Bu rehberde temel hosting güvenlik protokollerini katman katman ve uygulanabilir adımlarla ele alıyoruz.
SSL/TLS ve Şifreli İletişim
Tüm üretim trafiği HTTPS üzerinden akmalı; panel, webmail ve API erişimleri bile şifrelenmemişse ağ üzerinde okunabilir açık kapı bırakırsınız. Eski TLS 1.0 ve 1.1 protokollerini kapatın, güçlü şifreleme takımlarını seçin ve sertifika yenilemelerinin otomatik çalıştığını düzenli aralıklarla doğrulayın.
HSTS başlığı tarayıcıyı sonraki ziyaretlerde zorunlu HTTPS'e kilitler ama bilinçli uygulanmalı: kısa bir max-age ile başlayın, her şey sorunsuz ilerliyorsa süreyi kademeli uzatın. İç servislerde telnet veya şifrelenmemiş posta aktarımı gibi düz metin protokollere yer bırakmayın; iç ağdaki bir dinleyici bile kimlik bilgisi toplayabilir.
WAF, Hız Sınırı ve Bot Yönetimi
WAF yani web uygulama duvarı, SQL injection ve XSS gibi bilinen web istismarlarını uygulamaya ulaşmadan filtreler. İstek hızı sınırlandırma, giriş formuna yapılan kaba kuvvet denemelerini yavaşlatır; bot yönetimi ise içerik kazıyıcıları ve sahte kayıt denemelerini ayıklar. Bu üçü birlikte, sunucunun gerçek kullanıcılar için nefes almasını sağlar.
Kritik nokta dengeyi kurmaktır: kurallar aşırı sıkı ayarlanırsa meşru müşteriler de engellenir ve bunu çoğu zaman log'a bakmadan fark etmezsiniz. WAF kayıtlarını düzenli inceleyin, yanlış pozitifleri ayıklayın ve kural setlerini güncel tutun; eski imza listeleri yeni saldırı kalıplarını tanımaz.
Erişim Kontrolü ve Sertleştirme
En az yetki ilkesi temeldir: her hesap yalnızca işini görmek için gereken erişime sahip olmalı. Yönetim panellerinde iki adımlı doğrulamayı zorunlu kılın, SSH'te parola yerine anahtar doğrulaması kullanın, kullanılmayan portları kapatın ve işletim sistemi ile panellerin yamalarını gecikmeden uygulayın.
Ekip içinde paylaşılan tek parola klasik zafiyettir; herkese ayrı hesap açın, ayrılan personelin erişimini aynı gün kapatın. Dosya izinlerini kolayciliğe vurup 777'ye çekmek sık yapılan ve pahalıya mal olan bir hatadır. Proje bitince geliştirici ve test hesaplarını kapatmayı alışkanlık edinin; unutulan bir erişim, aylar sonra kullanılan arka kapıdır.
Yedek, İzleme ve Olay Planı
Hiçbir koruma tek başına yeterli değildir; işte bu yüzden yedek son savunma hattınızdır. 3-2-1 kuralı hâlâ altın standarttır: üç kopya, iki farklı ortam, biri farklı bir konumda. Yedeğin gerçekten geri yüklenebildiğini düzenli aralıklarla tatbikatla test edin; yüklenemeyen yedek yedek sayılmaz.
Uptime, disk doluluğu ve başarısız giriş denemelerini izlemek erken uyarı sağlar. Olay anında kim neyi düzeltecek, müşteriye kim haber verecek, yedekten dönüşü kim yönetecek; bu soruların cevabı kısa bir yazılı planda durmalı, kriz anında tasarlanmamalı. Bananas Hosting SSL, yedek ve güvenlik odaklı altyapısıyla bu katmanlara zemin hazırlar; uygulama disiplini sizin katmanınızdır.
Practical tips
- Güvenlik kontrol listenizi ayda bir günübirlik gözden geçirin ve sonuçları yazılı tutun.
- Yama, yedek ve iki adımlı doğrulamayı hiçbir sabaha bırakmayın; üçü de kısa işlerdir.
- WAF kayıtlarında haftada bir yanlış pozitif taraması yapın; engellenen gerçek müşteri, kaybedilen satıştır.
- Olay müdahale planınızı bugün yazın: kim müdahale edecek, kim geri yükleyecek, kim bilgilendirecek.
