkisi sınırlıdır.
Sonuçları yorumlama
Ayarları tek tek değiştirip her seferinde aynı ölçümü tekrarlayın. Tekil ölçümler gürültülüdür; en az on deneme alıp ortanca değere bakın. Coğrafi uzaklık da el sıkışma süresinde belirleyicidir; kullanıcılarınıza yakın bir CDN ucu, sunucu ayarlarından daha fazla kazanç sağlayabilir.
Sonucu SSL kontrol aracıyla doğrulayın. Uygun sertifika türü için SSL seçim rehberine bakabilirsiniz.