Web Sitesi Güvenliği: Hacklenmemek İçin 15 Temel Önlem

Netwec 28.10.2026 09:00 Güvenlik 40 okunma

Web Sitesi Güvenliği: Hacklenmemek İçin 15 Temel Önlem

"Küçük bir sitem var, kim beni hackler ki?" en tehlikeli cümledir. Saldırıların büyük bölümü hedefli değildir; botlar günde milyonlarca siteyi tarar, güncellenmemiş bir eklenti veya tahmin edilebilir bir şifre bulduğunda otomatik olarak içeri girer. Ele geçirilen site spam gönderir, kötü amaçlı yazılım dağıtır, kripto madenciliği yapar ve Google tarafından kara listeye alınır. Aşağıdaki 15 önlem, saldırıların ezici çoğunluğunu durdurur; çoğu birkaç dakikada uygulanır.

Temel hijyen

1. Her şeyi güncel tutun

WordPress çekirdeği, tema, eklentiler ve PHP sürümü. Güvenlik açıklarının çoğu, yaması aylar önce yayımlanmış bileşenlerden kaynaklanır. Küçük güncellemeleri otomatik yapın; büyük sürümleri önce yedek alıp uygulayın.

2. Kullanmadığınızı silin

Pasif eklenti ve temalar da çalıştırılabilir kod içerir ve güncellenmez. Silin. Aynı kural kurulum sonrası kalan readme, test ve yedek dosyaları (backup.zip, db.sql) için de geçerlidir; bunlar herkese açık dizinde durmamalıdır.

3. Güçlü, benzersiz şifreler ve şifre yöneticisi

Yönetim paneli, kontrol paneli, FTP, veritabanı ve e-posta için ayrı, en az 16 karakterlik rastgele şifreler kullanın. Bitwarden veya 1Password gibi bir yönetici bu yükü sıfırlar. Kullanıcı adı olarak admin kullanmayın.

4. İki adımlı doğrulama (2FA)

Şifre sızsa bile ikinci faktör olmadan giriş yapılamaz. WordPress için WP 2FA veya Wordfence; Netwec Kontrol Paneli'nde Hesap Güvenliği sayfasından iki adımlı doğrulama açılır. Müşteri paneli ve e-posta hesaplarınız için de açın.

5. Giriş denemelerini sınırlayın

Kaba kuvvet saldırıları binlerce şifre dener. Limit Login Attempts Reloaded gibi bir eklenti veya WAF kuralı, 5 hatalı denemeden sonra IP'yi engeller. Giriş adresini değiştirmek (/wp-login.php yerine özel URL) bot gürültüsünü azaltır, ancak tek başına güvenlik önlemi değildir.

Sunucu ve dosya katmanı

6. Doğru dosya izinleri

Klasörler 755, dosyalar 644, wp-config.php 600 veya 640. 777 izni hiçbir zaman verilmemelidir; "böyle çalıştı" diye bırakılan 777 klasörler saldırganın ilk yazacağı yerdir.

7. Dosya düzenlemeyi ve PHP çalıştırmayı kısıtlayın

wp-config.php içine define('DISALLOW_FILE_EDIT', true); ekleyerek panelden tema/eklenti kodu düzenlemeyi kapatın. wp-content/uploads klasöründe PHP çalışmasını .htaccess ile engelleyin; ele geçirilen hesaplarda zararlı dosyalar genellikle oraya yüklenir.

8. SFTP ve HTTPS kullanın, düz FTP'yi bırakın

Düz FTP şifrenizi açık metin gönderir. FTPS (açık TLS) kullanın ya da dosyaları kontrol panelindeki Dosya Yöneticisi ile yükleyin; VPS'te SFTP kullanın. Kontrol paneline her zaman https:// ile bağlanın.

9. Web uygulama güvenlik duvarı (WAF)

WAF, SQL enjeksiyonu, XSS ve bilinen eklenti açıklarına yönelik istekleri uygulamaya ulaşmadan keser. Sunucu seviyesinde (ModSecurity, Imunify360) ve/veya Cloudflare gibi bir CDN üzerinden çalışabilir. WordPress için Wordfence veya Sucuri eklentileri uygulama katmanında ek koruma sağlar.

10. Güncel PHP ve güvenlik başlıkları

Desteği biten PHP sürümleri güvenlik yaması almaz; 8.2+ kullanın. .htaccess ile X-Content-Type-Options, X-Frame-Options, Referrer-Policy ve test ettikten sonra HSTS başlıklarını ekleyin. securityheaders.com puanınızı gösterir.

Dayanıklılık ve izleme

11. Düzenli, sunucu dışı yedek

Yedek, güvenlik ihlalinden sonraki tek gerçek kurtarıcıdır. Günlük otomatik yedeğe ek olarak kendi yedeğinizi farklı bir yere (bulut depolama, yerel disk) alın ve geri yüklemeyi en az bir kez deneyin. Yedeği olmayan site, ilk ciddi saldırıda sıfırdan başlar. Rehber: yedek alma ve geri yükleme.

12. Zararlı yazılım taraması ve dosya bütünlüğü

Wordfence, Sucuri veya sunucudaki Imunify tarayıcısı değişen çekirdek dosyaları ve bilinen zararlı imzaları yakalar. Haftalık tarama raporunu e-posta ile alın.

13. Kullanıcı rolleri ve en az yetki

Her kullanıcıya işine yetecek en düşük rolü verin: yazar içerik girer, editör yayınlar; yönetici sayısı ikiyi geçmesin. Ayrılan çalışanların hesaplarını hemen kapatın; paylaşılan şifreleri yenileyin.

14. Çalışma süresi ve değişiklik uyarıları

UptimeRobot benzeri bir servisle siteyi izleyin; ele geçirilen siteler çoğu zaman önce yavaşlar ya da yönlendirme yapmaya başlar. Google Search Console'u doğrulayın; Google zararlı yazılım tespit ettiğinde oradan uyarır.

15. Olay planı: hacklendiyseniz ne yapacaksınız?

Panik yerine sıra: (1) siteyi bakım moduna alın, (2) tüm şifreleri değiştirin, (3) temiz bir yedekten geri dönün veya zararlı dosyaları temizleyin, (4) açığın kaynağını (eski eklenti, zayıf şifre) kapatın, (5) Google Search Console'dan yeniden inceleme isteyin. Netwec müşterileri bu süreçte Teknik Destek'ten yardım alabilir.

Hosting sağlayıcınızın payı

Güvenlik ortak sorumluluktur. Sağlayıcı sunucu işletim sistemini, ağ güvenliğini, hesap izolasyonunu (CloudLinux/CageFS) ve sunucu seviyesinde WAF'ı yönetir; uygulama güncellemeleri, şifreler ve içerik ise size aittir. Netwec sunucularında hesaplar birbirinden izole çalışır, Let's Encrypt SSL otomatiktir ve Standart ve üzeri paketlerde günlük yedek alınır. Güvenlikle ilgili sorularınız için destek sayfamızı kullanabilirsiniz.