Kayıt ol

Tovala Akıllı Fırın Deneyimi: Paket Servisten Daha İyi mi?FortiMail'de Kritik Zero-Day Açığı Aktif Saldırılarda Kullanılıyor Meadow: Sosyal Medyasız Minimalist Telefon Deneyimi California'da Gizli Kayıt Yapan Akıllı Gözlük Yasasına Veto Hello Robot Stretch 4, TechCrunch Disrupt 2026'da Canlı Tanıtılacak

JavaScript devre dışı. Daha iyi bir deneyim için, önce lütfen tarayıcınızda JavaScript'i etkinleştirin.

WordPress Güvenliği: Sitenizi Saldırılara Karşı Nasıl Korursunuz?

Mesaj: <blockquote data-quote="Admin" data-source="post: 12840" data-attributes="member: 1"><p><h2>WordPress Güvenliği: Sitenizi Saldırılara Karşı Nasıl Korursunuz?</h2><p>Bir WordPress sitesinin güvenliği, kurulum tamamlandıktan sonra yapılan birkaç ayardan ibaret değildir. Eklenen her eklenti, açılan her kullanıcı hesabı ve ertelenen her güncelleme, sitenin güvenlik durumunu değiştirir.</p><p>Bu yüzden güvenliği yalnızca bir eklentiye bırakmak yerine düzenli bakımın parçası olarak düşünmek gerekir. Amaç; saldırı ihtimalini azaltmak, olağan dışı hareketleri fark etmek ve bir sorun yaşandığında siteyi sağlıklı biçimde geri getirebilmektir.</p><p>Bu rehberde, WordPress sitenizi korumak için uygulayabileceğiniz temel önlemleri, teknik ayarların sınırlarını ve saldırı sonrası izleyebileceğiniz yolu ele alacağız.</p><h2>WordPress Sitelerinde Güvenlik Sorunları Nasıl Başlar?</h2><p>Saldırganların sitenizi özellikle seçmiş olması gerekmez. Otomatik araçlar, internetteki çok sayıda siteyi bilinen açıklar ve zayıf giriş bilgileri açısından tarayabilir.</p><p>Risk oluşturan noktalar arasında güncellenmemiş yazılımlar, güvenilmeyen kaynaklardan indirilen dosyalar, gereğinden fazla yetkilendirilmiş hesaplar ve ele geçirilmiş erişim bilgileri bulunur. Sunucunun ve siteyi yönettiğiniz bilgisayarın güvenliği de bu tablonun parçasıdır.</p><p>Örneğin, yönetici hesabınızı iyi korusanız bile dosyaları yüklediğiniz bilgisayarda zararlı yazılım bulunması erişim bilgilerinizi tehlikeye atabilir. Bu nedenle kontrolü yalnızca WordPress paneliyle sınırlamamak gerekir.</p><h2>1. Güncellemeleri Düzenli Takip Edin</h2><p>WordPress çekirdeği, temalar ve eklentiler için yayımlanan güncellemeler hata düzeltmeleri, yeni özellikler ve güvenlik yamaları içerebilir. Özellikle güvenlik açığını gideren bir güncellemeyi uzun süre ertelemek, bilinen bir riski sitenizde açık bırakır.</p><p>Güncelleme öncesinde yedek alın. Önemli değişiklikleri mümkünse sitenizin deneme kopyasında kontrol edin. WordPress’in otomatik güncelleme seçenekleri de bakım yükünü azaltabilir; ancak güncellemenin başarıyla tamamlandığını takip etmek gerekir.</p><p>Pratik bir güncelleme kontrolü şu işlemleri kapsayabilir:</p><ul> <li data-xf-list-type="ul">Yönetici paneline giriş yapın.</li> <li data-xf-list-type="ul">Ana sayfayı ve önemli içerik sayfalarını açın.</li> <li data-xf-list-type="ul">İletişim formunu deneyin.</li> <li data-xf-list-type="ul">Üyelik işlemlerini kontrol edin.</li> <li data-xf-list-type="ul">E-ticaret sitesinde sepet ve ödeme akışını test edin.</li> </ul><p><strong>Güncelleme sonrasında site açılıyor olması, bütün işlevlerin sorunsuz çalıştığı anlamına gelmez.</strong></p><h2>2. Yönetici Hesaplarını Daha İyi Koruyun</h2><p>Her hesapta farklı, uzun ve tahmin edilmesi zor bir parola kullanın. Parola yöneticisi, aynı şifreyi farklı hizmetlerde kullanma alışkanlığını bırakmayı kolaylaştırır.</p><p>Yönetici hesaplarında iki aşamalı doğrulamayı etkinleştirin. WordPress çekirdeğinde yerleşik 2FA bulunmadığı için bunu destekleyen bir eklenti veya kimlik doğrulama hizmeti gerekir. Uyumlu çözümler üzerinden WebAuthn tabanlı geçiş anahtarları da kullanılabilir.</p><p>Kurulum sırasında kurtarma kodlarını güvenli bir yerde saklayın ve giriş yöntemini deneyin. Telefonunuza erişemediğiniz bir durumda hesabınıza nasıl döneceğinizi önceden bilmeniz önemlidir.</p><p>Kullanıcı adına ise gereğinden fazla anlam yüklemeyin. Tahmin edilmesi zor bir kullanıcı adı yardımcı olabilir; fakat kullanıcı adını gizli bir bilgi gibi değerlendirmeyin. Güçlü kimlik doğrulama ve giriş denemelerini sınırlama daha temel önlemlerdir.</p><h2>3. Herkese Yönetici Yetkisi Vermeyin</h2><p>İçerik ekleyen bir kişinin tema yüklemesi veya site ayarlarını değiştirmesi gerekmeyebilir. WordPress’in kullanıcı rolleri, farklı görevler için farklı yetkiler sunar.</p><p>İçerik ekibine işine uygun rol verin. Teknik destek için açılan geçici hesapları iş bitince kapatın. Ortak yönetici hesabı paylaşmak yerine herkesin kendi hesabıyla çalışmasını sağlayın.</p><p>Böylece hem gereksiz erişimi azaltırsınız hem de bir işlem yapıldığında hangi hesabın kullanıldığını takip etmeniz kolaylaşır.</p><h2>4. Eklenti ve Tema Envanterini Sadeleştirin</h2><p>Sitenizde kurulu her bileşenin ne işe yaradığını bilmelisiniz. Aynı görevi yapan birkaç eklenti, kullanılmayan tema veya artık güncellenmeyen bir araç bakım yükünü artırır.</p><p>Belirli aralıklarla şu soruları sorun:</p><ul> <li data-xf-list-type="ul">Bu eklentiye hâlâ ihtiyaç var mı?</li> <li data-xf-list-type="ul">Geliştiricisi bakımını sürdürüyor mu?</li> <li data-xf-list-type="ul">Kullandığım WordPress ve PHP sürümüyle uyumlu mu?</li> <li data-xf-list-type="ul">Aynı işlev başka bir araç tarafından zaten sağlanıyor mu?</li> </ul><p>İhtiyaç duymadığınız bileşenleri kaldırın. Tema ve eklentileri resmî depodan veya geliştiricinin doğrulanabilir dağıtım kanalından edinin. Kaynağı belirsiz paketler, dosyaların değiştirilip değiştirilmediğini anlamayı zorlaştırır.</p><h2>5. Dosya ve Veritabanını Birlikte Yedekleyin</h2><p>WordPress dosyalarını indirmeniz, veritabanını da yedeklediğiniz anlamına gelmez. Yazılar, kullanıcılar ve birçok ayar veritabanında; temalar, eklentiler ve yüklenen görseller ise dosya sisteminde bulunur.</p><p>Tam geri dönüş için iki tarafı birlikte düşünün. Yedeklerinizi site sunucusundan ayrı bir konumda saklayın, farklı tarihlere ait kopyaları koruyun ve geri yükleme işlemini deneyin. Yedekleme sıklığını da sitenin ne kadar sık değiştiğine göre belirleyin.</p><p>Örneğin, haftada bir yazı eklenen blog ile gün boyunca sipariş alan mağazanın yedekleme ihtiyacı aynı değildir.</p><p><strong>Yedek alınması kadar, ihtiyaç anında kullanılabildiğinin doğrulanması da önemlidir.</strong></p><h2>6. HTTPS Kullanımını Kontrol Edin</h2><p>HTTPS, tarayıcı ile sunucu arasındaki iletişimi şifreler. Yönetici girişleri ve kullanıcı bilgilerinin aktarılması açısından önemli bir koruma sağlar.</p><p>Sertifikanın geçerli olduğunu, HTTP adreslerinin HTTPS’e yönlendiğini ve sayfalardaki kaynakların güvenli bağlantı üzerinden yüklendiğini kontrol edin.</p><p>Bununla birlikte HTTPS, bir eklentideki açığı kapatmaz veya sunucudaki zararlı dosyayı temizlemez. Güvenli bağlantı, sitenin bütün güvenlik ihtiyaçlarını tek başına karşılamaz.</p><h2>7. Panelden Dosya Düzenlemeyi Kapatın</h2><p>WordPress panelindeki tema ve eklenti dosya düzenleyicilerine ihtiyacınız yoksa bunları kapatabilirsiniz.</p><p><code class="bbCodeInline">wp-config.php</code> dosyasında şu ayar kullanılabilir:</p><p><code class="bbCodeInline">define( 'DISALLOW_FILE_EDIT', true );</code></p><p>Önce dosyanın yedeğini alın. Aynı sabit zaten tanımlıysa ikinci kez eklemek yerine mevcut tanımı düzenleyin. Ayarı WordPress’in yüklenmesinden önce, genellikle “That's all, stop editing!” yorumunun üstüne yerleştirin.</p><p>Bu seçenek paneldeki dosya düzenleyicilerini kapatır. Eklenti kurulumu ve diğer dosya değiştirme yollarını bütünüyle engellemez; ele geçirilmiş yönetici hesabını güvenli hâle getiren tek başına bir çözüm değildir.</p><h2>8. Salt Anahtarlarının Görevini Doğru Anlayın</h2><p>WordPress’in güvenlik anahtarları ve salt değerleri, kimlik doğrulamada kullanılan kriptografik işlemlerin parçasıdır. Her site için benzersiz değerler kullanılmalıdır.</p><p>Bu değerlerin yenilenmesi mevcut WordPress oturum çerezlerini geçersiz kılar ve kullanıcıların yeniden giriş yapmasını gerektirir. Ancak salt değerlerinin bulunması, geçerli bir oturum çerezinin çalınmasını kendiliğinden önlemez.</p><p>Entegrasyonlar için oluşturulmuş uygulama parolaları ayrıca değerlendirilmelidir. Kullanılmayan veya şüpheli uygulama parolalarını kullanıcı profilinden ayrı ayrı iptal edebilirsiniz.</p><h2>9. Dosya İzinlerini Sunucuya Göre Ayarlayın</h2><p>Birçok kurulumda dosyalar için <code class="bbCodeInline">644</code>, dizinler için <code class="bbCodeInline">755</code> kullanılır. Fakat doğru izinler, dosya sahipliğine ve PHP’nin hangi kullanıcıyla çalıştığına bağlıdır.</p><p><code class="bbCodeInline">wp-config.php</code> gibi hassas dosyalara erişimi mümkün olduğunca kısıtlayın. <code class="bbCodeInline">600</code>, <code class="bbCodeInline">400</code> veya <code class="bbCodeInline">440</code> gibi değerlerin uygunluğu sunucu yapılandırmasına göre değişebilir. PHP dosyayı okuyamazsa site çalışmayacaktır.</p><p>Yazma hatası aldığınızda bütün klasörleri <code class="bbCodeInline">777</code> yapmak yerine dosya sahipliğini ve gerekli erişimi inceleyin. İzin değişikliğinden sonra yükleme ve güncelleme işlemlerini de kontrol edin.</p><h2>10. XML-RPC ve Giriş Korumasını İhtiyaca Göre Düzenleyin</h2><p>XML-RPC bazı uzaktan bağlantılar ve entegrasyonlar tarafından kullanılabilir. İhtiyaç yoksa devre dışı bırakılması değerlendirilebilir; kullanılıyorsa erişim ve istek sınırlaması uygulanabilir.</p><p>Özellikle Jetpack veya mobil uygulama bağlantılarını kontrol etmeden kapatmayın. Giriş adresini değiştirmek de bot trafiğinin bir bölümünü azaltabilir, fakat güçlü parola, 2FA ve giriş denemesi sınırlamasının yerine geçmez.</p><h2>Güvenlik Eklentisi Seçerken Neye Bakılmalı?</h2><p>Eklentiyi sunduğu özelliklere, ücretsiz sürümün kapsamına ve sitenizdeki diğer araçlarla uyumuna göre değerlendirin.</p><table style='width: 100%'><tr><th>Eklenti</th><th>Öne çıkan işlevler</th><th>Dikkat edilmesi gereken nokta</th></tr><tr><td>Wordfence Security</td><td>Güvenlik duvarı, zararlı yazılım taraması ve giriş koruması</td><td>Ücretsiz sürüm yeni güvenlik duvarı kurallarını ve zararlı yazılım imzalarını 30 gün gecikmeli alır.</td></tr><tr><td>Sucuri Security</td><td>Etkinlik denetimi, dosya bütünlüğü kontrolü ve uzaktan tarama</td><td>Ücretsiz eklenti, ücretli bulut güvenlik duvarı hizmetiyle aynı kapsamda değildir.</td></tr><tr><td>All-In-One Security</td><td>Giriş koruması, dosya kontrolleri ve güvenlik kuralları</td><td>Ayarlar aşamalı uygulanmalı, sitenin temel işlevleri kontrol edilmelidir.</td></tr></table><p></p><p>Bu özellikler geliştiricilerin resmî eklenti açıklamalarına dayanır.</p><p>Birden fazla araç kullanacaksanız aynı işi yapan özelliklerin birbirini etkileyip etkilemediğini inceleyin. Sunucu veya CDN güvenlik duvarı ile WordPress içindeki koruma birlikte çalışabilir; buna karşılık örtüşen eklenti ayarları gereksiz engellemelere yol açabilir.</p><h2>Hosting Sağlayıcısına Sorulabilecek Sorular</h2><p>Paket açıklamasındaki “güvenli hosting” ifadesinden daha somut bilgiler isteyin:</p><ul> <li data-xf-list-type="ul">Sunucu yazılımlarının güncellenmesinden kim sorumlu?</li> <li data-xf-list-type="ul">Yedekler kaç gün tutuluyor ve nasıl geri yükleniyor?</li> <li data-xf-list-type="ul">Şüpheli trafik veya dosya değişikliği nasıl bildiriliyor?</li> <li data-xf-list-type="ul">Güvenlik olayında hangi loglar incelenebiliyor?</li> <li data-xf-list-type="ul">Hesaplar arasındaki izolasyon nasıl sağlanıyor?</li> <li data-xf-list-type="ul">Zararlı yazılım incelemesi ve temizleme hizmetinin kapsamı ne?</li> </ul><p>Bu soruların cevaplarını hizmet almadan önce kaydedin. Olay yaşandığında destek ekibine hangi bilgileri ileteceğinizi de önceden belirleyin.</p><h2>Site Ele Geçirilirse Nasıl İlerlenmeli?</h2><p>İlk belirtiyi gördüğünüzde rastgele dosya silmek yerine kontrollü ilerleyin.</p><ol> <li data-xf-list-type="ol"><strong>Bulguları kaydedin.</strong> Şüpheli adresleri, yönlendirmeleri, yeni kullanıcıları ve olayın fark edildiği zamanı not edin. Logları ve inceleme için gerekli kopyaları koruyun.</li> <li data-xf-list-type="ol"><strong>Zararı sınırlandırın.</strong> Hosting ekibiyle görüşerek zararlı içeriğe erişimi kısıtlayın. WordPress bakım eklentisinin doğrudan çağrılan zararlı dosyaları engelleyeceğini varsaymayın.</li> <li data-xf-list-type="ol"><strong>Kapsamı inceleyin.</strong> Dosyaları, veritabanını, kullanıcıları ve erişim noktalarını birlikte değerlendirin. Siteyi yönettiğiniz bilgisayarı da kontrol edin.</li> <li data-xf-list-type="ol"><strong>Temizliği ve açığın kapatılmasını birlikte yürütün.</strong> Güvenilir dosyalardan yeniden kurulum veya temiz olduğu doğrulanmış yedek kullanılabilir. Giriş yolu açık kalırsa saldırı tekrarlanabilir.</li> <li data-xf-list-type="ol"><strong>Erişim bilgilerini güvenli ortamdan yenileyin.</strong> WordPress, hosting paneli, dosya erişimi ve ilgili entegrasyon bilgilerini kapsayan bir kontrol yapın. Aktif saldırıda erişimi hemen kesin; temizlik sonrasında bilgileri tekrar yenilemeyi değerlendirin.</li> </ol><p>Eski bir veritabanı yedeğine dönmek, sonradan oluşan sipariş veya kayıtları kaybettirebilir. Geri dönüş planında bu değişiklikleri hesaba katın.</p><p>Google güvenlik uyarısı varsa, sorun giderildikten sonra Search Console’daki Güvenlik Sorunları bölümünden inceleme isteyin.</p><h2>Sıkça Sorulan Sorular</h2><h3>Ücretsiz güvenlik eklentisi yeterli olur mu?</h3><p>Sitenin ihtiyaçlarına göre yararlı bir koruma sağlayabilir. Ancak güncelleme, hesap yönetimi ve yedekleme sorumluluğunu ortadan kaldırmaz.</p><h3>Yönetici giriş adresini değiştirmek zorunlu mu?</h3><p>Hayır. Yardımcı bir önlem olarak değerlendirilebilir. Önceliği güçlü kimlik doğrulamaya ve giriş denemelerinin kontrolüne verin.</p><h3>Hosting yedeği varken ayrıca yedek almalı mıyım?</h3><p>Önce hosting yedeğinin kapsamını, saklama süresini ve geri yükleme koşullarını öğrenin. Ayrı bir konumdaki doğrulanmış kopya, kurtarma seçeneklerinizi artırır.</p><h3>Zararlı dosyayı silmek sorunu çözer mi?</h3><p>Tek başına yeterli olmayabilir. Başka dosyalar, veritabanı kayıtları veya erişim bilgileri de etkilenmiş olabilir. Temizlikle birlikte saldırının giriş yolunu bulmak gerekir.</p><h3>Güvenlik kontrolleri ne sıklıkla yapılmalı?</h3><p>Sitenin kullanımına göre bir bakım takvimi oluşturun. Güncellemeleri düzenli takip edin; yeni kullanıcı, eklenti veya entegrasyon eklendiğinde erişimleri yeniden değerlendirin. Güvenlik uyarılarını rutin bakım gününe kadar bekletmeyin.</p></blockquote><p></p>