Kayıt ol

Tovala Akıllı Fırın Deneyimi: Paket Servisten Daha İyi mi?FortiMail'de Kritik Zero-Day Açığı Aktif Saldırılarda Kullanılıyor Meadow: Sosyal Medyasız Minimalist Telefon Deneyimi California'da Gizli Kayıt Yapan Akıllı Gözlük Yasasına Veto Hello Robot Stretch 4, TechCrunch Disrupt 2026'da Canlı Tanıtılacak

JavaScript devre dışı. Daha iyi bir deneyim için, önce lütfen tarayıcınızda JavaScript'i etkinleştirin.

WordPress Güvenliği: Web Sitenizi Nasıl Korursunuz?

Mesaj: <blockquote data-quote="Admin" data-source="post: 12836" data-attributes="member: 1"><p><h2>WordPress Güvenliği: Web Sitenizi Nasıl Korursunuz?</h2><p>WordPress sitenizin güvenliğini düşünmek için bir saldırı yaşanmasını beklemeniz gerekmez. Düzenli güncelleme, doğru kullanıcı yetkileri ve çalıştığı kontrol edilmiş yedekler, sorun çıkmadan önce oluşturulması gereken temel alışkanlıklardır.</p><p>Güvenlik eklentileri bu süreci kolaylaştırabilir. Ancak bir eklentiyi kurup bütün ayarları açmak, sitenin korunacağı anlamına gelmez. Asıl amaç; saldırganın erişebileceği noktaları azaltmak, şüpheli hareketleri fark etmek ve gerektiğinde siteyi sağlıklı şekilde geri yükleyebilmektir. WordPress’in resmî güvenlik rehberi de güvenliği riskleri azaltmaya yönelik bir süreç olarak ele alır.</p><p>Bu rehberde, küçük bir blogdan WooCommerce mağazasına kadar farklı WordPress sitelerinde uygulanabilecek önlemleri inceleyeceğiz.</p><h2>WordPress Sitelerinde Güvenlik Sorunları Nasıl Başlar?</h2><p>Bir sitenin ele geçirilmesi yalnızca yönetici şifresinin tahmin edilmesiyle gerçekleşmez. Kurulu yazılımlar, kullanıcı hesapları, sunucu yapılandırması ve siteyi yönettiğiniz bilgisayar birlikte değerlendirilmelidir.</p><p>Örneğin güncel bir WordPress kurulumu, geliştirilmesi bırakılmış bir eklenti nedeniyle risk altında olabilir. Güçlü bir yönetici parolası da zararlı yazılımla enfekte olmuş bir bilgisayarda kullanılıyorsa yeterli koruma sağlamayabilir.</p><p>Bu nedenle “WordPress güvenli mi?” sorusunu, “Bu WordPress kurulumunu nasıl yönetiyorum?” sorusuyla birlikte düşünmek daha faydalıdır.</p><p>Öncelikle şu envanteri çıkarın:</p><ul> <li data-xf-list-type="ul">Hangi tema ve eklentiler kurulu?</li> <li data-xf-list-type="ul">Hangileri gerçekten kullanılıyor?</li> <li data-xf-list-type="ul">Yönetici yetkisi kimlerde bulunuyor?</li> <li data-xf-list-type="ul">Siteye hangi harici uygulamalar bağlanıyor?</li> <li data-xf-list-type="ul">Dosya, veritabanı ve hosting erişimleri kimlerde?</li> <li data-xf-list-type="ul">Son başarılı yedek ve geri yükleme testi ne zaman yapıldı?</li> </ul><p>Bu liste, güvenlik çalışmalarına nereden başlayacağınızı gösterir.</p><h2>1. Güncellemeleri Düzenli Bir İşe Dönüştürün</h2><p>WordPress çekirdeği, temalar ve eklentiler ayrı ayrı güncellenir. Yalnızca WordPress sürümünü yükseltmek, kurulu diğer bileşenlerin de güncel olduğu anlamına gelmez.</p><p>Güncellemeler yeni özellikler, hata düzeltmeleri ve güvenlik yamaları içerebilir. Özellikle bilinen bir açığı gideren sürümleri gereksiz yere ertelememek gerekir.</p><p>Uygulanabilir bir güncelleme düzeni şöyle kurulabilir:</p><ol> <li data-xf-list-type="ol">Güncelleme bildirimlerini düzenli kontrol edin.</li> <li data-xf-list-type="ol">Büyük değişikliklerden önce dosya ve veritabanı yedeği alın.</li> <li data-xf-list-type="ol">Kritik sitelerde değişiklikleri önce test ortamında deneyin.</li> <li data-xf-list-type="ol">Güncelleme sonrasında temel işlevleri kontrol edin.</li> </ol><p>WordPress’in resmî güncelleme dokümanı da işlem öncesinde yedek alınmasını önerir.</p><p>Bir blogda kontrol edilecek işlevler yazı sayfaları ve iletişim formu olabilir. Bir mağazada ise sepete ekleme, ödeme, kuponlar ve sipariş bildirimleri de test edilmelidir.</p><p>Otomatik güncellemeyi kullanıyorsanız başarısız güncelleme bildirimlerini takip edin. Otomasyonun çalıştığını varsayarak aylarca panele bakmamak, bakım sürecinde boşluk oluşturur.</p><h2>2. Kullanıcı Hesaplarını ve Girişleri Koruyun</h2><p>Yönetici hesabı için uzun, benzersiz ve tahmin edilmesi zor bir parola kullanın. Aynı parolayı hosting panelinde, e-posta hesabında ve WordPress girişinde tekrar kullanmayın. Parola yöneticisi bu düzeni sürdürmeyi kolaylaştırır.</p><p>Yönetici hesaplarında iki aşamalı doğrulamayı etkinleştirin. Desteklenen kurulumlarda WebAuthn tabanlı geçiş anahtarları da değerlendirilebilir. WordPress’in standart çekirdek kurulumunda 2FA bulunmadığından bu özellik bir eklenti veya kimlik sağlayıcısıyla eklenir.</p><p>Kurtarma kodlarını güvenli bir yerde saklayın ve giriş yöntemini kurduktan sonra test edin. Telefonunuzu kaybettiğinizde hesabınıza nasıl erişeceğinizi önceden bilmeniz gerekir.</p><h3>Her kullanıcıya yönetici yetkisi vermeyin</h3><p>Yalnızca yazı hazırlayan kişinin tema değiştirme veya eklenti yükleme yetkisine ihtiyacı olmayabilir. Kullanıcı rollerini görevlerine göre belirleyin; ortak yönetici hesabı paylaşmak yerine kişisel hesaplar oluşturun. WordPress’in rol ve yetki sistemi bu ayrımı destekler.</p><p>İşi biten geliştiricilerin ve eski çalışanların erişimlerini de kaldırın.</p><h3>Giriş adresini değiştirmek yeterli mi?</h3><p>Giriş adresini değiştirmek bazı otomatik denemeleri azaltabilir. Ancak güçlü parola, 2FA ve giriş denemelerini sınırlandırmanın yerini tutmaz. Kullanıcı adını da gizli bir parola gibi değerlendirmeyin.</p><h2>3. Gereksiz Tema ve Eklentileri Temizleyin</h2><p>Kurulu eklentileri yalnızca sayısına göre değerlendirmeyin. Her birinin yaptığı işi, güncelleme durumunu ve kaynağını kontrol edin.</p><p>Şu sorular yardımcı olur:</p><ul> <li data-xf-list-type="ul">Bu eklenti hâlâ gerekli mi?</li> <li data-xf-list-type="ul">Aynı işi başka bir bileşen zaten yapıyor mu?</li> <li data-xf-list-type="ul">Geliştirici güncelleme yayımlıyor mu?</li> <li data-xf-list-type="ul">Kurulu sürümde bilinen bir güvenlik sorunu var mı?</li> </ul><p>Kullanmadığınız eklentileri kaldırın. Devre dışı bırakılması, dosyalarının sunucudan silindiği anlamına gelmez.</p><p>Tema ve eklentileri resmî WordPress deposundan veya geliştiricinin güvenilir dağıtım kanalından edinin. Kaynağı belirsiz, değiştirilmiş paketlerde hangi kodun çalıştığını doğrulamak zordur. Güvenilir kaynak kullanımı ve gereksiz eklentilerin kaldırılması, WordPress’in güvenlik önerileri arasında yer alır.</p><h2>4. Yedek Almak Kadar Geri Yüklemeyi de Planlayın</h2><p>WordPress yedeği iki temel parçayı kapsamalıdır: <strong>dosyalar ve veritabanı</strong>. Yalnızca site klasörünü indirmek, yazıların ve siparişlerin bulunduğu veritabanını otomatik olarak yedeklemez.</p><p>Yedekleme planınızda şu konular net olsun:</p><ul> <li data-xf-list-type="ul">Yedekler hangi sıklıkla oluşturuluyor?</li> <li data-xf-list-type="ul">Kaç farklı tarih saklanıyor?</li> <li data-xf-list-type="ul">Kopyalar nerede tutuluyor?</li> <li data-xf-list-type="ul">Yedeklere kimler erişebiliyor?</li> <li data-xf-list-type="ul">Geri yükleme işlemi nasıl yapılıyor?</li> </ul><p>En az bir kopyayı hosting hesabından ayrı bir yerde tutun. Ayrıca belirli aralıklarla test ortamında geri yükleme deneyin.</p><p>Sıklığı sitenin hareketliliğine göre belirleyin. Haftada bir yazı yayımlanan blog ile gün boyunca sipariş alan mağazanın veri kaybı toleransı aynı değildir.</p><p>Bir saldırı sonrasında en yeni yedeğin temiz olduğunu varsaymayın. Zararlı kod fark edilmeden önce de yedeklere girmiş olabilir; farklı tarihlerdeki kopyaları saklamak bu yüzden önemlidir.</p><h2>5. HTTPS ve Yönetim Bağlantılarını Kontrol Edin</h2><p>HTTPS, tarayıcı ile sunucu arasındaki iletişimi korur. Yönetici girişleri, müşteri bilgileri ve formlar için kullanılmalıdır. Fakat sertifika bulunması, sunucudaki zararlı dosyaları temizlemez veya eklenti açıklarını kapatmaz.</p><p>HTTPS kurulumu sonrasında giriş sayfasını, yönlendirmeleri ve formları kontrol edin. Dosya aktarımında da sağlayıcınızın desteklediği şifreli bağlantı yöntemini kullanın.</p><h2>6. Teknik Güvenlik Ayarlarını Ortama Göre Yapın</h2><p>İnternette bulunan her güvenlik kodunu doğrudan canlı siteye eklemeyin. Önce dosyanın yedeğini alın, ayarın ne yaptığını anlayın ve değişikliği kontrol edin.</p><h3>Panelden dosya düzenlemeyi kapatın</h3><p>WordPress içindeki tema ve eklenti kod editörlerini kapatmak için <code class="bbCodeInline">wp-config.php</code> dosyasına şu tanım eklenebilir:</p><p><code class="bbCodeInline">define('DISALLOW_FILE_EDIT', true);</code></p><p>Tanımın dosyada zaten bulunup bulunmadığını kontrol edin; varsa mevcut değeri düzenleyin. Satırı WordPress’in yüklenmesinden önceki yapılandırma bölümüne yerleştirin.</p><p>Bu ayar paneldeki kod editörlerini kapatır. Yönetici hesabının ele geçirilmesi hâlinde bütün kötü amaçlı işlemleri engellemez.</p><h3>Güvenlik anahtarlarını doğru değerlendirin</h3><p>WordPress güvenlik anahtarları ve salt değerleri, kimlik doğrulamada kullanılan kriptografik işlemlerin parçasıdır. Bunlar oturum çerezi hırsızlığını tek başına önleyen bir çözüm değildir.</p><p>İhlal sonrasında anahtarların yenilenmesi mevcut giriş çerezlerini geçersiz kılmak için kullanılabilir. Uygulama parolaları ve diğer entegrasyon erişimleri ayrıca incelenmelidir; uygulama parolaları tek tek iptal edilebilir.</p><h3>Dosya izinlerini ezbere değiştirmeyin</h3><p>Dosyalarda <code class="bbCodeInline">644</code>, dizinlerde <code class="bbCodeInline">755</code> yaygın değerlerdir. Ancak doğru izinler dosya sahipliğine ve PHP’nin hangi kullanıcıyla çalıştığına bağlıdır.</p><p><code class="bbCodeInline">wp-config.php</code> erişimi sınırlandırılmalıdır; bunu yaparken PHP’nin dosyayı okuyabilmesi korunmalıdır. Sorunu çözmek için klasörlere gelişigüzel <code class="bbCodeInline">777</code> vermeyin.</p><h3>XML-RPC kullanılıyor mu?</h3><p>XML-RPC’yi kapatmadan önce Jetpack, mobil uygulama veya başka bir entegrasyonun buna ihtiyaç duyup duymadığını kontrol edin. Gerekmiyorsa kapatılması, gerekiyorsa erişimin ve istek sıklığının sınırlandırılması değerlendirilebilir.</p><h2>Güvenlik Eklentisi Seçerken Nelere Bakılmalı?</h2><p>Eklentinin adından önce ihtiyacınızı belirleyin: giriş koruması mı, dosya taraması mı, değişiklik kaydı mı, güvenlik duvarı mı?</p><p></p><table style='width: 100%'><tr><th>Eklenti</th><th>Temel kullanım alanı</th><th>Dikkat edilmesi gereken</th></tr><tr><td>Wordfence Security</td><td>Güvenlik duvarı, dosya taraması ve giriş koruması</td><td>Ücretsiz ve ücretli sürümlerin tehdit güncellemeleri farklıdır.</td></tr><tr><td>Sucuri Security</td><td>Bütünlük kontrolü, olay kayıtları ve güvenlik kontrolleri</td><td>Bulut güvenlik duvarı ücretsiz eklentiden ayrı bir hizmettir.</td></tr><tr><td>All-In-One Security</td><td>Giriş güvenliği, dosya kontrolleri ve çeşitli güvenlik kuralları</td><td>Kuralları etkinleştirirken site işlevlerini test etmek gerekir.</td></tr></table><p></p><p>Wordfence’in ücretsiz sürümünde yeni güvenlik duvarı kuralları ve zararlı yazılım imzaları 30 gün gecikmeli sunulur. Sucuri’nin bulut WAF hizmeti ise ücretsiz eklenti kurulumuna dâhil değildir. AIOS farklı korumaları aynı arayüzden yönetmeye yardımcı olur.</p><p>Aynı işlevleri üstlenen birden fazla eklenti kurmak yerine görevleri netleştirin. Özellikle giriş engelleme ve güvenlik kuralları sonrasında kullanıcı girişi, formlar ve ödeme işlemlerini deneyin.</p><h2>Hosting Sağlayıcısına Hangi Soruları Sormalısınız?</h2><p>Paket açıklamasındaki güvenlik ürünlerinin yanında hizmetin nasıl işletildiğini de öğrenin:</p><ul> <li data-xf-list-type="ul">Sunucu yazılımlarının güncellenmesini kim yönetiyor?</li> <li data-xf-list-type="ul">Yedekler hangi tarihlere kadar saklanıyor?</li> <li data-xf-list-type="ul">Geri yükleme nasıl talep ediliyor?</li> <li data-xf-list-type="ul">Şüpheli hareketlerde hangi kayıtlar incelenebiliyor?</li> <li data-xf-list-type="ul">Saldırı tespit edildiğinde destek kapsamı ne?</li> <li data-xf-list-type="ul">Siteler ve hesaplar arasında nasıl bir izolasyon uygulanıyor?</li> </ul><p>WordPress’in güvenlik rehberi, sağlayıcının güncel sunucu yazılımları ve güvenilir kurtarma yöntemleri sunmasını değerlendirme ölçütleri arasında sayar.</p><h2>Site Ele Geçirildiyse Ne Yapmalısınız?</h2><p>Şüpheli yönlendirmeler, tanımadığınız yönetici hesapları veya izinsiz içerikler gördüğünüzde rastgele dosya silerek başlamayın.</p><p><strong>Önce belirtileri kaydedin.</strong> Etkilenen adresleri, fark ettiğiniz zamanı ve son değişiklikleri not edin. Temizlikten önce mevcut dosyaların, veritabanının ve erişilebilir günlüklerin kopyasını koruyun. WordPress’in saldırı sonrası rehberi de belgeleme ve mevcut ortamın kopyasını alma adımlarını önerir.</p><p>Ardından şu sırayla ilerleyin:</p><ol> <li data-xf-list-type="ol"><strong>Erişimi sınırlandırın.</strong> Hosting desteğiyle siteyi sunucu veya güvenlik duvarı seviyesinde izole edin. Ele geçirilmiş WordPress içindeki bakım eklentisine güvenmeyin.</li> <li data-xf-list-type="ol"><strong>Etkilenen alanları inceleyin.</strong> Dosyaların yanında veritabanı, kullanıcılar, zamanlanmış görevler ve diğer erişimler de kontrol edilmelidir.</li> <li data-xf-list-type="ol"><strong>Güvenilir kaynaklardan yeniden kurun veya temizliği doğrulanmış yedeği kullanın.</strong> Taramanın hiçbir bulgu göstermemesi tek başına yeterli kanıt değildir.</li> <li data-xf-list-type="ol"><strong>Giriş noktasını kapatın.</strong> Açık bileşen, çalınmış erişim veya sunucu sorunu giderilmeden tekrar yayına geçmeyin.</li> <li data-xf-list-type="ol"><strong>Erişim bilgilerini güvenilir bir cihazdan yenileyin.</strong> Temizlik tamamlandıktan sonra parolaları, oturumları ve entegrasyon anahtarlarını yeniden değerlendirin.</li> </ol><p>WooCommerce mağazasında eski veritabanına dönmek yeni siparişleri kaybettirebilir. Kurtarma planına sipariş ve ödeme kayıtlarının karşılaştırılmasını da ekleyin.</p><p>Search Console’da güvenlik sorunu bildirilmişse, temizlik tamamlandıktan sonra ilgili rapordan inceleme isteyin.</p><p></p><h2>Sıkça Sorulan Sorular</h2><h3>Güvenlik eklentisi kurmak yeterli mi?</h3><p>Güncelleme, hesap yönetimi ve yedekleme düzeniyle birlikte kullanılmalıdır. Eklentinin uyarılarını takip etmek de gerekir.</p><h3>Az ziyaretçisi olan siteye saldırı olur mu?</h3><p>Düşük trafik, siteyi erişime kapalı hâle getirmez. Küçük sitelerde de aynı temel bakım düzeni uygulanmalıdır.</p><h3>Her güvenlik uyarısı saldırı anlamına mı gelir?</h3><p>Hayır. Meşru güncellemeler dosyaları değiştirebilir; normal kullanıcılar yanlış parola girebilir. Uyarıyı zamanı ve yapılan işlemlerle birlikte inceleyin.</p><h3>Yedekten dönünce sorun çözülür mü?</h3><p>Yedeğin temiz olması ve saldırıya yol açan nedenin giderilmesi gerekir. Eski dosyaları geri yüklemek tek başına kalıcı çözüm sağlamaz.</p><h3>Nereden başlamalıyım?</h3><p>Önce güncellemeleri, yönetici hesaplarını ve yedeklerinizi kontrol edin. Sonra giriş korumasını, gereksiz bileşenleri ve sunucu ayarlarını ele alın. Her değişiklikten sonra sitenin temel işlevlerinin çalıştığını doğrulayın.</p></blockquote><p></p>