Küçük işletme sahiplerinden sık duyduğumuz bir cümle var: “Benim sitemi kim ne yapsın?” Haklı bir soru gibi görünüyor ama saldırıların çoğu böyle işlemiyor. Kimse oturup sizin sitenizi seçmiyor. Otomatik botlar internetteki çok sayıda siteyi tarayıp bilinen açıkları, zayıf şifreleri ve güncellenmemiş eklentileri arıyor. Sitenizin küçük olması sizi korumuyor; sadece fark edilmenizi geciktirebiliyor.
Aşağıdaki 12 önlemi kolaydan zora sıraladık. İlk yarısı teknik bilgi gerektirmiyor, bu hafta içinde yapılabilir. Son kısmı sunucu tarafı; orada hosting firmanızdan ya da sitenizi yöneten ekipten destek almanız gerekebilir. Örneklerin çoğu WordPress üzerinden, çünkü yaygın bir altyapı, ama mantık her sistem için aynı.
Hiçbir önlem listesi bir siteyi tamamen güvenli yapmaz. Amaç riski azaltmak ve bir sorun olduğunda hızlı toparlanabilmek.
Güçlü şifre ve iki adımlı doğrulama
1. Her hesap için ayrı ve uzun şifre. Yönetim paneli, hosting, alan adı, e-posta, veritabanı: hepsinin şifresi farklı olmalı. Bir yerde sızan şifre diğer hesapları da açmasın. Bunu akılda tutmanın en gerçekçi yolu bir şifre yöneticisi. Firma adı artı kuruluş yılı gibi şifrelerle hâlâ sık karşılaşıyoruz.
2. İki adımlı doğrulama. Şifre çalınsa bile ikinci adım (telefondaki doğrulama uygulaması) olmadan girmek çok zorlaşır. Önce en kritik hesaplarda açın: alan adı paneli, hosting ve kurumsal e-posta. Alan adı hesabını ele geçiren biri sitenizi ve e-postanızı birlikte alabilir.
Güncellemeler
3. Çekirdek, tema ve eklenti güncellemeleri. Bilinen açıkların önemli bir kısmı, güncellemesi zaten çıkmış yazılımlarda istismar ediliyor. Güncelleme yapmamak, kapı kilidinin değiştirildiğini bilip eski kilitle yaşamak gibi.
Güncellemeyi körlemesine de yapmayın. Önce yedek alın, mümkünse önce bir test ortamında deneyin, sonra canlı sitede yapın. Büyük sürüm güncellemelerinde eklenti uyumsuzluğu yaygın; bunu bakım kontrol listesinde ayrıca konuştuk.
4. Sunucu yazılımının sürümü. Siteniz eski bir PHP ya da veritabanı sürümünde çalışıyorsa, o sürüm artık güvenlik yaması almıyor olabilir. Hosting panelinizden sürümü kontrol edin, desteklenen bir sürüme geçin.
Eklenti ve tema hijyeni
5. Kullanılmayan eklenti ve temaları silin. Devre dışı bırakmak yetmez; dosyalar sunucuda durduğu sürece içindeki açık hâlâ kullanılabilir. Onlarca eklentisi olan sitelerde, bir kısmının hiç kullanılmadığını sık görüyoruz.
6. “Nulled” yani kırılmış tema ve eklentilerden uzak durun. Ücretli bir eklentinin bedava dağıtılan sürümü, çoğu zaman içine gizlenmiş zararlı kodla gelir; ayrıca lisans ihlalidir. Tasarruf ettiğiniz birkaç yüz lira, sitenin temizlenme maliyetinin yanında küçük kalır.
Eklenti seçerken son güncelleme tarihine, kurulum sayısına ve geliştiricinin destek forumundaki ilgisine bakın. Uzun süredir güncellenmeyen bir eklenti terk edilmiş olabilir.
Yönetici erişimini sınırlamak
7. Herkese yalnızca ihtiyacı olan yetkiyi verin. Blog yazısı giren çalışana yönetici değil, editör ya da yazar yetkisi yeter. Ajansınızla çalışmanız bittiyse onların hesabını kapatın. Ayrılan çalışanların hesaplarını da. Bu basit düzen, birçok sorunun önünü kesiyor.
8. Giriş sayfasını koruyun. “admin” kullanıcı adını kullanmayın, başarısız giriş denemelerini sınırlayın (örneğin 5 denemeden sonra 15 dakika bekletme). Mümkünse yönetim panelinin adresini değiştirin ya da yalnızca belirli IP adreslerinden erişime açın. Kullanmıyorsanız WordPress'teki XML-RPC gibi uzaktan giriş kapılarını kapatın.
Form ve spam koruması
9. Formlara bot koruması ekleyin. Korumasız bir iletişim formu kısa sürede yoğun spam almaya başlayabilir; daha kötüsü, bazı açıklı formlar sitenizden başkalarına spam göndermek için kullanılabilir. Gizli alan (honeypot) tekniği, Google reCAPTCHA ya da Cloudflare Turnstile gibi araçlar bu işi ziyaretçiyi yormadan yapar.
Dosya yükleme alanı olan formlarda (CV, fotoğraf) yalnızca gerekli dosya türlerine izin verin ve boyut sınırı koyun. Yüklenen dosyanın gerçekten resim olduğunun kontrol edilmesi, uzantısına bakmaktan daha güvenli.
Sunucu düzeyi önlemler
Bu bölümdeki maddeler için çoğu zaman hosting firmanızla ya da teknik ekibinizle konuşmanız gerekecek.
10. SSL ve HTTPS. Sitenin tamamı HTTPS üzerinden açılmalı ve HTTP istekleri otomatik yönlenmeli. Birçok hosting firması ücretsiz sertifika seçeneği sunuyor. SSL'in ne olduğunu ve nasıl kurulduğunu ayrı bir yazıda anlattık.
11. Güvenlik duvarı (WAF). Cloudflare gibi bir hizmet, kötü niyetli trafiğin önemli bir kısmını sitenize ulaşmadan durdurabilir; plan ve fiyatları hizmetin kendi sitesinden kontrol edin. Bazı hosting firmaları bunu paketin içinde sunuyor. Dosya aktarımında FTP yerine SFTP kullanın, dosya izinlerini olması gerekenden geniş tutmayın.
12. Dış konumda, düzenli yedek. Bu da bir güvenlik önlemi. Diğer on bir madde bir gün yetmezse, sizi kurtaracak olan bu. Yedeklemenin nasıl planlanacağını 3-2-1 kuralı yazısında anlattık.
Hangisinden başlamalı?
Zamanınız kısıtlıysa sıra şu olsun: alan adı, hosting ve e-postada iki adımlı doğrulama; dış konumda yedek; kullanılmayan eklentileri silip kalanları güncellemek. Bu üç adım bir öğleden sonranızı alır ve otomatik saldırılara karşı riskinizi belirgin şekilde azaltır.
Bütün bunlara rağmen siteniz ele geçirilirse panik yapmadan uygulanacak adımları ilk 24 saat yazısında sıraladık.
Sıkça Sorulan Sorular
Güvenlik eklentisi kurmak yeterli mi?
Tek başına değil. Güvenlik eklentileri giriş denemelerini sınırlamak ve dosya değişikliklerini izlemek gibi işlerde yardımcı olur, ama güncel olmayan bir eklentiyi ya da zayıf bir şifreyi telafi edemez. Eklentiyi listedeki diğer önlemlerin tamamlayıcısı olarak görün.
WordPress dışındaki sitelerde de bu önlemler gerekli mi?
Evet, büyük kısmı. Şifre, iki adımlı doğrulama, erişim yetkileri, yedek, SSL ve form koruması her altyapı için geçerli. Eklenti hijyeni gibi maddeler WordPress'e daha özgü; özel kodlanmış sitelerde onun yerini kullanılan kütüphanelerin güncel tutulması alıyor.
Blog yazıları genel bilgilendirme amaçlıdır; hukuki, mali veya teknik danışmanlık yerine geçmez.