WordPress Güvenliği: Siteyi Hacklenmeden Korumak İçin Katman Katman Önlemler

WordPress güvenliği, tek bir eklentiyle değil; güncel yazılım, güçlü giriş koruması, sınırlı yetkiler, sıkılaştırılmış sunucu ayarları ve düzenli yedekten oluşan katmanlarla sağlanır. WordPress’in resmi sıkılaştırma belgesi güvenliği riskin sıfırlanması değil azaltılması olarak tanımlar: amaç, saldırganın işini zorlaştırmak ve bir saldırı başarılı olsa bile verebileceği zararı sınırlamaktır.

Bu rehber, site hacklenmeden önce alınması gereken önlemlere odaklanır ve her adımı WordPress.org’un resmi belgelerine dayandırır. Saldırı zaten gerçekleşmişse izlenecek yol farklıdır; temizlik, Google uyarılarının kaldırılması ve erişimlerin yenilenmesi hacklenmiş WordPress sitesini kurtarma sürecinde ele alınır.

WordPress Güvenli mi, Risk Nereden Gelir?

WordPress çekirdeği, kendi güvenlik ekibi tarafından sürekli izlenen ve açıklar bulunduğunda düzeltme sürümleri yayımlanan bir yazılımdır; risklerin büyük kısmı çekirdekten değil, sitenin nasıl yönetildiğinden doğar. WordPress güvenlik sayfasına göre resmi olarak yalnızca en güncel sürüm desteklenir; ekip kritik düzeltmeleri eski sürümlere de iyi niyet gereği taşır, ancak bu bir taahhüt değildir.

Sıkılaştırma belgesi, sitelerin nadiren altyapı yüzünden, çoğunlukla da site sahibinin sorumluluğundaki uygulama katmanı yüzünden ele geçirildiğini vurgular. Hosting firması sunucuyu korur; kurulan tema, eklenti, kullanıcı hesabı ve şifre ise site sahibinin alanıdır. Saldırıların büyük bölümü otomatik botlarla, güncellenmemiş bileşenlerdeki bilinen açıkları ya da tahmin edilebilir şifreleri hedefleyerek yapılır.

Resmi belge, zincirin site yöneticisinin kendi bilgisayarından başladığını da hatırlatır. Tuş kayıtlarını çalan bir zararlı yazılım bulaşmış bilgisayarda, sunucudaki önlemlerin hiçbiri şifreyi korumaz. İşletim sistemi ve tarayıcının güncel tutulması, yönetim paneline açık ve şifresiz kablosuz ağlardan girilmemesi bu yüzden WordPress güvenliğinin ilk halkasıdır.

Güncelleme: En Temel WordPress Güvenlik Önlemi

Güncel olmayan çekirdek, tema ve eklentiler en yaygın giriş kapısıdır, çünkü bir açık kapatıldığında onu istismar etmek için gereken bilgi de kamuya açık hâle gelir. WordPress’in sıkılaştırma belgesi, eski sürümleri güncel tutmanın bu yüzden en temel önlem olduğunu belirtir. WordPress 3.7’den beri çekirdekte otomatik arka plan güncellemeleri vardır; WordPress 5.5 ile her eklenti için otomatik güncelleme ayrı ayrı açılabilir hâle gelmiştir.

Otomatik güncelleme güvenlik açısından hızlıdır, fakat büyük sürüm geçişlerinde bir eklentinin siteyi bozma ihtimali vardır. Bu yüzden özellikle e-ticaret ya da form ağırlıklı sitelerde kontrollü bir sıra izlenir:

1. Güncellemeden hemen önce dosya ve veritabanı yedeği alınır.
2. Mümkünse güncelleme önce sitenin bir test kopyasında denenir.
3. Canlı sitede güncelleme yapılır; güvenlik düzeltmesi içeren küçük sürümler bekletilmez.
4. Ana sayfa, formlar, sepet ve üye girişi gibi kritik işlevler elle kontrol edilir.
5. Güncellemesi uzun süredir gelmeyen ya da dizinden kaldırılan bileşenler not edilip yerine seçenek aranır.

Sunucudaki PHP sürümü de bu zincirin parçasıdır. Destek süresi biten bir PHP sürümü güvenlik düzeltmesi almaz ve güncel eklentilerle uyumsuzluk çıkarabilir.

Güçlü Şifre, İki Adımlı Doğrulama ve Passkey

Giriş güvenliği, benzersiz ve uzun şifreler ile bütün yönetici hesaplarında açılan iki adımlı doğrulamaya dayanır. WordPress’in kaba kuvvet saldırıları belgesi, şifre yöneticisi kullanılmasını ve yetkili tüm hesaplarda iki adımlı doğrulamanın açılmasını önerir; belgeye göre bu özellik çekirdekte bulunmaz, bir eklenti ya da kurumsal kimlik sağlayıcı üzerinden eklenir.

Aynı belge, parola yerine cihazdaki parmak izi, yüz tanıma ya da güvenlik anahtarıyla giriş yapmayı sağlayan passkey (WebAuthn) yöntemini kimlik avına dayanıklı bir seçenek olarak anar ve her yöneticiye en az iki doğrulayıcı tanımlanmasını tavsiye eder. Böylece telefonu kaybeden kişi hesabının dışında kalmaz.

Şifre seçiminde kaçınılması gerekenler de sıkılaştırma belgesinde sayılır: kişinin, şirketin ya da sitenin adından türetilen şifreler, herhangi bir dilde sözlükte bulunan kelimeler, kısa şifreler ve yalnızca rakam ya da yalnızca harften oluşan diziler. WordPress, şifre değiştirme ekranında bir güç göstergesi de sunar; zayıf olarak işaretlenen şifre kabul edilmemelidir.

Siteye bağlanan dış uygulamalar için de ayrı bir kural vardır: bu servislere yönetici şifresi verilmez. WordPress 5.6 ile gelen uygulama şifreleri, her entegrasyon için ayrı bir anahtar oluşturmayı ve gerektiğinde ana şifreye dokunmadan o anahtarı iptal etmeyi sağlar.