WordPress dünyadaki sitelerin büyük bir bölümüne güç veriyor ve bu yaygınlık onu saldırganlar için cazip bir hedef haline getiriyor. İyi haber şu: Başarılı saldırıların çoğu gelişmiş teknik zafiyetlerden değil, güncellenmemiş eklentilerden, zayıf parolalardan ve yedeksiz sitelerden kaynaklanıyor. Yani temel önlemleri düzenli uygulayan bir site, saldırıların büyük kısmına karşı zaten korunuyor demek.
Bu yazıda önce hiçbir eklentiye ihtiyaç duymayan temel önlemleri, ardından güvenlik eklentilerinin ne yaptığını ve nasıl seçileceğini anlatıyoruz. Eklentilerin özellikleri sürümden sürüme değiştiği için ayrıntılar için her ürünün güncel belgelerine bakın.
Önce temel önlemler
Bir güvenlik eklentisi, eksik temelin yerini tutmaz. İlk olarak şu adımları tamamlayın:
- Güncellemeleri geciktirmeyin. WordPress çekirdeği, tema ve eklentilerdeki güvenlik açıkları, güncellemelerle kapatılır. Kullanmadığınız eklenti ve temaları silin.
- Güçlü ve benzersiz parolalar kullanın. Parola yöneticisi kullanın; yönetici kullanıcı adını "admin" bırakmayın.
- İki adımlı doğrulamayı açın. En azından yönetici ve editör hesaplarında.
- Yedek alın ve geri yüklemeyi deneyin. Yedek, saldırı sonrası sizi kurtaracak son çaredir.
- HTTPS kullanın. SSL sertifikası olmayan sitede giriş bilgileri açık dolaşır.
- Kullanıcı yetkilerini sınırlayın. Herkese yönetici rolü vermeyin; en az yetki ilkesine uyun.
- Güvenilir kaynaktan eklenti ve tema kurun. Lisanssız ya da kaynağı belirsiz paketlerde arka kapı riski yüksektir.
Güvenlik eklentileri neyi yapar?
Güvenlik eklentileri genelde dört işlevden bir kısmını sunar: güvenlik duvarı (WAF), zararlı yazılım taraması, giriş koruması ve değişiklik izleme. Her eklenti bu alanların hepsinde eşit güçlü değildir; bu yüzden ihtiyacınızı önce netleştirmeniz gerekir.
- Güvenlik duvarı: Zararlı istekleri siteye ulaşmadan ya da WordPress kodu çalışmadan önce engeller.
- Tarama: Dosyalardaki şüpheli kodları ve değiştirilmiş çekirdek dosyalarını arar.
- Giriş koruması: Deneme-yanılma saldırılarını sınırlar, iki adımlı doğrulama ekler.
- İzleme: Kim ne zaman hangi ayarı değiştirdi, kayıt altına alır.
Popüler güvenlik eklentilerinin karşılaştırması
| Çözüm | Yaklaşım | Güçlü yanı | Dikkat edilecek nokta |
|---|---|---|---|
| Wordfence | Site içinde çalışan güvenlik duvarı ve tarayıcı | Geniş ücretsiz sürüm, zararlı kod taraması | Sunucu kaynağı kullanır; zayıf hostingde yavaşlama olabilir |
| Sucuri | Bulut tabanlı güvenlik duvarı ve temizlik hizmeti | Trafiği siteye gelmeden filtreler, saldırı sonrası temizlik desteği | Gelişmiş özellikler ücretli plana bağlı |
| Solid Security (eski iThemes Security) | Sertleştirme ve giriş koruması odaklı | İki adımlı doğrulama, ayar sertleştirme, giriş sınırlaması | Tarama özelliği diğerleri kadar geniş olmayabilir |
| CleanTalk | Bulut tabanlı spam koruması | Formlarda ve yorumlarda sahte kayıt engelleme, captcha gerekmez | Genel güvenlik değil, spam odaklı; diğer katmanları tamamlar |
Bu tabloya bakarak "tek doğru eklenti" aramak yerine bir kombinasyon düşünün: Biri güvenlik duvarı ve tarama için, diğeri spam koruması için. Birden fazla güvenlik duvarı eklentisini aynı sitede çalıştırmayın; çakışma yaratır.
Spam ve sahte kayıt korumasını ihmal etmeyin
Bot trafiği yalnız spam üretmez; kayıt formu, yorum alanı ve iletişim formları üzerinden veritabanını şişirir, sunucuyu yorar ve bazen kötü amaçlı bağlantı dağıtır. CleanTalk gibi bulut tabanlı çözümler bu trafiği ziyaretçiyi rahatsız etmeden ayıklar. Özellikle WooCommerce ve üyelik sitelerinde sahte hesap oluşturma denemeleri sık görüldüğü için bu katman değerlidir.
Yedekleme: Güvenliğin son halkası
En iyi korunan site bile bir gün hasar görebilir. Güncelleme hatası, sunucu arızası, hatalı bir eklenti ya da saldırı: Hepsinde çare temiz bir yedekten geri dönmektir. Yedeklerin sitenin yaşadığı sunucuda değil, ayrı bir yerde (bulut depolama, farklı bir sunucu) tutulması şarttır. WPvivid Backup Bundle gibi eklentiler zamanlanmış yedek, harici depolamaya gönderim ve tek tıkla geri yükleme sunar. Yedeği almak kadar, ayda bir kez test sitesine geri yükleyerek çalıştığını doğrulamak da önemlidir.
Hangi eklentiyi seçmeli? Kısa rehber
Tek bir blog yönetiyorsanız ve bütçeniz kısıtlıysa, ücretsiz bir site içi güvenlik eklentisi, sağlam bir yedekleme çözümü ve spam koruması çoğu zaman yeterli bir üçlüdür. Sürekli hedef olan bir e-ticaret sitesi işletiyorsanız, bulut tabanlı bir güvenlik duvarını da eklemek mantıklıdır; çünkü kötü trafik sunucunuza ulaşmadan elenir. Müşteri sitelerini barındıran bir ajanssanız, merkezi yönetim ve düzenli güvenlik raporu sizin için eklenti özelliklerinden daha önemli hale gelir.
Her durumda eklentiyi kurduktan sonra bir hafta boyunca günlükleri izleyin. Yanlış alarm veren bir kuralı gevşetmek, gerçek tehditleri kaçırmaktan iyidir; ama hiç alarm vermeyen bir sistemin gerçekten çalışıp çalışmadığını da test etmek gerekir. Bunun için kontrollü bir giriş denemesi yapıp kaydın düşüp düşmediğine bakabilirsiniz.
Birden fazla siteyi yönetmek
Müşteri siteleri yöneten bir ajans ya da birden çok projesi olan biriyseniz, her siteye ayrı ayrı girip güncelleme yapmak hem zaman alır hem hata riskini artırır. MainWP Pro gibi merkezi yönetim araçları tüm sitelerin güncellemelerini, yedeklerini ve durumunu tek panelden izlemenizi sağlar. Güvenlik açısından bu, güncelleme gecikmesini azaltır.
Veritabanı ve gereksiz verinin temizlenmesi
Terk edilmiş eklentilerin bıraktığı tablolar, eski taslaklar ve spam yorumlar yalnızca performansı etkilemez; saldırı yüzeyini de büyütür. Advanced Database Cleaner Pro gibi araçlar bu kalıntıları güvenli biçimde temizlemeye yardımcı olur. Temizlikten önce mutlaka yedek alın.
Kendi bilgisayarınızı unutmayın
Siteyi yöneten bilgisayar enfekte olursa, giriş bilgileriniz çalınabilir. Yönetici olarak kullandığınız cihazlarda güncel bir koruma yazılımı çalıştırın; örneğin Kaspersky Premium Total Security gibi kapsamlı çözümler kimlik avı ve zararlı yazılımlara karşı katman ekler. Açık Wi-Fi'larda yönetici paneline girmeyin.
Sunucu ve dosya düzeyinde sertleştirme
Eklentilerin ötesinde birkaç ayar sitenizi belirgin biçimde güçlendirir. Bunları hosting panelinizden veya sunucu yöneticinizle birlikte yapabilirsiniz:
- Güncel PHP sürümü: Desteği biten PHP sürümleri güvenlik yaması almaz. Hosting panelinden desteklenen en yeni sürüme, eklentilerinizle uyumunu test ederek geçin.
- Dosya düzenleyiciyi kapatmak: Yönetim panelindeki tema ve eklenti dosya düzenleyicisini kapatmak, ele geçirilmiş bir yönetici hesabının doğrudan kod yazmasını zorlaştırır.
- Dosya izinleri: Dosyalar ve klasörler için gereğinden geniş yazma izni vermeyin; yapılandırma dosyasını (wp-config) erişime kapalı tutun.
- Yüklemeler klasörü: Kullanıcı yüklemelerinin bulunduğu klasörde PHP dosyası çalıştırmayı engelleyin.
- XML-RPC: Kullanmıyorsanız kapatın; deneme-yanılma saldırılarında sıkça istismar edilir.
- Veritabanı öneki ve kullanıcı sızıntısı: Kullanıcı adlarının dışarıdan listelenmesini engelleyen ayarları açın.
Bu ayarların bir kısmı güvenlik eklentileri tarafından tek tıkla yapılabilir; yine de hosting sağlayıcınızın kendi güvenlik araçlarıyla çakışmadığından emin olun.
Aylık güvenlik rutini
Güvenlik bir kez yapılıp bırakılan bir iş değil, küçük ama düzenli bir alışkanlıktır. Ayda bir saatinizi ayırarak şu listeyi gözden geçirin: yönetici ve editör hesaplarının listesi güncel mi, kullanılmayan eklentiler silindi mi, yedekler gerçekten oluşuyor mu, giriş denemesi raporlarında olağandışı artış var mı, SSL sertifikasının bitiş tarihi yaklaşıyor mu, Search Console'da güvenlik uyarısı bulunuyor mu? Bu kontroller küçük bir takvim hatırlatıcısıyla rutine bağlanınca, sorunlar büyümeden fark edilir.
Saldırıya uğradığınızı nasıl anlarsınız?
- Arama sonuçlarında tanımadığınız sayfalar ya da başlıklar görünür.
- Sitenizde beklenmedik yönlendirmeler veya açılır pencereler çıkar.
- Tanımadığınız yönetici hesapları belirir.
- Hosting sağlayıcınız aşırı kaynak kullanımı veya zararlı yazılım uyarısı gönderir.
- Site açılışta yavaşlar, tarayıcı güvenlik uyarısı verir.
Böyle bir durumda önce siteyi bakım moduna alın, parolaları değiştirin, temiz yedeğe dönün ve açığı kapatmadan siteyi yeniden açmayın. Kendi başınıza çözemiyorsanız güvenlik uzmanına başvurun.
Eklenti ve tema ihtiyaçlarınız için WordPress Eklenti ve Tema kategorisine bakabilirsiniz; LisansX'te teslimat dijitaldir ve lisanslı sürümler güncelleme alır.
Sık Sorulan Sorular
Ücretsiz güvenlik eklentisi yeterli mi?
Küçük bir blog için çoğu zaman yeterlidir. E-ticaret, üyelik ya da müşteri verisi barındıran sitelerde premium özellikler, destek ve güvenlik duvarı kuralları için ücretli planlar düşünülmelidir.
Güvenlik eklentisi siteyi yavaşlatır mı?
Site içinde çalışan eklentiler sunucu kaynağı tüketir ve zayıf hostingde fark edilebilir. Bulut tabanlı çözümler bu yükü sunucudan alır. Kurulumdan sonra hız ölçümünü tekrarlayın.
WordPress giriş adresini değiştirmek işe yarar mı?
Basit botları azaltır, ancak tek başına güvenlik önlemi değildir. Güçlü parola, iki adımlı doğrulama ve giriş sınırlaması çok daha etkilidir.
Ne sıklıkla yedek almalıyım?
Günlük içerik girişi yapan sitelerde günlük, nadiren değişen sitelerde haftalık yedek makul bir başlangıçtır. Sipariş alan mağazalarda veritabanını daha sık yedeklemek gerekir.
