WordPress Güvenliği: Sunucu ve Uygulama Tarafı

WordPress güvenliği iki katmanda kurulur. Sunucu tarafı, hosting sağlayıcısının işidir: güncel PHP, hesap izolasyonu, güvenlik duvarı ve yedekleme. Uygulama tarafı ise size aittir: güçlü parolalar, iki adımlı doğrulama, güncel eklenti ve tema, doğru dosya izinleri, yönetim girişinin korunması. Saldırıların büyük bölümü hedefli değil, otomatik taramalarla eski açıkları arayan botlardan gelir.

Saldırı nasıl gerçekleşiyor?

• Bilinen açık taraması: Botlar, güncellenmemiş eklenti sürümlerini arar.
• Kaba kuvvet: Yönetim girişine sürekli parola denemesi yapılır.
• Zayıf parola: Başka bir serviste sızan parolanın burada da kullanılması.
• Zararlı tema/eklenti: Korsan veya güvenilmeyen kaynaktan kurulan dosyalar.
• Dosya yükleme açığı: Doğrulanmayan formlardan sunucuya betik yüklenmesi.

Listedeki ilk iki madde, olayların çoğunluğunu oluşturur ve ikisi de basit önlemlerle engellenebilir.

Uygulama tarafında yapılacaklar

1. Güncellemeler: Çekirdek, tema ve eklentileri güncel tutun; kullanılmayanları silin. Pasif bir eklenti de saldırı yüzeyidir.
2. Parolalar: Her yönetici için benzersiz ve uzun parola; parola yöneticisi kullanın.
3. İki adımlı doğrulama: Yönetici hesaplarında etkinleştirin.
4. Kullanıcı rolleri: Herkese yönetici yetkisi vermeyin; editör veya yazar yetkisi çoğu zaman yeterlidir.
5. Giriş koruması: Başarısız denemeleri sınırlayan bir çözüm kullanın.
6. Dosya izinleri: Klasörler 755, dosyalar 644. 777 izni asla kullanılmamalıdır.
7. Dosya düzenleyiciyi kapatın: Panel üzerinden tema/eklenti kodu düzenlemeyi devre dışı bırakmak, ele geçirilen bir hesabın zararını sınırlar.
8. Güvenilir kaynak: Tema ve eklentileri yalnızca resmî depodan veya geliştiricinin kendi sitesinden kurun.

Sunucu tarafında beklenecekler

Paylaşımlı hostingte izolasyonun teknik karşılığını CloudLinux, CageFS ve LVE yazısında anlattık.

Yönetim girişini korumak

Giriş sayfası, botların en çok denediği adrestir. Üç önlem etkilidir: başarısız denemeleri sınırlamak, mümkünse giriş sayfasına IP kısıtı koymak ve iki adımlı doğrulama kullanmak. Giriş adresini değiştirmek ek bir engel yaratır ama tek başına koruma sağlamaz.

Bot trafiği aynı zamanda kaynak tüketir: yoğun deneme dönemlerinde sunucu yavaşlar ve 508 hataları görülebilir. Bu yüzden giriş koruması, güvenlik kadar performans önlemidir.

Bulaşma belirtileri

• Sitede sizin eklemediğiniz bağlantılar veya yönlendirmeler
• Arama sonuçlarında alakasız sayfaların görünmesi
• Bilinmeyen yönetici hesapları
• Değiştirilme tarihi son güncellemenizle uyuşmayan dosyalar
• Ani kaynak kullanımı artışı veya giden spam
• Tarayıcıda güvenlik uyarısı

Bulaşma sonrası: ilk saat

1. Siteyi bakım moduna alın veya geçici olarak kapatın.
2. Tüm parolaları değiştirin: panel, FTP, veritabanı, yönetici hesapları.
3. Mevcut halin bir kopyasını (inceleme için) alın.
4. Bilinen temiz bir yedekten geri dönün.
5. Çekirdek, tema ve eklentileri güncel sürümlerle yeniden kurun.
6. Bilinmeyen yönetici hesaplarını silin.
7. Açığın nasıl oluştuğunu bulun; bulamazsanız aynı olay tekrar eder.

Geri yükleme yöntemlerini cPanel'de yedek alma, hata teşhisini 500 hatası ve beyaz ekran yazısında ele aldık.

Eklenti seçerken

Güvenlik açığı çoğu zaman WordPress çekirdeğinden değil, eklentiden gelir. Kurmadan önce dört şeye bakın: son güncelleme tarihi, aktif kurulum sayısı, geliştiricinin destek yanıtları ve eklentinin gerçekten gerekli olup olmadığı. "Belki lazım olur" diye kurulan eklentiler, zamanla en büyük risk kaynağı olur.

Netx'te WordPress

WordPress için yapılandırılmış paketleri WordPress hosting, cPanel tercih edenler için cPanel hosting sayfasında bulabilirsiniz. Kendi sunucunuzda çalışıyorsanız sunucu tarafındaki ilk adımları Linux sunucuda ilk kurulum yazısında sıraladık; işletimi devretmek isterseniz sunucu yönetim hizmeti seçeneği bulunur.

Sık sorulan sorular

Güvenlik eklentisi şart mı?

Şart değil ama giriş koruması ve dosya değişiklik takibi sağladığı için faydalıdır. Birden çok güvenlik eklentisini birlikte kullanmayın; çakışırlar.

WordPress güvensiz mi?

Hayır. Yaygın olduğu için hedef alınır; güncel tutulan bir kurulum çoğu otomatik saldırıya kapalıdır.

Sitem hacklendi, hosting mi suçlu?

Çoğu olayda giriş noktası güncellenmemiş bir eklenti veya zayıf paroladır. Sunucu kaynaklı ihlaller daha nadirdir.

Yedekten dönmek yeterli mi?

Açık kapatılmazsa hayır. Geri dönüşten sonra tüm bileşenleri güncelleyin ve giriş noktasını bulun.

Hangi dosya izinleri doğru?

Klasörler 755, dosyalar 644. Ayrıntıları dosya izinleri yazısında anlattık.