Bu rehberde WordPress güvenliğini katman katman ele alıyor; güncelleme, erişim, sunucu ve yedek başlıklarında uygulanabilir bir kontrol listesi çıkarıyoruz.
Güncelleme ve envanter hijyeni
Çekirdek, tema ve eklenti güncellemeleri güvenliğin temel tuğlasıdır; bilinen açıkların önemli kısmı, yamadan haftalar sonra bile güncellenmemiş sitelerde bulunur. Kullanmadığınız eklentiyi devre dışı bırakmak yetmez, silin: pasif eklenti de kod olarak sitede durur ve saldırı yüzeyi oluşturur.
Nulled yani kırılmış tema ve eklenti asla kullanmayın; ücretsiz görünen bu paketlere yerleştirilen arka kapılar sitenin tamamını ele geçirebilir. Ayda bir eklenti envanteri çıkarın, her birine gerçekten gerekli mi diye sorun; az eklenti hem az risk hem daha yüksek hız demektir.
Kimlik ve erişim yönetimi
Yönetici hesaplarında güçlü ve benzersiz parola, iki adımlı doğrulama ve gerektiğinde iptal edilebilir ayrı kullanıcılar şarttır. Varsayılan admin kullanıcı adını kullanmayın; kaba kuvvet saldırılarının ilk denediği addır. İçerik yazarına yönetici yetkisi vermeyin, Editör veya Yazar rolü işini görür.
SFTP ve panel erişimlerini aynı disiplinle koruyun, ayrılan kişilerin hesaplarını aynı gün kapatın. XML-RPC'yi kullanmıyorsanız kapatın; giriş denemelerini otomatikleştiren botların gözde hedefidir. Şüpheli bir oturum görürseniz o kullanıcının tüm oturumlarını kapatın. Her erişim izni, bir saldırı yüzeyi demektir.
Sunucu katmanı: WAF, SSL ve izinler
HTTPS artık zorunluluktur; giriş formundan gönderilen parola şifrelenmeden ağa düşmemelidir. Web Application Firewall yani WAF, bilinen istismar denemelerini siteye ulaşmadan filtreleyerek eklenti açığı kapanana kadar zaman kazandırır. Dosya izinleri abartılı açılmamalı, wp-config.php gibi kritik dosyalar web'den doğrudan erişilemez olmalıdır.
Düzenli malware taraması şüpheli dosyaları erken yakalar; SSL, izole hesaplar ve güvenlik odaklı sunucu yapılandırması bu katmanı destekler. Uygulama içi hijyen ise her zaman site sahibinin sorumluluğundadır.
Yedek ve olay müdahalesi
En iyi savunma bile delinirse tek kurtuluş temiz yedektir. Otomatik, versiyonlu ve siteden bağımsız bir konumda tutulan yedek alın; aynı sunucuda duran yedek, sunucuyla birlikte kaybolur. Geri yüklemeyi kriz günü değil sakin bir günde test edin; çalışmadığı bilinen yedek, yedeğin hiç olmamasından farklı değildir.
İhlal yaşarsanız sırayla davranın: siteyi bakım moduna alın, tüm parolaları değiştirin, temiz yedekten dönün, eklenti ve temaları tek tek denetleyin. Panikle silme yapmak, kurtarma şansını da beraberinde siler. Olay sonrası çıkarılan dersi ekibinizle yazılı olarak paylaşın.
Practical tips
- Haftalık rutin belirleyin: güncelleme kontrolü, yedek doğrulaması ve kullanıcı listesi taraması.
- Tema ve eklentiyi yalnızca resmi depodan veya üreticiden alın; kırık paketlere hiç yaklaşmayın.
- Tüm yönetici hesaplarında iki adımlı doğrulamayı zorunlu tutun; kurtarma kodlarını güvenli bir yerde saklayın.
- Yılda en az bir kez yedekten tam geri yükleme tatbikatı yapın ve süreyi not edin.
