WordPress, dünyadaki web sitelerinin büyük bir bölümünde kullanıldığı için saldırganların da en çok hedef aldığı sistemdir. İyi haber şu: ele geçirilen sitelerin çoğu, sıfırdan keşfedilmiş karmaşık açıklarla değil; güncellenmemiş eklentiler, zayıf şifreler ve hiç alınmamış yedekler gibi basit ihmaller yüzünden zarar görür. Aşağıdaki kontrol listesi, yönettiğim sitelerde uyguladığım temel güvenlik adımlarını içeriyor. Teknik bilgisi az olan site sahipleri de büyük kısmını kendi başına uygulayabilir.
Temel Adımlar
1. WordPress, tema ve eklentileri güncel tutun
Güvenlik açıkları genellikle güncellemelerle kapatılır. Panelde “Güncellemeler” ekranını haftada bir kontrol edin. Büyük güncellemelerden önce yedek almayı unutmayın.
2. Kullanmadığınız eklenti ve temaları silin
Devre dışı bırakılmış bir eklentinin dosyaları sunucuda durmaya devam eder ve açık barındırabilir. Kullanmıyorsanız tamamen silin. Varsayılan temalardan yalnızca birini yedek olarak bırakın.
3. Eklentileri güvenilir kaynaklardan yükleyin
“Ücretsiz premium eklenti” sunan sitelerden indirilen (nulled) dosyalar sıklıkla zararlı kod içerir. Eklentileri yalnızca WordPress.org dizininden veya geliştiricinin resmî sitesinden alın. Uzun süredir güncellenmeyen eklentilerin alternatiflerini araştırın.
4. Güçlü ve benzersiz şifreler kullanın
Yönetici hesabının şifresi başka hiçbir yerde kullanılmamalı. Bir şifre yöneticisi kullanmak, uzun ve rastgele şifreleri hatırlama derdini ortadan kaldırır.
5. İki adımlı doğrulamayı (2FA) açın
Şifreniz bir şekilde ele geçirilse bile, telefonunuzdaki doğrulama kodu olmadan giriş yapılamaz. Really Simple Security, Wordfence gibi eklentiler bu özelliği sunar.
6. Giriş denemelerini sınırlayın
Otomatik botlar giriş sayfanıza binlerce şifre dener. Belirli sayıda başarısız denemeden sonra IP adresini geçici olarak engelleyen bir eklenti (ör. Loginizer) bu saldırıları büyük ölçüde etkisiz hale getirir.
Yedekleme ve Kurtarma
7. Otomatik yedekleme kurun
Yedekler hem dosyaları hem veritabanını içermeli ve sitenin bulunduğu sunucudan farklı bir yerde (Google Drive, Dropbox, harici depolama) saklanmalıdır. Sunucu çöktüğünde aynı sunucudaki yedek de kaybolur. Sık güncellenen siteler için günlük, diğerleri için haftalık yedek yeterlidir.
8. Yedeği geri yüklemeyi deneyin
Hiç denenmemiş bir yedek, olmayan bir yedekle neredeyse aynıdır. Yılda en az bir kez yedeği bir test ortamına geri yükleyerek çalıştığından emin olun.
Kullanıcılar ve Erişim
9. Yönetici sayısını en aza indirin
Blog yazısı yazan birine “Yönetici” değil “Yazar” veya “Editör” rolü verin. Artık sizinle çalışmayan kişilerin hesaplarını silin veya rolünü düşürün.
10. “admin” kullanıcı adını kullanmayın
Botların denediği ilk kullanıcı adı “admin”dir. Böyle bir hesabınız varsa yeni bir yönetici hesabı oluşturup içerikleri ona aktarın ve eski hesabı silin.
Sunucu ve Bağlantı
11. SSL sertifikası ve HTTPS
Site her zaman https:// ile açılmalı ve http:// istekleri otomatik olarak https sürümüne yönlendirilmelidir. Çoğu hosting firması ücretsiz SSL sunar.
12. Güncel PHP sürümü ve güvenilir hosting
Desteği bitmiş PHP sürümleri güvenlik güncellemesi almaz. Hosting panelinizden PHP sürümünüzü kontrol edin; güncellemeden önce sitenizin yeni sürümle uyumlu olduğunu test edin.
Siteniz Hacklendiyse Ne Yapmalısınız?
- Paniğe kapılmayın, mevcut durumun bir yedeğini alın (inceleme için).
- Tüm yönetici, hosting, FTP ve veritabanı şifrelerini değiştirin.
- Temiz olduğundan emin olduğunuz son yedeği geri yükleyin veya zararlı dosyaları temizletin.
- WordPress, tema ve eklentileri güncelleyin; tanımadığınız kullanıcı hesaplarını silin.
- Google Search Console’da “Güvenlik sorunları” raporunu kontrol edin; sorun giderildiyse inceleme isteyin.
Aylık Güvenlik Rutini
- Güncellemeleri kontrol et ve uygula
- Son yedeğin başarıyla alındığını doğrula
- Kullanıcı listesini gözden geçir
- Search Console’da güvenlik uyarısı olup olmadığına bak
Güvenlik, siteyi yavaşlatan ağır eklentilerle değil, düzenli ve basit alışkanlıklarla sağlanır. Sitenizin hızını da korumak için web sitesi hızı rehberime göz atabilirsiniz.
