WordPress Güvenlik Sertleştirme: Uygulamalı Bir Kontrol Listesi

WordPress çok sayıda siteye güç verir ve bu da onu otomatik saldırıların sürekli hedefi yapar. Bu saldırıların çoğu zekice değildir. Eski eklenti sürümlerini tarar, zayıf parolaları tahmin eder veya sızdırılmış kimlik bilgilerini yeniden dener. İyi haber şu: birkaç tutarlı alışkanlık bunların çoğunu durdurur. İşte bir öğleden sonrada tamamlayabileceğiniz bir kontrol listesi.

Güncellemeler, girişler ve erişim

Eski eklentiler ve temalar, içeri girişin en yaygın yoludur. WordPress çekirdeği, eklentiler ve temalar için güncellemeleri vakit kaybetmeden uygulayın ve artık kullanmadığınız her şeyi kaldırın. Küçük çekirdek sürümleri ve güvendiğiniz eklentiler için otomatik güncellemeleri etkinleştirmeyi, daha büyük değişiklikleri ise önce bir staging kopyasında test etmeyi düşünün. WordPress'i güvenle güncelleme rehberimiz bu rutini anlatır.

Güçlü, benzersiz girişler ve iki faktörlü kimlik doğrulama kullanın

Bir parola yöneticisi kullanın ve her hesaba uzun, benzersiz bir parola verin. Yöneticiler ve editörler için iki faktörlü kimlik doğrulama ekleyin. Kullanıcı adı olarak admin kullanmayın ve herkese açık yazılarda görünen adın giriş adı olmadığından emin olun.

Kullanıcı erişimini sınırlayın

İnsanlara işlerini yapmalarına izin veren en düşük rolü verin. Bir yazarın Yönetici değil, Yazar veya Katkıda Bulunan rolüne ihtiyacı vardır. Ayrılan kişilerin hesaplarını kaldırın. Daha az yönetici, ele geçirilebilecek daha az hesap demektir.

Giriş sayfası, HTTPS ve yapılandırma

Başarısız giriş denemelerini sınırlayın ve uygun olduğunda bir doğrulama sorusu eklemeyi ya da /wp-login.php erişimini IP adresine göre kısıtlamayı düşünün. Cloudflare üzerinden sağlanan koruma gibi bir web uygulama güvenlik duvarı (WAF), kötü isteklerin çoğunu WordPress'e ulaşmadan engelleyebilir. Hosting düzeyinde buna nasıl yaklaştığımız için güvenlik sayfamıza bakın.

Her yerde HTTPS kullanın

Yönetim alanı dahil tüm siteyi HTTPS üzerinden sunun. Ücretsiz Let's Encrypt sertifikaları hostingimize dahildir; SSL sayfasına bakın. wp-config.php içinde güvenli yönetici oturumlarını zorunlu kılabilirsiniz:

define( 'FORCE_SSL_ADMIN', true );

Panelde dosya düzenlemeyi devre dışı bırakın

WordPress, yöneticilerin eklenti ve tema dosyalarını panelden düzenlemesine izin verir. Bir saldırgan içeri girerse bu hazır bir araçtır. Kapatın:

define( 'DISALLOW_FILE_EDIT', true );

Doğru dosya izinlerini ayarlayın

Dosyalar genellikle web sunucusu tarafından okunabilir olmalı, ancak herkes tarafından yazılabilir olmamalıdır. Bir yükleme sorununu gidermek için klasörleri tam izne ayarlamaktan kaçının; gerçek sahiplik sorununu bulun. wp-config.php dosyasını kurulumunuzun izin verdiği ölçüde kilitli tutun ve yedekleri veya veritabanı dökümlerini asla web kök dizini içinde bırakmayın.

Yedekler, kaynaklar ve izleme

Güvenlik, önleme kadar kurtarmayla da ilgilidir. Otomatik yedekleri web sunucusundan uzakta saklayın ve geri yüklemeyi test edin. Bir şeyler ters giderse temiz bir yedek, geri dönmenin en hızlı yoludur.

Yazılımı yalnızca güvenilir kaynaklardan kurun

Eklentileri ve temaları resmî dizinden veya geliştiriciden edinin. Korsan premium yazılım, gizli arka kapıların sık görülen bir kaynağıdır. Bir lisans çok pahalıysa, bunun yerine daha hafif bir alternatif arayın.

Değişiklikleri izleyin

Güvenlik eklentileri veya izleme hizmetleri, dosya değişikliklerinden, yeni yönetici hesaplarından ve olağandışı giriş etkinliğinden sizi haberdar edebilir. Uyarılar yalnızca biri okuyorsa işe yarar; bu yüzden onları kontrol ettiğiniz bir e-posta adresine yönlendirin.

Açıkta olanı azaltın

• Kullanılmayan temaları ve eklentileri yalnızca devre dışı bırakmayın, silin.
• Kullanmıyorsanız XML-RPC'yi devre dışı bırakın veya kısıtlayın.
• Kolay olan yerlerde sürüm numaralarını gizleyin, ancak belirsizliğe güvenmeyin.
• Farklı siteler için güçlü parolalara sahip ayrı veritabanı kullanıcıları kullanın.

Sunucu katmanını sağlıklı tutun

WordPress'i sertleştirmek işin yalnızca yarısıdır. Sunucunun desteklenen bir PHP sürümüne, güncel işletim sistemi güncellemelerine ve hesaplar arasında yalıtıma ihtiyacı vardır. Paylaşımlı ve yönetilen paketlerde bu sizin için halledilir; VPS'te sorumluluk size aittir.

Hızlı bir sertleştirme tablosu

Alan	Eylem	Çaba
Güncellemeler	Çekirdek, eklentiler, temalar güncel	Düşük
Hesaplar	Güçlü parolalar, 2FA, en az yetki	Düşük
Yapılandırma	Dosya düzenlemeyi kapatın, yönetici için SSL'i zorunlu kılın	Düşük
Yedekler	Sunucu dışında, test edilmiş geri yüklemeler	Orta
Güvenlik duvarı	WAF ve giriş sınırları	Orta

Hiçbir site yüzde yüz güvenli değildir

Sınırlar konusunda dürüst olun. Sertleştirme riski azaltır, ortadan kaldırmaz. Site ele geçirilirse ne yapacağınıza dair bir planınız olsun ve yardım edecek kişinin iletişim bilgilerini saklayın.

Güvenliği proje değil alışkanlık haline getirin

Çoğu WordPress güvenlik kurulumunun en büyük zayıflığı eksik bir özellik değil, eksik bir rutindir. Takviminize aylık bir hatırlatıcı koyun: kullanıcıları gözden geçirin, güncelleme almayı bırakmış eklentileri kontrol edin, güvenlik uyarılarınızı okuyun ve yakın tarihli bir yedeğin geri yüklendiğini doğrulayın. Ayda yirmi dakika, bir daha asla gözden geçirilmeyen tek seferlik bir sertleştirme oturumundan daha değerlidir.

Ayrıca kimin neye erişimi olduğunu yazın: hosting paneli, alan adı kayıt kuruluşu, WordPress yönetici hesapları ve üçüncü taraf hizmetler. Bir ajans veya serbest çalışan projeyi bitirdiğinde erişimini aynı gün kaldırın.

Bugün yalnızca üç şeye zamanınız varsa bunlar olsun: her şeyi güncelleyin, her yönetici için iki faktörlü kimlik doğrulamayı açın ve sunucu dışında yakın tarihli bir yedeğin bulunduğunu doğrulayın. Bunlar, sitelerin ele geçirilmesinin en yaygın yollarına ve kurtarmanın en önemli yoluna karşılık gelir.

Hosting düzeyinde güvenlik

İyi bir hosting, kendi sertleştirme çalışmanızı destekler. WordPress hostingimiz ücretsiz SSL, erişimi yönetmek için Plesk ve Cloudflare CDN seçeneği sunar; destek ekibimiz de sitenizin güvenliğiyle ilgili sorularınızı 17 dilde yanıtlayabilir.